Sichern Ihrer Microsoft Entra Identitätsinfrastruktur

Wenn Sie dieses Dokument lesen, ist Ihnen bereits bewusst, welchen Stellenwert das Thema Sicherheit innehat. Sie sind wahrscheinlich bereits für die Sicherheit Ihrer Organisation verantwortlich. Wenn Sie andere von der Bedeutung der Sicherheit überzeugen müssen, empfehlen Sie ihnen, den neuesten Microsoft Digital Defense Report zu lesen.

Dieses Dokument hilft Ihnen, einen sichereren Stand durch die Funktionen von Microsoft Entra ID und eine Checkliste in fünf Schritten zu erhalten, um den Schutz Ihrer Organisation vor Cyberangriffen zu verbessern.

Diese Checkliste erläutert folgende Aspekte und hilft Ihnen dabei, empfohlene wichtige Aktionen zum Schutz Ihrer Organisation sofort auszuführen:

• Stärken Sie Ihre Qualifikationen.
• Verringern Sie Ihre Angriffsfläche.
• Automatisieren Sie die Reaktion auf Bedrohungen.
• Verwenden Sie CloudIntelligenz.
• Aktivieren Sie den Self-Service des Endbenutzers.

Die Empfehlungen in diesem Dokument entsprechen der Identitätssicherheitsbewertung, einer automatisierten Bewertung der Identitätssicherheitskonfiguration Ihres Microsoft Entra Mandanten. Organisationen können die Seite "Identitätssicherheitsbewertung" in der Microsoft Entra Admin Center verwenden, um Lücken in ihrer aktuellen Sicherheitskonfiguration zu finden, um sicherzustellen, dass sie den aktuellen Microsoft bewährten Methoden für die Sicherheit folgen. Wenn Sie jede Empfehlung auf der Seite „Secure Score“ umsetzen, erhöht sich Ihre Bewertung, Sie können Ihren Fortschritt nachverfolgen, und Sie können Ihren Implementierungsstand mit dem anderer Organisationen von ähnlicher Größe vergleichen.

Bevor Sie beginnen: Schützen Sie privilegierte Konten mit MFA

Bevor Sie mit dieser Checkliste beginnen, stellen Sie sicher, dass Ihr Konto während des Lesens dieser Checkliste nicht kompromittiert ist. Microsoft beobachtet täglich mehr als 600 Millionen Identitätsangriffe, und Kennwortangriffe bilden 99% aller Identitätsangriffe. In Microsoft Entra ID sind Benutzer, die über privilegierte Rollen verfügen, z. B. Administratoren, der Vertrauensanker, auf dem der Rest der Umgebung aufgebaut und verwaltet wird. Implementieren Sie die folgenden Maßnahmen, um die Auswirkungen einer Kompromittierung zu minimieren.

Angreifer, die Kontrolle über privilegierte Konten erhalten, können enormen Schaden anrichten. Daher ist es ausgesprochen wichtig, vor dem Fortfahren diese Konten zu schützen. Aktivieren und erfordern Microsoft Entra mehrstufige Authentifizierung (Multifactor Authentication, MFA) für alle Administratoren in Ihrer Organisation, indem sie Microsoft Entra Sicherheitsstandardwerte oder bedingtenZugriff verwenden. Dies ist entscheidend.

Alles fertig? Starten Sie die Checkliste.

Schritt 1: Stärken Sie Ihre Zugangsdaten

Obwohl andere Arten von Angriffen einschließlich Phishing von Einwilligungen und Angriffe auf nicht menschliche Identitäten hervortreten, spielen kennwortbasierte Angriffe auf Benutzeridentitäten immer noch die größte Rolle bei der Kompromittierung der Identität. Die bewährten Spear-Phishing- und Passwort-Spray-Kampagnen von Angreifern sind weiterhin erfolgreich gegen Unternehmen, die noch keine Multifaktor-Authentifizierung (MFA) oder andere Schutzmaßnahmen gegen diese gängige Taktik eingeführt haben.

Als Organisation müssen Sie sicherstellen, dass Ihre Identitäten überall mithilfe von MFA überprüft und gesichert werden. Das Federal Bureau of Investigation (FB) Internet Crime Complaint Center (IC3) 2024 Internet Crime Report identifiziert Phishing und Spoofing als den am häufigsten gemeldeten Internetkriminalitätstyp mit 193.407 Beschwerden. Phishing stellt eine erhebliche Bedrohung für Unternehmen und Einzelpersonen dar, und Angreifer verwenden Phishing von Anmeldeinformationen in vielen schädlichen Angriffen. Microsoft Entra mehrstufige Authentifizierung (Multifactor Authentication, MFA) trägt dazu bei, den Zugriff auf Daten und Anwendungen zu schützen und eine weitere Sicherheitsebene mithilfe einer zweiten Authentifizierungsform bereitzustellen. Organisationen können die mehrstufige Authentifizierung mithilfe des bedingten Zugriffs aktivieren, um die Lösung an ihre spezifischen Anforderungen anzupassen. Weitere Informationen finden Sie unter Planen, Implementieren und Bereitstellen Microsoft Entra mehrstufiger Authentifizierung.

Sicherstellen, dass Ihre Organisation eine starke Authentifizierung verwendet

Um die grundlegende Ebene der Identitätssicherheit auf einfache Weise zu aktivieren, können Sie die Einmalige Auswahlaktivierung in Microsoft Entra Sicherheitsstandardeinstellungen verwenden. Sicherheitsstandards erzwingen Microsoft Entra Multi-Faktor-Authentifizierung bei allen Benutzern in einem Mandanten und blockieren mandantenweit Anmeldungen über Legacyprotokolle.

Wenn Ihre Organisation über Microsoft Entra ID P1- oder P2-Lizenzen verfügt, können Sie auch die Arbeitsmappe für bedingten Zugriff verwenden, um Lücken in Ihrer Konfiguration und Abdeckung zu ermitteln. Anhand dieser Empfehlungen können Sie diese Lücke ganz einfach über die neue Vorlage für bedingten Zugriff schließen. Vorlagen für bedingten Zugriff bieten eine einfache Methode zum Bereitstellen neuer Richtlinien, die mit Microsoft empfohlenen bewährten Methoden übereinstimmen. Diese Vorlagen erleichtern die Bereitstellung allgemeiner Richtlinien zum Schutz Ihrer Identitäten und Geräte.

Beginnen Sie damit, häufig angegriffene Kennwörter zu sperren, und deaktivieren Sie herkömmliche Komplexitäts- und Ablaufrichtlinien

Viele Organisationen verwenden traditionelle Regeln für Passwortkomplexität und Passwortablauf. Die Forschung von Microsoft zeigt, dass die National Institute of Standards and Technology (NIST) Special Publication 800-63B Digital Identity Guidelines angeben, dass diese Richtlinien Benutzern die Auswahl von Kennwörtern erleichtern, die einfacher zu erraten sind. Verwenden Sie Microsoft Entra Kennwortschutz, ein dynamisches Feature für gesperrtes Kennwort, das das aktuelle Verhalten des Angreifers verwendet, um zu verhindern, dass Benutzer Kennwörter festlegen, die Angreifer leicht erraten können. Diese Funktion ist immer aktiviert, wenn Benutzer in der Cloud erstellt werden, aber jetzt auch für Hybridorganisationen verfügbar sind, wenn sie Microsoft Entra Kennwortschutz für Windows Server Active Directory bereitstellen. Entfernen Sie außerdem Ablaufrichtlinien. Kennwortänderungen bieten keine Eindämmungsvorteile, da Cyberkriminelle fast immer Anmeldeinformationen verwenden, sobald sie sie kompromittieren. Weitere Informationen finden Sie unter Festlegen der Kennwortablaufrichtlinie für Ihre Organisation.

Schutz vor kompromittierten Anmeldeinformationen und Verstärken der Ausfallsicherung

Die einfachste und empfohlene Methode zum Aktivieren der Cloudauthentifizierung für lokale Verzeichnisobjekte in Microsoft Entra ID besteht darin, password-Hashsynchronisierung (PHS) zu aktivieren. Wenn Ihre Organisation eine Hybrididentitätslösung mit Pass-Through-Authentifizierung oder Verbund verwendet, sollten Sie die Kennworthashsynchronisierung aus den folgenden beiden Gründen aktivieren:

• Die Bericht über Benutzer mit durchgesickerten Anmeldedaten in Microsoft Entra ID warnt vor öffentlich zugänglichen Benutzernamen- und Kennwortpaaren. Eine enorme Zahl von Kennwörtern gelangt durch Phishing, Schadsoftware und die Wiederverwendung von Kennwörtern auf Websites von Drittanbietern, die später kompromittiert werden, an die Öffentlichkeit. Microsoft findet viele dieser durchleckten Anmeldeinformationen und teilt Ihnen in diesem Bericht mit, ob sie Anmeldeinformationen in Ihrer Organisation entsprechen – aber nur, wenn Sie password-Hashsynchronisierung aktivieren oder cloudgeschützte Identitäten haben.
• Wenn ein lokaler Ausfall auftritt, z. B. ein Ransomware-Angriff, können Sie mithilfe der Kennworthashsynchronisierung zur Cloudauthentifizierung wechseln. Mit dieser Sicherungsauthentifizierungsmethode können Sie weiterhin auf Apps zugreifen, die für die Authentifizierung mit Microsoft Entra ID konfiguriert sind, einschließlich Microsoft 365. In diesem Fall müssen IT-Mitarbeiter nicht auf Schatten-IT oder persönliche E-Mail-Konten zurückgreifen, um bis zur Behebung des lokalen Ausfalls Daten freizugeben.

Microsoft Entra ID speichert niemals Kennwörter im Klartext oder verschlüsselt sie mit einem umkehrbaren Algorithmus. Weitere Informationen zum tatsächlichen Prozess der Kennworthashsynchronisierung finden Sie unter Detaillierte Beschreibung der Funktionsweise der Kennworthashsynchronisierung.

Implementieren der intelligenten AD FS-Extranetsperre

Die intelligente Sperre hilft dabei, Angreifer auszusperren, die versuchen, die Kennwörter Ihrer Benutzer zu erraten oder Brute-Force-Methoden zu verwenden, um sich Zugriff zu verschaffen. Smart Lockout kann Anmeldungen gültiger Benutzer erkennen und anders behandeln als Anmeldungen von Angreifern und anderen unbekannten Quellen. Angreifer werden ausgesperrt, während Ihre Benutzer weiterhin auf ihre Konten zugreifen und produktiv arbeiten können. Organisationen, die Anwendungen für die direkte Authentifizierung bei Microsoft Entra ID konfigurieren, profitieren von Microsoft Entra intelligenter Sperre. Verbundbereitstellungen, die AD FS 2016 und AD FS 2019 verwenden, können ähnliche Vorteile ermöglichen, indem AD FS-Extranetsperrung und SmartNet-Sperrung verwendet werden.

Schritt 2: Verringern Ihrer Angriffsfläche

Angesichts des Ausmaßes an Schaden, den gehackte Kennwörter anrichten, ist es von entscheidender Bedeutung, die Angriffsfläche in Ihrer Organisation so klein wie möglich zu halten. Deaktivieren Sie die Verwendung älterer, weniger sicherer Protokolle, beschränken Sie Die Einstiegspunkte für den Zugriff, wechseln Sie zur Cloudauthentifizierung, üben Sie eine bedeutendere Kontrolle des administrativen Zugriffs auf Ressourcen aus, und nutzen Sie Zero Trust Sicherheitsprinzipien.

Verwenden von Cloudauthentifizierung

Anmeldeinformationen stellen einen primären Angriffsvektor dar. Die Methoden in diesem Artikel können die Angriffsfläche mithilfe der Cloudauthentifizierung, der Bereitstellung von MFA und der Verwendung kennwortloser Authentifizierungsmethoden verringern. Sie können kennwortlose Methoden wie Windows Hello for Business, Telefonanmeldung mit der Microsoft Authenticator App oder FIDO bereitstellen.

Blockieren älterer Authentifizierungsmethoden

Apps, die ihre eigenen Legacymethoden verwenden, um sich mit Microsoft Entra ID zu authentifizieren und auf Unternehmensdaten zuzugreifen, stellen ein weiteres Risiko für Organisationen dar. Beispiele für Apps, die die Legacyauthentifizierung verwenden, sind POP3-, IMAP4- oder SMTP-Clients. Legacyauthentifizierungs-Apps authentifizieren sich im Namen des Benutzers und verhindern, dass Microsoft Entra ID erweiterte Sicherheitsbewertungen durchführen. Die Alternative, die moderne Authentifizierung, wird Ihr Sicherheitsrisiko verringern, da sie die Multifaktor-Authentifizierung und den bedingten Zugriff unterstützt.

Microsoft empfiehlt die folgenden Aktionen:

1. Entdecken Sie die Legacyauthentifizierung in Ihrer Organisation mithilfe von Microsoft Entra Anmeldeprotokollen und Log Analytics Arbeitsmappen.
2. Richten Sie SharePoint Online und Exchange Online ein, um moderne Authentifizierung zu verwenden.
3. Wenn Sie über Microsoft Entra ID P1- oder P2-Lizenzen verfügen, verwenden Sie Richtlinien für bedingten Zugriff, um die Legacyauthentifizierung zu blockieren. Für Microsoft Entra ID Free-Tarif verwenden Sie Microsoft Entra-Sicherheitsstandards.
4. Blockieren Sie ältere Authentifizierungsmethoden, wenn Sie AD FS verwenden.
5. Blockieren Sie Legacy-Authentifizierung mithilfe von Exchange Server 2019.
6. Deaktivieren Sie die Legacyauthentifizierung in Exchange Online.

Weitere Informationen finden Sie unter Blockieren von Legacyauthentifizierungsprotokollen in Microsoft Entra ID.

Blockieren von ungültigen Authentifizierungseinstiegspunkten

Wenn Sie das "Verify"-Prinzip explizit verwenden, sollten Sie die Auswirkungen kompromittierter Benutzeranmeldeinformationen verringern, wenn sie auftreten. Berücksichtigen Sie für jede App in Ihrer Umgebung die gültigen Anwendungsfälle: welche Gruppen, welche Netzwerke, welche Geräte und welche anderen Elemente autorisiert sind. Blockieren Sie den Rest. Mithilfe von Microsoft Entra Conditional Access können Sie steuern, wie autorisierte Benutzer auf ihre Apps und Ressourcen zugreifen, basierend auf bestimmten Bedingungen, die Sie definieren.

Weitere Informationen finden Sie unter Cloud-Apps für bedingten Zugriff, Aktionen und Authentifizierungskontext.

Überprüfen und Verwalten von Administratorrollen

Eine weitere Zero Trust Säule erfordert eine Minimierung der Wahrscheinlichkeit, dass ein kompromittiertes Konto mit einer privilegierten Rolle arbeiten kann. Sie können dieses Steuerelement erreichen, indem Sie der Identität die geringste Berechtigung zuweisen. Wenn Sie noch nicht mit Microsoft Entra Rollen vertraut sind, hilft Ihnen dieser Artikel, Microsoft Entra Rollen zu verstehen.

Verwenden Sie reine Cloudkonten für privilegierte Rollen in Microsoft Entra ID, um sie von lokalen Umgebungen zu isolieren. Verwenden Sie keine lokalen Kennworttresore zum Speichern von Anmeldeinformationen.

Implementieren von Privileged Identity Management

Privileged Identity Management (PIM) bietet eine zeitbasierte und genehmigungsbasierte Rollenaktivierung, um die Risiken übermäßiger, unnötiger oder missbrauchter Zugriffsberechtigungen für wichtige Ressourcen zu minimieren. Zu diesen Ressourcen gehören Ressourcen in Microsoft Entra ID, Azure und anderen Microsoft Onlinediensten wie Microsoft 365 oder Microsoft Intune.

Microsoft Entra Privileged Identity Management (PIM) hilft Ihnen, Kontoberechtigungen zu minimieren, indem es Sie dabei unterstützt:

• Identifizieren und verwalten Sie Benutzer, denen Administratorrollen zugewiesen sind.
• Ermitteln Sie nicht verwendete Rollen oder Rollen mit übermäßigen Berechtigungen, die Sie entfernen sollten.
• Legen Sie Regeln fest, um sicherzustellen, dass privilegierte Rollen durch eine Multifaktor-Authentifizierung geschützt sind.
• Richten Sie Regeln ein, die sicherstellen, dass privilegierte Rollen nur so lange gewährt werden, wie zum Ausführen der entsprechenden Aufgabe erforderlich ist.

Aktivieren Sie Microsoft Entra PIM, zeigen Sie die Benutzer an, denen Administratorrollen zugewiesen sind, und entfernen Sie unnötige Konten in diesen Rollen. Ändern Sie die Berechtigungen für die verbleibenden privilegierten Benutzer von „dauerhaft“ zu „berechtigt“. Richten Sie schließlich geeignete Richtlinien ein, um sicherzustellen, dass Benutzer, wenn sie Zugriff auf diese privilegierten Rollen benötigen, diesen sicher und mit der erforderlichen Änderungskontrolle erhalten können.

Microsoft Entra eingebaute und benutzerdefinierte Rollen arbeiten mit Konzepten, die den rollenbasierten Zugriffssteuerungssystemen für Azure-Ressourcen (Azure-Rollen) ähneln. Die beiden rollenbasierten Zugriffssteuerungssysteme unterscheiden sich wie folgt:

• Microsoft Entra Rollen steuern den Zugriff auf Microsoft Entra Ressourcen wie Benutzer, Gruppen und Anwendungen mithilfe der Microsoft Graph-API.
• Azure Rollen steuern den Zugriff auf Azure Ressourcen wie virtuelle Computer oder Speicher mithilfe Azure Ressourcenverwaltung.

Beide Systeme enthalten ähnlich verwendete Rollendefinitionen und Rollenzuweisungen. Microsoft Entra Rollenberechtigungen können jedoch nicht in Azure benutzerdefinierten Rollen verwendet werden und umgekehrt. Befolgen Sie im Rahmen der Bereitstellung Ihres privilegierten Kontoprozesses die bewährte Methode, um mindestens zwei Notfallkonten zu erstellen, um sicherzustellen, dass Sie weiterhin Zugriff auf Microsoft Entra ID haben, wenn Sie sich selbst sperren.

Weitere Informationen finden Sie unter Planen einer Privileged Identity Management Bereitstellung und Sichern des privilegierten Zugriffs für Hybrid- und Cloudbereitstellungen in Microsoft Entra ID.

Einschränken von Benutzerzustimmungsvorgängen

Es ist wichtig, die verschiedenen Microsoft Entra Anwendungszustimmungserfahrungen, die Arten von Berechtigungen und Zustimmungen sowie ihre Auswirkungen auf den Sicherheitsstatus Ihrer Organisation zu verstehen. Es ist zwar von Vorteil, dass Benutzer selbstständig ihre Zustimmung geben können, um auf einfache Weise nützliche Anwendungen zu erwerben, die in Microsoft 365, Azure und andere Dienste integriert sind, doch kann dies ein Risiko darstellen, wenn es nicht sorgfältig verwendet und überwacht wird.

Microsoft empfiehlt, die Zustimmung des Benutzers einzuschränken, um die Zustimmung des Endbenutzers nur für Apps von bestätigten Herausgebern und nur für von Ihnen ausgewählte Berechtigungen zuzulassen. Wenn die Zustimmung des Endbenutzers eingeschränkt ist, werden frühere Zustimmungserteilungen weiterhin berücksichtigt, administratoren müssen jedoch alle zukünftigen Zustimmungsvorgänge ausführen. Für bestimmte Fälle können Benutzer die Administratorzustimmung über einen integrierten Workflow zur Administratorzustimmungsanforderung oder über Ihre eigenen Supportprozesse anfordern. Bevor Sie die Zustimmung des Endbenutzers einschränken, verwenden Sie Microsoft Empfehlungen, um diese Änderung in Ihrer Organisation zu planen. Für Anwendungen, auf die Sie allen Benutzern den Zugriff gestatten möchten, erwägen Sie, die Zustimmung im Namen aller Benutzer zu erteilen, um sicherzustellen, dass Benutzer, die noch nicht einzeln zugestimmt haben, auf die App zugreifen können. Wenn Sie nicht möchten, dass diese Anwendungen allen Benutzern in allen Szenarien zur Verfügung stehen, verwenden Sie Anwendungszuweisung und bedingten Zugriff, um den Benutzerzugriff auf bestimmte Apps zu beschränken.

Stellen Sie sicher, dass Benutzer die Administratorgenehmigung für neue Anwendungen anfordern können, um die Benutzerreibung zu verringern, das Supportvolumen zu minimieren und benutzer daran zu hindern, sich für Anwendungen mit nicht Microsoft Entra Anmeldeinformationen anzumelden. Nachdem Sie Ihre Zustimmungsvorgänge reguliert haben, sollten Administratoren App- und Zustimmungsberechtigungen regelmäßig überwachen.

Weitere Informationen finden Sie unter Microsoft Entra-Einwilligungsframework.

Schritt 3: Automatisieren der Reaktionen auf Bedrohungen

Microsoft Entra ID umfasst viele Funktionen, die Angriffe automatisch abfangen und die Latenz zwischen Erkennung und Reaktion verringern. Sie können Kosten und Risiken senken, indem Sie die Zeit verkürzen, die Kriminelle nutzen, um sich in Ihrer IT-Umgebung festzusetzen.

Weitere Informationen finden Sie unter Anleitung: Konfigurieren und Aktivieren von Risikorichtlinien.

Implementieren einer Richtlinie zum Anmelderisiko

Ein Anmelderisiko stellt die Wahrscheinlichkeit dar, dass der Identitätsbesitzer die Authentifizierungsanforderung nicht autorisiert hat. Sie können eine auf Anmelderisiken basierende Richtlinie implementieren, indem Sie Ihrer Richtlinien für bedingten Zugriff eine Anmelderisikobedingung hinzufügen, die das Risikoniveau für einen bestimmten Benutzer oder eine bestimmte Gruppe auswertet. Basierend auf Risikostufen wie "Hoch", "Mittel" oder "Niedrig" kann eine Richtlinie den Zugriff blockieren oder die mehrstufige Authentifizierung erzwingen. Microsoft empfiehlt, die mehrstufige Authentifizierung bei mittleren oder über riskanten Anmeldungen zu erzwingen.

Implementieren einer Benutzerrisiko-Sicherheitsrichtlinie

Das Benutzerrisiko gibt die Wahrscheinlichkeit einer Kompromittierung der Benutzeridentität an, und Der Identitätsschutz berechnet sie basierend auf den Benutzerrisikoerkennungen, die der Identität eines Benutzers zugeordnet sind. Sie können eine risikobasierte Benutzerrichtlinie implementieren, indem Sie Ihren Richtlinien für bedingten Zugriff eine Benutzerrisikobedingung hinzufügen, die das Risikoniveau für einen bestimmten Benutzer auswertet. Basierend auf einem niedrigen, mittleren oder hohen Risikoniveau kann eine Richtlinie den Zugriff blockieren oder eine sichere Kennwortänderung mithilfe der mehrstufigen Authentifizierung erfordern. Microsoft empfiehlt, eine sichere Kennwortänderung für Benutzer mit hohem Risiko zu verlangen.

Die Erkennung von Benutzerrisiken umfasst eine Überprüfung, ob die Anmeldeinformationen des Benutzers mit Anmeldeinformationen übereinstimmen, die von Cyberkriminellen offengelegt wurden. Für eine optimale Funktionsweise ist es wichtig, die Kennworthashsynchronisierung mithilfe von Microsoft Entra Connect Sync einzurichten.

Integrieren Sie Microsoft Defender XDR mit Microsoft Entra ID Protection

Damit Identitätsschutz die bestmögliche Risikoerkennung durchführt, benötigt er so viele Signale wie möglich. Es ist wichtig, die komplette Suite von Microsoft Defender XDR-Diensten zu integrieren:

• Microsoft Defender für Endpunkt.
• Microsoft Defender für Office 365.
• Microsoft Defender for Identity.
• Microsoft Defender für Cloud-Apps.

Erfahren Sie mehr über Microsoft Defender XDR und die Bedeutung der Integration verschiedener Domänen im folgenden kurzen Video.

Einrichten von Überwachung und Warnung

Es ist wichtig, Ihre Logs zu überwachen und zu prüfen, um verdächtiges Verhalten zu erkennen. Das Azure-Portal verfügt über verschiedene Möglichkeiten, Microsoft Entra Protokolle in andere Tools wie Microsoft Sentinel, Azure Monitor und andere SIEM-Tools zu integrieren. Weitere Informationen finden Sie im Microsoft Entra Sicherheitsbetriebshandbuch.

Schritt 4: Verwenden von CloudIntelligenz

Überwachung und Protokollierung sicherheitsrelevanter Ereignisse und zugehöriger Warnungen sind wesentliche Komponenten einer effizienten Schutzstrategie. Sicherheitsprotokolle und Berichte bieten eine elektronische Aufzeichnung verdächtiger Aktivitäten und helfen Ihnen bei der Erkennung von Mustern, die auf versuchte oder erfolgreiche externe Eindringversuche in das Netzwerk und auf interne Angriffe hinweisen können. Sie können im Rahmen der Überwachung entsprechende Benutzeraktivitäten überwachen, die Einhaltung gesetzlicher Bestimmungen dokumentieren, forensische Analysen durchführen und vieles mehr. Warnungen benachrichtigen Sie bei Sicherheitsereignissen. Stellen Sie sicher, dass für Ihre Anmeldeprotokolle und Überwachungsprotokolle eine Aufbewahrungsrichtlinie für Microsoft Entra ID vorhanden ist, indem Sie sie in Azure Monitor oder ein SIEM-Tool exportieren.

Microsoft Entra ID überwachen

Microsoft Azure Dienste und Features bieten konfigurierbare Sicherheitsüberwachungs- und Protokollierungsoptionen, um Lücken in Ihren Sicherheitsrichtlinien und -mechanismen zu erkennen und diese Lücken zu beheben, um Verstöße zu verhindern. Verwenden Sie Azure-Protokollierung und -Überwachung und Berichte zur Überwachungsaktivität im Microsoft Entra Admin Center. Weitere Informationen finden Sie im Handbuch zu Microsoft Entra Sicherheitsvorgängen zum Überwachen von Benutzerkonten, privilegierten Konten, Apps und Geräten.

Überwachen Microsoft Entra Connect Health in Hybridumgebungen

Die Überwachung von AD FS mit Microsoft Entra Connect Health bietet einen besseren Einblick in potenzielle Probleme und die Sichtbarkeit von Angriffen auf Ihre AD FS-Infrastruktur. Sie können jetzt AD FS-Anmeldungen anzeigen, um ihrer Überwachung mehr Tiefe zu verleihen. Microsoft Entra Connect Health liefert Warnungen, die Details, Lösungsschritte und Links zu verwandten Dokumentationen enthalten; Nutzungsanalysen für mehrere Metriken im Zusammenhang mit Authentifizierungsdatenverkehr, Leistungsüberwachung und Berichte. Verwenden Sie die Arbeitsmappe für riskante IP-Adressen für AD FS, um das normale Verhalten in Ihrer Umgebung zu ermitteln und bei Änderungen zu warnen. Überwachen Sie alle Hybridinfrastrukturen als Ressource der Stufe 0. Detaillierte Überwachungsleitfaden für diese Ressourcen finden Sie im Sicherheitsbetriebshandbuch für Infrastruktur.

Überwachen von Microsoft Entra ID Protection Ereignissen

Microsoft Entra ID Protection bietet zwei wichtige Berichte, die Sie täglich überwachen sollten:

• Riskante Anmeldeberichte enthalten Benutzeranmeldungsaktivitäten, die Sie untersuchen sollten, um festzustellen, ob der legitime Besitzer die Anmeldung ausgeführt hat.
• Berichte zu riskanten Benutzern zeigen Benutzerkonten an, die möglicherweise kompromittiert wurden, z. B. wenn geleakte Anmeldeinformationen erkannt werden oder wenn sich der Benutzer von unterschiedlichen Standorten aus anmeldet, was zu einem Ereignis vom Typ „Unmögliche Reise“ führt.

Überwachen von Apps und Berechtigungen, denen zugestimmt wurde

Angreifer können Benutzer dazu verleiten, zu einer kompromittierten Website oder Apps zu navigieren, die Zugriff auf ihre Profilinformationen und Benutzerdaten erhalten, z. B. ihre E-Mail. Ein böswilliger Akteur kann die erteilten Berechtigungen verwenden, die sie erhalten, um Postfachinhalte zu verschlüsseln und ein Lösegeld zum Wiederherstellen Ihrer Postfachdaten zu verlangen. Administratoren sollten die Berechtigungen, die Benutzer gewähren, überprüfen und überwachen. Zusätzlich zur Überwachung der Berechtigungen, die Benutzern gewährt werden, können Sie riskante oder unerwünschte OAuth-Anwendungen in Premiumumgebungen suchen.

Schritt 5: Aktivieren von Self-Service-Funktionen für Endbenutzer*innen

So viel wie möglich möchten Sie sicherheit mit Produktivität ausgleichen. Wenn Sie Ihre Transformation mit der Haltung angehen, damit ein Fundament für Sicherheit zu schaffen, können Sie Reibungsverluste in Ihrer Organisation abbauen, indem Sie Ihre Benutzer befähigen, wachsam bleiben und Ihren operativen Aufwand reduzieren.

"Selbstbedienungs-Kennwortzurücksetzung implementieren"

Die Self-Service-Kennwortzurücksetzung (SSPR) von Microsoft Entra ID bietet IT-Administratoren eine einfache Möglichkeit, Benutzern das Zurücksetzen oder Entsperren ihrer Kennwörter oder Konten ohne die Hilfe des Helpdesks oder eines Administrators zu ermöglichen. Das System verfügt über eine ausführliche Berichterstellung, die die Kennwortänderungen der Benutzer nachverfolgt, und Benachrichtigungen, um Sie bei missbräuchlicher Nutzung zu informieren.

Implementieren von Self-Service-Gruppen und Anwendungszugriff

Microsoft Entra ID kann Nichtadministratoren ermöglichen, den Zugriff auf Ressourcen mithilfe von Sicherheitsgruppen, Microsoft 365-Gruppen, Anwendungsrollen und Katalogen für Zugriffspakete zu verwalten. Mithilfe der Self-Service-Gruppenverwaltung können Gruppenbesitzer ihre eigenen Gruppen verwalten, ohne ihnen eine administrative Rolle zuzuweisen. Benutzer können auch Microsoft 365 Gruppen erstellen und verwalten, ohne sich auf Administratoren verlassen zu müssen, um ihre Anforderungen zu verarbeiten, und nicht verwendete Gruppen laufen automatisch ab. Die Microsoft Entra-Berechtigungsverwaltung unterstützt außerdem Delegierung und Sichtbarkeit durch umfassende Workflows für Zugriffsanforderungen und einen automatischen Ablauf. Sie können Nichtadministratoren die Möglichkeit übertragen, ihre eigenen Zugriffspakete für Gruppen, Teams, Anwendungen und SharePoint Online-Websites zu konfigurieren, die ihnen gehören. Verwenden Sie benutzerdefinierte Richtlinien, um festzulegen, wer den Zugriff genehmigen muss, z. B. die Vorgesetzten von Mitarbeitern und die Sponsoren von Geschäftspartnern.

Implementieren Microsoft Entra Zugriffsüberprüfungen

Mit Microsoft Entra Zugriffsüberprüfungen können Sie Zugriffspaket- und Gruppenmitgliedschaften, den Zugriff auf Unternehmensanwendungen und privilegierte Rollenzuweisungen verwalten, um sicherzustellen, dass Sie einen Sicherheitsstandard beibehalten. Mit der regelmäßigen Überwachung durch die Benutzer selbst, durch Ressourcenbesitzer und durch andere Prüfer wird sichergestellt, dass Benutzer den Zugriff nicht über längere Zeiträume beibehalten, wenn sie ihn nicht mehr benötigen.

Automatische Benutzerbereitstellung implementieren

Die Bereitstellung und die Aufhebung der Bereitstellung sind die Prozesse, mit denen die Einheitlichkeit (Konsistenz) digitaler Identitäten für mehrere Systeme sichergestellt wird. Diese Prozesse werden häufig im Rahmen des Identity Lifecycle Management genutzt.

Provisioning bezeichnet den Prozess der Erstellung einer Identität in einem Zielsystem auf Grundlage bestimmter Bedingungen. Die Deprovisionierung ist der Vorgang, die Identität aus dem Zielsystem zu entfernen, wenn die Bedingungen nicht mehr erfüllt sind. Die Synchronisierung ist der Prozess, mit dem das bereitgestellte Objekt auf dem neuesten Stand gehalten wird, sodass das Quellobjekt und das Zielobjekt konsistent sind.

Microsoft Entra ID bietet derzeit drei Bereiche der automatisierten Bereitstellung:

• Bereitstellung von einem externen nicht verzeichnisautorisierenden Datensatzsystem zum Microsoft Entra ID über die HR-gesteuerte Bereitstellung.
• Bereitstellung von Microsoft Entra ID für Anwendungen über App-Bereitstellung.
• Bereitstellung zwischen Microsoft Entra ID und Active Directory Domain Services über verzeichnisübergreifende Bereitstellung.

Weitere Informationen finden Sie unter Was ist die Bereitstellung?.

Zusammenfassung

Eine sichere Identitätsinfrastruktur hat viele Aspekte, aber diese fünfstufige Checkliste hilft Ihnen, schnell eine sicherere, sicherere Identitätsinfrastruktur zu erreichen:

• Bauen Sie Ihre Qualifikationen aus.
• Verringern Sie Ihre Angriffsfläche.
• Automatisieren Sie die Reaktion auf Bedrohungen.
• Verwenden Sie CloudIntelligenz.
• Aktivieren Sie den Self-Service des Endbenutzers.

Vielen Dank, dass Sie Sicherheit ernst nehmen. Dieses Dokument kann als nützliche Roadmap für eine sicherere Haltung für Ihre Organisation dienen.

Nächste Schritte

Unterstützung bei der Planung und Bereitstellung der Empfehlungen finden Sie in den Microsoft Entra ID Projektbereitstellungsplänen.

Wenn Sie sicher sind, dass alle diese Schritte abgeschlossen sind, verwenden Sie Microsofts Identity Secure Score, die Sie mit den neuesten bewährten Methoden und Sicherheitsbedrohungen auf dem neuesten Stand hält.