Microsoft Entra-SecOps für Consumerkonten

Benutzeridentität ist einer der wichtigsten Aspekte beim Schutz Ihrer Organisation und Daten. Dieser Artikel bietet einen Leitfaden zum Überwachen der Erstellung, Löschung und Nutzung von Konten. Im ersten Teil wird die Überwachung auf ungewöhnliche Kontoerstellung und -löschung behandelt. Der zweite Teil befasst sich mit der Überwachung ungewöhnlicher Kontonutzung.

Wenn Sie die Übersicht über Microsoft Entra-Sicherheitsvorgänge noch nicht gelesen haben, sollten Sie dies tun, ehe Sie fortfahren.

In diesem Artikel werden allgemeine Benutzerkonten behandelt. Informationen zu privilegierten Konten finden Sie unter „Sicherheitsvorgänge: privilegierte Konten“.

Definieren einer Baseline

Um anomales Verhalten zu ermitteln, müssen Sie zunächst definieren, wie normales und erwartetes Verhalten aussieht. Das Definieren des erwarteten Verhaltens für Ihre Organisation hilft Ihnen bei der Ermittlung, sobald unerwartetes Verhalten auftritt. Die Definition trägt auch dazu bei, die Menge falsch positiver Ergebnisse bei der Überwachungs- und Warnungsaktivität zu verringern.

Nachdem Sie definiert haben, was Sie erwarten, führen Sie eine Baselineüberwachung durch, um Ihre Erwartungen zu überprüfen. Mit diesen Informationen können Sie die Protokolle auf alles überwachen, was außerhalb der von Ihnen festgelegten Toleranzen liegt.

Verwenden Sie die Microsoft Entra-Überwachungsprotokolle, Microsoft Entra-Anmeldeprotokolle und Verzeichnisattribute als Datenquellen für Konten, die außerhalb normaler Prozesse erstellt wurden. Die folgenden Vorschläge sollen Ihnen eine Hilfestellung bei der Definition von „normal“ für Ihre Organisation geben.

• Erstellung eines Benutzerkontos: Prüfen Sie Folgendes:

  • Strategie und Prinzipien für Tools und Prozesse, die zum Erstellen und Verwalten von Benutzerkonten verwendet werden. Gibt es beispielsweise Standardattribute, d. h. Formate, die auf Benutzerkontenattribute angewendet werden?

  • Genehmigte Quellen für die Kontoerstellung. Beispielsweise in Active Directory (AD), Microsoft Entra ID oder Personalmanagementsystemen wie Workday.

  • Warnungsstrategie für Konten, die außerhalb genehmigter Quellen erstellt wurden. Gibt es eine kontrollierte Liste der Organisationen, mit denen Ihre Organisation zusammenarbeitet?

  • Bereitstellung von Gastkonten und Warnungsparametern für Konten, die außerhalb der Berechtigungsverwaltung oder anderer normaler Prozesse erstellt wurden.

  • Strategie- und Warnungsparameter für Konten, die von einem Konto erstellt, geändert oder deaktiviert wurden, das keinem genehmigten Benutzeradministrator gehört.

  • Überwachungs- und Warnungsstrategie für Konten ohne Standardattribute, z. B. Mitarbeiter-ID oder Nichtbefolgung der Benennungskonventionen der Organisation.

  • Strategie, Prinzipien und Prozess zum Löschen und Aufbewahren von Konten.

• Lokale Benutzerkonten: Prüfen Sie Folgendes für Konten, die mit Microsoft Entra Connect synchronisiert wurden:

  • Die Gesamtstrukturen, Domänen und Organisationseinheiten im Geltungsbereich der Synchronisierung. Wer sind die genehmigten Administratoren, die diese Einstellungen ändern können, und wie oft wird der Geltungsbereich überprüft?

  • Die Typen synchronisierter Konten. Beispiel: Benutzerkonten und/oder Dienstkonten.

  • Der Prozess zum Erstellen privilegierter lokaler Konten und zum Steuern der Synchronisierung dieses Kontotyps.

  • Der Prozess zum Erstellen lokaler Konten und zum Verwalten der Synchronisierung dieses Kontotyps.

Weitere Informationen zum Absichern und Überwachen lokaler Konten finden Sie unter Schützen von Microsoft 365 vor lokalen Angriffen.

• Cloudbenutzerkonten: Prüfen Sie Folgendes:

  • Prozess zum Bereitstellen und Verwalten von Cloudkonten direkt in Microsoft Entra ID.

  • Prozess zum Bestimmen der Benutzertypen, für die Microsoft Entra-Cloudkonten bereitgestellt werden. Lassen Sie beispielsweise nur privilegierte Konten oder auch Benutzerkonten zu?

  • Prozess zum Erstellen und Verwalten einer Liste vertrauenswürdiger Personen und Prozesse, von denen das Erstellen und Verwalten von Cloudbenutzerkonten erwartet wird.

  • Prozess zum Erstellen und Verwalten einer Warnungsstrategie für nicht genehmigte Cloudkonten.

Zu untersuchende Protokolle

Zur Untersuchung und Überwachung verwenden Sie die folgenden Protokolldateien:

• Microsoft Entra-Überwachungsprotokolle

• Anmeldeprotokolle

• Microsoft 365-Überwachungsprotokolle

• Azure Key Vault-Protokolle

• Protokoll zu Risikobenutzern

• UserRiskEvents-Protokoll

Im Azure-Portal können Sie die Microsoft Entra-Überwachungsprotokolle anzeigen und als CSV-Datei (Comma Separated Value) oder JSON-Datei (JavaScript Object Notation) herunterladen. Das Azure-Portal bietet mehrere Möglichkeiten zur Integration von Microsoft Entra-Protokollen in andere Tools, die eine umfassendere Automatisierung von Überwachung und Benachrichtigungen ermöglichen:

• Microsoft Sentinel : Ermöglicht intelligente Sicherheitsanalysen auf Unternehmensebene, indem SIEM-Funktionen (Security Information and Event Management) zur Verfügung gestellt werden.

• Sigma-Regeln: Sigma ist ein sich in Entwicklung befindender offener Standard zum Schreiben von Regeln und Vorlagen, die automatisierte Verwaltungstools zum Parsen von Protokolldateien verwenden können. Wenn Sigma-Vorlagen für unsere empfohlenen Suchkriterien vorhanden sind, verweist ein Link zum Sigma-Repository. Sigma-Vorlagen werden von Microsoft weder geschrieben, noch getestet und verwaltet. Das Repository und die Vorlagen werden von der weltweiten IT-Sicherheitscommunity erstellt und gesammelt.

• Azure Monitor : ermöglicht die automatisierte Überwachung verschiedener Bedingungen und entsprechende Warnungen. Mit dem Tool können Arbeitsmappen erstellt werden, die sich zum Kombinieren von Daten aus verschiedenen Quellen eignen.

• Azure Event Hubs mit Integration in ein SIEM-System: Microsoft Entra-Protokolle können über die Azure Event Hub-Integration in andere SIEM-Systeme integriert werden, z. B. in Splunk, ArcSight, QRadar und Sumo Logic.

• Microsoft Defender for Cloud Apps: Ermöglicht Ihnen die Erkennung und Verwaltung von Apps, die Steuerung von Apps und Ressourcen sowie die Überprüfung der Compliance Ihrer Cloud-Apps.

• Sichern von Workload Identities mit Microsoft Entra ID Protection: Wird verwendet, um Risiken für Workload Identities über das Anmeldeverhalten und Offline-Kompromittierungsindikatoren zu erkennen.

Ein Großteil der Überwachung und zugehörigen Warnungen hängt von den Auswirkungen Ihrer Richtlinien für bedingten Zugriff ab. Sie können die Arbeitsmappe Erkenntnisse und Berichterstellung zum bedingten Zugriff verwenden, um die Auswirkungen einer oder mehrere Richtlinien für bedingten Zugriff auf Ihre Anmeldungen sowie die Ergebnisse von Richtlinien, einschließlich Gerätestatus, zu untersuchen. Diese Arbeitsmappe bietet Ihnen die Möglichkeit, eine Zusammenfassung anzuzeigen und die Auswirkungen über einen bestimmten Zeitraum zu ermitteln. Sie können mithilfe der Arbeitsmappe auch die Anmeldungen eines bestimmten Benutzers untersuchen.

Im restlichen Teil dieses Artikels wird beschrieben, was wir Ihnen zur Überwachung und für zugehörige Warnungen empfehlen, und zwar gegliedert nach der Art der Bedrohung. Wo es spezielle vordefinierte Lösungen gibt, verweisen wir auf diese oder stellen Beispiele im Anschluss an die Tabelle zur Verfügung. Andernfalls können Sie Warnungen mithilfe der oben genannten Tools erstellen.

Kontoerstellung

Eine anomale Kontoerstellung kann auf ein Sicherheitsproblem hinweisen. Kurzlebige, nicht den Benennungsstandards entsprechende und außerhalb normaler Prozesse erstellte Konten müssen untersucht werden.

Kurzlebige Konten

Das Erstellen und Löschen von Konten außerhalb der normalen Identitätsverwaltungsprozesse muss in Microsoft Entra ID überwacht werden. Kurzlebige Konten sind Konten, die innerhalb einer kurzen Zeitspanne erstellt und gelöscht werden. Diese Art der Kontoerstellung und des schnellen Löschens kann bedeuten, dass ein böswilliger Akteur versucht, die Erkennung zu vermeiden, indem er Konten erstellt, einsetzt und dann löscht.

Muster kurzlebiger Konten können darauf hindeuten, dass nicht genehmigte Personen oder Prozesse das Recht haben, Konten zu erstellen und zu löschen, die nicht den festgelegten Prozessen und Richtlinien entsprechen. Bei dieser Art von Verhalten werden sichtbare Marker aus dem Verzeichnis entfernt.

Wenn der Datenpfad der Kontoerstellung und -löschung nicht schnell ermittelt wird, sind die für die Untersuchung eines Incidents erforderlichen Informationen möglicherweise nicht mehr vorhanden. Beispielsweise können Konten erst gelöscht und dann endgültig aus dem Papierkorb gelöscht werden. Aktivitätsprotokolle werden 30 Tage aufbewahrt. Sie können Ihre Protokolle jedoch zur längerfristigen Aufbewahrung in Azure Monitor oder eine SIEM-Lösung (Security Information and Event Management) exportieren.

Sowohl privilegierte als auch nicht privilegierte Konten müssen überwacht und mit entsprechenden Warnungen versehen werden. Da privilegierte Konten jedoch über administrative Berechtigungen verfügen, müssen sie in Ihren Überwachungs-, Warn- und Reaktionsprozessen höhere Priorität haben.

Konten, die Benennungsrichtlinien nicht befolgen

Benutzerkonten, die Benennungsrichtlinien nicht befolgen, wurden möglicherweise unter Umgehung von Organisationsrichtlinien erstellt.

Eine bewährte Methode ist eine Benennungsrichtlinie für Benutzerobjekte. Eine Benennungsrichtlinie erleichtert die Verwaltung und sorgt für Konsistenz. Die Richtlinie kann auch helfen zu ermitteln, wann Benutzer außerhalb genehmigter Prozesse erstellt wurden. Ein böswilliger Akteur ist sich möglicherweise nicht über Ihre Namensstandards im Klaren, was die Erkennung eines Kontos, das außerhalb Ihrer Organisationsprozesse bereitgestellt wurde, erleichtern kann.

In Organisationen gibt es in der Regel bestimmte Formate und Attribute, die für die Erstellung von Benutzer- oder privilegierten Konten verwendet werden. Zum Beispiel:

• UPN von Administratorkonten = ADM_firstname.lastname@tenant.onmicrosoft.com

• UPN von Benutzerkonten = Firstname.Lastname@contoso.com

Benutzerkonten verfügen häufig über ein Attribut, das einen realen Benutzer identifiziert. Beispiel: EMPID = XXXNNN. Verwenden Sie die folgenden Vorschläge zum Definieren, was normal für Ihre Organisation ist, und beim Festlegen einer Baseline für Protokolleinträge, wenn Konten nicht die Namenskonvention befolgen:

• Konten, die nicht der Benennungskonvention entsprechen. Beispielsweise nnnnnnn@contoso.com im Vergleich zu firstname.lastname@contoso.com.

• Konten, deren Standardattribute nicht ausgefüllt sind oder die nicht das richtige Format haben. Beispielsweise fehlende gültige Mitarbeiter-ID.

Weitere Informationen zur Analyse finden Sie unter:

• Microsoft Entra-Überwachungsprotokolle: Analysieren von Textdaten in Azure Monitor-Protokollen

• Azure-Abonnements: Auflisten von Azure-Rollenzuweisungen mit Azure PowerShell

• Microsoft Entra ID: Auflisten von Microsoft Entra Rollenzuweisungen

Außerhalb normaler Prozesse erstellte Konten

Standardprozesse zum Erstellen von Benutzern und privilegierten Konten sind wichtig, damit Sie den Lebenszyklus von Identitäten sicher steuern können. Wenn Benutzer außerhalb eingerichteter Prozesse bereitgestellt werden bzw. ihre Bereitstellung aufgehoben wird, kann dies zu Sicherheitsrisiken führen. Ein Betrieb außerhalb etablierter Prozesse kann auch Probleme bei der Identitätsverwaltung verursachen. Mögliche Risiken:

• Benutzer- und privilegierte Konten unterliegen möglicherweise nicht den Richtlinien der Organisation. Dies kann zu einer größeren Angriffsfläche für Konten führen, die nicht ordnungsgemäß verwaltet werden.

• Es wird schwieriger zu erkennen, wenn böswillige Akteure Konten für böswillige Zwecke erstellen. Wenn gültige Konten außerhalb etablierter Verfahren erstellt werden, wird es schwieriger zu erkennen, wann für böswillige Zwecke Konten erstellt oder Berechtigungen geändert werden.

Es wird empfohlen, Benutzer- und privilegierte Konten nur gemäß Ihren Organisationsrichtlinien zu erstellen. Beispielsweise sollte ein Konto gemäß den ordnungsgemäßen Benennungsstandards, Organisationsinformationen und im Rahmen der entsprechenden Identitätsgovernance erstellt werden. Organisationen sollten streng kontrollieren, wer Rechte zum Erstellen, Verwalten und Löschen von Identitäten hat. Rollen zur Erstellung dieser Konten sollten streng geregelt werden, und die Rechte sollten nur unter Befolgung eines festgelegten Workflows zur Genehmigung und zum Bezug dieser Berechtigungen verfügbar sein.

Ungewöhnliche Anmeldungen

Fehler bei der Benutzerauthentifizierung sind normal. Aber das Erkennen von Mustern oder Häufungen von Fehlern kann ein Hinweis darauf sein, dass mit der Identität eines Benutzers etwas nicht stimmt. Dies kann beispielsweise bei Kennwortspray- oder Brute-Force-Angriffen oder kompromittierten Benutzerkonten der Fall sein. Eine entsprechende Überwachung und Warnung ist bei Auftreten von Mustern unbedingt erforderlich. Dadurch wird sichergestellt, dass Sie die Benutzer und Daten in Ihrer Organisation schützen können.

Eine Erfolgsmeldung scheint zu bedeuten, dass alles in Ordnung ist. Sie kann jedoch auch bedeuten, dass ein böswilliger Akteur erfolgreich auf einen Dienst zugegriffen hat. Die Überwachung erfolgreicher Anmeldungen hilft Ihnen dabei, Benutzerkonten aufzuspüren, die zwar Zugriff erhalten, aber eigentlich keinen Zugriff haben sollten. Erfolgreiche Benutzerauthentifizierungen sind normale Einträge in Microsoft Entra-Anmeldeprotokollen. Wir empfehlen eine Überwachung auf und Warnung bei auftretenden Mustern. Dadurch wird sichergestellt, dass Sie die Benutzerkonten und Daten in Ihrer Organisation schützen können.

Sobald Sie eine Protokollüberwachungs- und Warnstrategie entwerfen und umsetzen möchten, sollten Sie die Tools im Azure-Portal berücksichtigen. Mit Azure AD Identity Protection können Sie Erkennung, Schutz und Korrektur identitätsbasierter Risiken automatisieren. ID-Schutz nutzt mit Daten gefütterte Machine Learning- und heuristische Systeme, um Risiken zu erkennen und Benutzern und Anmeldungen einen Risikopunktwert zuzuweisen. Kunden können Richtlinien auf Grundlage einer Risikostufe konfigurieren, um Zugriff zuzulassen oder zu verweigern oder dem Benutzer die Möglichkeit zu geben, ein Risiko auf sichere Weise selbst zu beseitigen. Die folgenden ID Protection-Risikoerkennungen informieren derzeit über Risikostufen:

Weitere Informationen finden Sie unter Was ist ID Schutz?.

Suchschwerpunkte

Konfigurieren Sie die Überwachung der Daten in den Microsoft Entra-Anmeldeprotokollen, um sicherzustellen, dass Warnungen ausgegeben und die Sicherheitsrichtlinien Ihrer Organisation eingehalten werden. Einige Beispiele:

• Fehlgeschlagene Authentifizierungen: Wie alle Menschen machen wir auch einmal Fehler bei der Kennworteingabe. Viele fehlgeschlagene Authentifizierungen können jedoch darauf hindeuten, dass ein böswilliger Akteur versucht, sich Zugriff zu verschaffen. Angriffe sind unterschiedlich intensiv und können von wenigen Versuchen pro Stunde bis hin zu einer deutlich höheren Rate reichen. Bei einem Kennwort-Spray-Angriff wird versucht, sich mit den meistverwendeten Kennwörtern bei vielen verschiedenen Konten anzumelden, während bei einem Brute-Force-Angriff sehr viele Kennwörter für gezielt ausgewählte Konten ausprobiert werden.

• Unterbrochene Authentifizierungen: Eine Unterbrechung stellt in Microsoft Entra ID eine Einschaltung eines Prozesses zur Erfüllung der Authentifizierungsanforderungen dar, z. B. beim Erzwingen einer Steuerung in einer Richtlinie für bedingten Zugriff. Dies ist ein normales Ereignis und kann vorkommen, wenn Anwendungen nicht ordnungsgemäß konfiguriert sind. Wenn jedoch viele Unterbrechungen für ein Benutzerkonto erkennbar werden, kann dies darauf hindeuten, dass mit diesem Konto etwas nicht stimmt.

  • Wenn Sie beispielsweise in den Anmeldeprotokollen nach einem Benutzer gefiltert haben und eine große Anzahl von Anmeldungen mit „Status = Unterbrochen“ und „Bedingter Zugriff = Fehler“ sehen. Bei genauerer Betrachtung könnten die Authentifizierungsdetails zeigen, dass das Kennwort zwar stimmt, aber eine strenge Authentifizierung erforderlich ist. Dies kann bedeuten, dass der Benutzer die Multi-Faktor-Authentifizierung (MFA) nicht abschließt, was wiederum bedeuten könnte, dass das Kennwort des Benutzers kompromittiert ist und der böswillige Akteur nicht in der Lage ist, die MFA abzuschließen.

• Intelligente Sperrung: Microsoft Entra ID bietet einen intelligenten Sperrdienst, mit dem das Konzept vertrauter und nicht vertrauter Orte in den Authentifizierungsprozess eingeführt wurde. Ein Benutzerkonto, das einen vertrauten Ort besucht, kann sich erfolgreich authentifizieren, während ein böswilliger Akteur, der am selben Ort nicht vertraut ist, nach mehreren Versuchen gesperrt wird. Suchen Sie nach Konten, die gesperrt wurden, und untersuchen Sie sie weiter.

• Änderungen an IP-Adressen: Es ist normal, dass Benutzeraktivitäten von unterschiedlichen IP-Adressen stammen. Der Zero-Trust-Ansatz steht jedoch unter dem Motto „Niemals vertrauen, immer überprüfen“. Das Erkennen einer großen Anzahl von IP-Adressen und fehlgeschlagener Anmeldungen kann ein Hinweis auf einen Eindringversuch sein. Suchen Sie nach einem Muster vieler fehlgeschlagener Authentifizierungen, die von mehreren IP-Adressen stammen. Beachten Sie, dass VPN-Verbindungen (virtuelles privates Netzwerk) falsch positive Ergebnisse verursachen können. Unabhängig von den Herausforderungen wird empfohlen, auf Änderungen an IP-Adressen zu achten und nach Möglichkeit Microsoft Entra ID Protection einzusetzen, um diese Risiken automatisch zu erkennen und zu entschärfen.

• Orte: Im Allgemeinen erwarten Sie, dass sich ein Benutzerkonto am gleichen geografischen Ort befindet. Sie erwarten auch Anmeldungen von Orten, an denen Sie Mitarbeiter oder Geschäftsbeziehungen haben. Wenn die Anmeldung des Benutzerkontos von einem anderen internationalen Ort aus in kürzerer Zeit erfolgt, als für die Reise dorthin erforderlich wäre, kann dies ein Hinweis auf Missbrauch des Benutzerkontos sein. Beachten Sie, dass VPNs False Positives verursachen können. Es wird empfohlen, die Anmeldung von Benutzerkonten von geografisch entfernten Orten aus zu überwachen und nach Möglichkeit Microsoft Entra ID Protection einzusetzen, um diese Risiken automatisch zu erkennen und zu entschärfen.

Für diesen Risikobereich empfehlen wir, Standardbenutzerkonten und privilegierte Konten zu überwachen, wobei die Untersuchung privilegierter Konten Vorrang hat. Privilegierte Konten sind die wichtigsten Konten in jedem Microsoft Entra-Mandanten. Einen spezifischen Leitfaden für privilegierte Konten finden Sie unter „Sicherheitsvorgänge: privilegierte Konten“.

Vorgehensweise zum Erkennen eines Ausfalls von Azure Storage

Sie nutzen Microsoft Entra ID Protection und die Microsoft Entra-Anmeldeprotokolle, um Bedrohungen zu erkennen, die durch ungewöhnliche Anmeldungsmerkmale gekennzeichnet sind. Weitere Informationen finden Sie im Artikel Was ist ID Protection?. Sie können die Daten auch zu Überwachungs- und Warnungszwecken in Azure Monitor oder ein SIEM-System replizieren. Um den Normalzustand für Ihre Umgebung zu definieren und eine Baseline festzulegen, bestimmen Sie Folgendes:

• die Parameter, die Sie für Ihren Benutzerstamm als normal betrachten.

• die durchschnittliche Anzahl von Versuchen der Kennworteingabe über einen Zeitraum, bevor der Benutzer sich an den Helpdesk wendet oder eine Self-Service-Kennwortzurücksetzung durchführt.

• die Anzahl fehlgeschlagener Versuche, die Sie vor einer Warnung zulassen möchten, und ob diese für Benutzerkonten und privilegierte Konten unterschiedlich sein soll.

• die Anzahl von MFA-Versuchen, die Sie vor einer Warnung zulassen möchten, und ob diese für Benutzerkonten und privilegierte Konten unterschiedlich sein soll.

• ob eine Legacyauthentifizierung aktiviert ist und Ihre Roadmap für die Einstellung ihrer Nutzung.

• ob die bekannten ausgehenden IP-Adressen zu Ihrer Organisation gehören.

• die Länder/Regionen, in denen Ihre Benutzer arbeiten.

• ob es Gruppen von Benutzern gibt, die innerhalb eines Netzstandorts oder in einem Land/einer Region stationär bleiben.

• Geben Sie alle anderen Indikatoren für ungewöhnliche Anmeldungen an, die für Ihre Organisation spezifisch sind. Beispiele hierfür sind Tage oder Zeiten der Woche oder des Jahres, an denen der Betrieb in Ihrer Organisation ruht.

Wenn Sie festgelegt haben, was für die Konten in Ihrer Umgebung normal ist, sollten Sie die folgende Liste berücksichtigen, um zu bestimmen, welche Szenarien Sie überwachen und für welche Sie eine Warnung ausgeben möchten, und um Ihre Warnungen zu optimieren.

• Ist eine Überwachung und Warnung erforderlich, wenn Microsoft Entra ID Protection konfiguriert ist?

• Gelten strengere Bedingungen für privilegierte Konten, die Sie zur Überwachung und Warnung nutzen können? Beispielsweise kann die Anforderung privilegierter Konten nur von vertrauenswürdigen IP-Adressen erfolgen.

• Sind die von Ihnen festgelegten Baselines zu aggressiv? Zu viele Warnungen können dazu führen, dass Warnungen ignoriert oder übersehen werden.

Konfigurieren Sie Identity Protection, um sicherzustellen, dass Schutz so besteht, dass die Richtlinien Ihrer Sicherheitsbaseline erfüllt werden. Beispiel: Blockieren von Benutzern, wenn das Risiko hoch ist. Diese Risikostufe gibt mit einem hohen Maß an Konfidenz an, dass ein Benutzerkonto kompromittiert ist. Weitere Informationen zum Einrichten von Richtlinien für Anmelde- und Benutzerrisiken finden Sie unter ID Protection-Richtlinien.

Die folgenden Einträge sind nach Auswirkung und Schweregrad in der Reihenfolge ihrer Bedeutung aufgeführt.

Überwachen externer Benutzeranmeldungen

Überwachung auf fehlgeschlagene ungewöhnliche Anmeldungen

Die folgenden Einträge sind nach Auswirkung und Schweregrad in der Reihenfolge ihrer Bedeutung aufgeführt.

Überwachung auf erfolgreiche ungewöhnliche Anmeldungen

Wir empfehlen Ihnen, regelmäßig die Authentifizierungen für Anwendungen mit mittleren (MBI) und erheblichen Geschäftsauswirkungen (HBI) zu überprüfen, bei denen nur eine einstufige Authentifizierung erforderlich ist. Stellen Sie jeweils fest, ob eine einstufige Authentifizierung erwartet wurde oder nicht. Überprüfen Sie außerdem basierend auf dem Ort, ob die Authentifizierung erfolgreich oder zu unerwarteten Zeiten erfolgreich war.

Nächste Schritte

Weitere Informationen finden Sie in den folgenden Artikeln im Leitfaden zu Sicherheitsvorgängen:

Übersicht zu Microsoft Entra-SecOps

Sicherheitsvorgänge für Consumerkonten

Sicherheitsvorgänge für privilegierte Konten

Sicherheitsvorgänge für Privileged Identity Management

Sicherheitsvorgänge für Anwendungen

Sicherheitsvorgänge für Geräte

Sicherheitsvorgänge für die Infrastruktur