Sicherheitskontrolle: Identität und Zugriffssteuerung

Die Empfehlungen für die Identitäts- und Zugriffsverwaltung konzentrieren sich auf die Behebung von Problemen, die bei der identitätsbasierten Zugriffssteuerung, beim Sperren des Administratorzugriffs, bei Warnungen zu identitätsbezogenen Ereignissen, bei anomalem Verhalten und bei der rollenbasierten Zugriffssteuerung auftreten.

3.1: Verwalten eines Bestands von Administratorkonten

Azure AD umfasst integrierte Rollen, die explizit zugewiesen werden müssen und abgefragt werden können. Verwenden Sie das Azure AD PowerShell-Modul, um Ad-hoc-Abfragen zum Ermitteln von Konten auszuführen, die Mitglieder von administrativen Gruppen sind.

• Abrufen einer Verzeichnisrolle in Azure AD mit PowerShell

• Abrufen von Mitgliedern einer Verzeichnisrolle in Azure AD mit PowerShell

3.2: Ändern von Standardkennwörtern bei Bedarf

Azure AD verfügt nicht über das Konzept von Standardkennwörtern. Bei anderen Azure-Ressourcen, für die ein Kennwort erforderlich ist, wird erzwungen, dass ein Kennwort mit komplexen Anforderungen und einer minimalen Kennwortlänge, die sich je nach Dienst unterscheiden, erstellt wird. Sie sind verantwortlich für Anwendungen und Marketplace-Dienste von Drittanbietern, bei denen möglicherweise Standardkennwörter verwendet werden.

3.3: Verwenden dedizierter Administratorkonten

Erstellen Sie Standardbetriebsvorgänge für die Verwendung dedizierter Administratorkonten. Verwenden Sie die Empfehlungen in der Sicherheitskontrolle „Zugriff und Berechtigungen verwalten“ in Azure Security Center, um die Anzahl von Administratorkonten zu überwachen.

Sie können außerdem einen Just-in-Time- oder Just-Enough-Zugriff aktivieren, indem Sie mit Azure AD Privileged Identity Management verwaltete privilegierte Rollen für Microsoft-Dienste und Azure Resource Manager verwenden.

• Weitere Informationen zu Privileged Identity Management

3.4: Verwenden des einmaligen Anmeldens (Single Sign-On, SSO) mit Azure Active Directory

Verwenden Sie nach Möglichkeit Azure Active Directory SSO, anstatt einzelne eigenständige Anmeldeinformationen pro Dienst zu konfigurieren. Verwenden Sie die Empfehlungen in der Sicherheitskontrolle „Zugriff und Berechtigungen verwalten“ in Azure Security Center.

• Grundlegendes zu SSO mit Azure AD

3.5: Verwenden der mehrstufigen Authentifizierung für den gesamten Azure Active Directory-basierten Zugriff

Aktivieren Sie Azure AD MFA, und befolgen Sie die Empfehlungen für die Identitäts- und Zugriffsverwaltung in Azure Security Center.

• Aktivieren von MFA in Azure

• Überwachen von Identität und Zugriff in Azure Security Center

3.6: Verwenden dedizierter Computer (Arbeitsstationen mit privilegiertem Zugriff) für alle administrativen Aufgaben

Verwenden Sie Arbeitsstationen mit privilegiertem Zugriff (Privileged Access Workstations, PAWs) mit MFA, die für die Anmeldung bei und die Konfiguration von Azure-Ressourcen konfiguriert sind.

• Informationen zu Arbeitsstationen mit privilegiertem Zugriff

• Aktivieren von MFA in Azure

3.7: Protokollieren von und Warnen bei verdächtigen Aktivitäten in Administratorkonten

Verwenden Sie Azure Active Directory-Sicherheitsberichte für die Generierung von Protokollen und Warnungen bei verdächtigen oder sicherheitsrelevanten Aktivitäten in der Umgebung. Verwenden Sie Azure Security Center zum Überwachen von identitäts- und zugriffsbezogenen Aktivitäten.

• Identifizieren von Azure AD-Benutzern, die aufgrund riskanter Aktivitäten gekennzeichnet wurden

• Überwachen der identitäts- und zugriffsbezogenen Aktivitäten von Benutzern in Azure Security Center

3.8: Verwalten von Azure-Ressourcen nur über genehmigte Standorte

Verwenden Sie benannte Standorte mit bedingtem Zugriff, um den Zugriff nur über bestimmte logische Gruppierungen von IP-Adressbereichen oder Ländern/Regionen zuzulassen.

• Konfigurieren benannter Standorte in Azure

3.9: Verwenden von Azure Active Directory

Verwenden Sie Azure Active Directory als zentrales Authentifizierungs- und Autorisierungssystem. Azure AD schützt Daten durch eine starke Verschlüsselung für ruhende und übertragene Daten. Außerdem werden in Azure AD Salts und Hashs verwendet, und Anmeldeinformationen werden sicher gespeichert.

• Erstellen und Konfigurieren einer Azure AD-Instanz

3.10: Regelmäßiges Überprüfen und Abstimmen des Benutzerzugriffs

Azure AD enthält Protokolle zum Ermitteln von veralteten Konten. Verwenden Sie zusätzlich Zugriffsüberprüfungen für Azure-Identitäten, um Gruppenmitgliedschaften, den Zugriff auf Unternehmensanwendungen und Rollenzuweisungen effizient zu verwalten. Der Benutzerzugriff kann regelmäßig überprüft werden, um sicherzustellen, dass nur die richtigen Benutzer weiterhin Zugriff haben.

• Grundlegendes zur Azure AD-Berichterstellung

• Verwenden von Zugriffsüberprüfungen für Azure-Identitäten

3.11: Überwachen von Zugriffsversuchen auf deaktivierte Anmeldeinformationen

Sie haben Zugriff auf die Protokollquellen von Azure AD-Anmeldeaktivitäten und von Überwachungs- und Risikoereignissen, sodass die Integration in jedes SIEM- und Überwachungstool möglich ist.

Sie können diesen Prozess optimieren, indem Sie Diagnoseeinstellungen für Azure Active Directory-Benutzerkonten erstellen und die Überwachungs- und Anmeldeprotokolle an einen Log Analytics-Arbeitsbereich senden. Sie können gewünschte Warnungen im Log Analytics-Arbeitsbereich konfigurieren.

• Integrieren von Azure-Aktivitätsprotokollen in Azure Monitor

3.12: Warnung bei abweichendem Verhalten bei der Kontoanmeldung

Mit Azure AD-Funktionen zum Risiko- und Identitätsschutz können Sie automatische Antworten auf erkannte verdächtige Aktionen im Zusammenhang mit Benutzeridentitäten konfigurieren. Außerdem können Sie Daten zur weiteren Untersuchung in Azure Sentinel erfassen.

• Anzeigen riskanter Azure AD-Anmeldungen

• Konfigurieren und Aktivieren von Risikorichtlinien für den Identitätsschutz

• Durchführen des Onboardings für Azure Sentinel

3.13: Ermöglichen des Zugriffs auf relevante Kundendaten für Microsoft in Supportszenarien

In Supportszenarien, bei denen Microsoft auf Kundendaten zugreifen muss, bietet Kunden-Lockbox eine Oberfläche, auf der Sie Anforderungen nach Zugriff auf Kundendaten prüfen und dann genehmigen oder ablehnen können.

• Grundlegendes zu Kunden-Lockbox

Nächste Schritte

• Weitere Informationen finden Sie in der nächsten Sicherheitskontrolle: Datenschutz