Freigeben über

Konfigurieren von Microsoft Entra für Zero Trust: Überwachen und Erkennen von Cyberthreats

Das Vorhandensein von robusten Gesundheitsüberwachungs- und Bedrohungserkennungsfunktionen ist eine der sechs Säulen der Secure Future Initiative. Diese Richtlinien sollen Ihnen dabei helfen, ein umfassendes Protokollierungssystem für Archivierung und Analyse einzurichten. Wir enthalten Empfehlungen im Zusammenhang mit der Triage riskanter Anmeldungen, riskanten Benutzern und Authentifizierungsmethoden.

Der erste Schritt zur Ausrichtung an dieser Säule besteht darin, Diagnoseeinstellungen für alle Microsoft Entra-Protokolle zu konfigurieren, damit alle in Ihrem Mandanten vorgenommenen Änderungen zur Analyse gespeichert und zugänglich sind. Weitere Empfehlungen in dieser Säule konzentrieren sich auf die rechtzeitige Triage von Risikowarnungen und Microsoft Entra-Empfehlungen. Die wichtigste Erkenntnis besteht darin, zu wissen, welche Protokolle, Berichte und Gesundheitsüberwachungstools verfügbar sind und sie regelmäßig zu überwachen.

Sicherheitsleitfaden

Diagnoseeinstellungen sind für alle Microsoft Entra-Protokolle konfiguriert.

Die Aktivitätsprotokolle und -berichte in Microsoft Entra können dabei helfen, nicht autorisierte Zugriffsversuche zu erkennen oder zu identifizieren, wenn sich die Mandantenkonfiguration ändert. Wenn Protokolle mit SIEM-Tools (Security Information and Event Management) archiviert oder integriert sind, können Sicherheitsteams leistungsstarke Überwachungs- und Erkennungssicherheitskontrollen, proaktive Bedrohungssuche und Prozesse zur Reaktion auf Vorfälle implementieren. Die Protokolle und Überwachungsfunktionen können verwendet werden, um die Mandantengesundheit zu bewerten und Nachweise für Compliance und Audits bereitzustellen.

Wenn Protokolle nicht regelmäßig archiviert oder zum Abfragen an ein SIEM-Tool gesendet werden, ist es schwierig, Anmeldeprobleme zu untersuchen. Das Fehlen von Verlaufsprotokollen bedeutet, dass Sicherheitsteams möglicherweise Muster fehlgeschlagener Anmeldeversuche, ungewöhnliche Aktivitäten und andere Kompromittierungsindikatoren verpassen können. Dieser Mangel an Sichtbarkeit kann die rechtzeitige Erkennung von Verstößen verhindern, sodass Angreifer den nicht erkannten Zugriff für längere Zeiträume beibehalten können.

Wartungsaktion

Aktivierungen privilegierter Rollen haben Überwachung und Benachrichtigungen konfiguriert.

Organisationen ohne ordnungsgemäße Aktivierungswarnungen für hoch privilegierte Rollen haben keine Sichtbarkeit, wenn Benutzer auf diese kritischen Berechtigungen zugreifen. Bedrohungsakteure können diese Überwachungslücke ausnutzen, um eine Berechtigungseskalation durchzuführen, indem sie hoch privilegierte Rollen unbemerkt aktivieren und anschließend Persistenz durch die Erstellung eines Administratorkontos oder durch Änderungen der Sicherheitsrichtlinien etablieren. Das Fehlen von Echtzeitwarnungen ermöglicht Es Angreifern, laterale Bewegungen durchzuführen, Überwachungskonfigurationen zu ändern und Sicherheitskontrollen zu deaktivieren, ohne sofortige Reaktionsverfahren auszulösen.

Wartungsaktion

Aktivierungswarnung für Rollenzuweisungen des Globalen Administrators

Ohne Aktivierungswarnungen für globale Administratorrollenzuweisungen können Bedrohungsakteure berechtigungen eskalieren, die nicht erkannt wurden. Dieser Mangel an Sichtbarkeit schafft einen blinden Ort, an dem Angreifer die privilegierteste Rolle aktivieren und bösartige Aktionen ausführen können, z. B. das Erstellen von Backdoor-Konten, das Ändern von Sicherheitsrichtlinien oder den Zugriff auf vertrauliche Daten.

Die Überwachung dieser Aktivierungswarnungen kann Sicherheitsteams dabei helfen, zwischen autorisierten und nicht autorisierten Berechtigungseskalationsaktivitäten zu unterscheiden.

Wartungsaktion

Aktivierungswarnung für alle privilegierten Rollenzuweisungen

Ohne Aktivierungswarnungen für privilegierte Rollenzuweisungen können Bedrohungsakteure nicht erkannte Berechtigungen eskalieren. Dieser Mangel an Sichtbarkeit schafft einen blinden Ort, an dem Angreifer die privilegierteste Rolle aktivieren und bösartige Aktionen ausführen können, z. B. das Erstellen von Backdoor-Konten, das Ändern von Sicherheitsrichtlinien oder den Zugriff auf vertrauliche Daten.

Die Überwachung dieser Aktivierungswarnungen kann Sicherheitsteams dabei helfen, zwischen autorisierten und nicht autorisierten Berechtigungseskalationsaktivitäten zu unterscheiden.

Wartungsaktion

Privilegierte Benutzer melden sich mit Phishing-resistenten Methoden an

Ohne Phishing-beständige Authentifizierungsmethoden sind privilegierte Benutzer anfälliger für Phishingangriffe. Diese Arten von Angriffen führen dazu, dass Benutzer ihre Anmeldeinformationen offenlegen, um unbefugten Zugriff auf Angreifer zu gewähren. Wenn nicht phishingsichere Authentifizierungsmethoden verwendet werden, können Angreifer Anmeldeinformationen und Token über Methoden wie Angreifer in der Mitte abfangen und die Sicherheit des privilegierten Kontos unterminieren.

Sobald ein privilegiertes Konto oder eine privilegierte Sitzung aufgrund schwacher Authentifizierungsmethoden kompromittiert wurde, können Angreifer das Konto manipulieren, um den langfristigen Zugriff aufrechtzuerhalten, andere Hintertüren zu erstellen oder Benutzerberechtigungen zu ändern. Angreifer können auch das kompromittierte privilegierte Konto verwenden, um ihren Zugriff noch weiter zu eskalieren und potenziell die Kontrolle über sensiblere Systeme zu erlangen.

Wartungsaktion

Alle Benutzer mit hohem Risiko werden triagediert.

Benutzer, die von Microsoft Entra ID Protection als hohes Risiko angesehen werden, haben eine hohe Wahrscheinlichkeit von Kompromittierung durch Bedrohungsakteure. Bedrohungsakteure können über kompromittierte gültige Konten Zugriff erlangen, wobei ihre verdächtigen Aktivitäten trotz ausgelöster Risikoindikatoren fortgesetzt werden. Diese Aufsicht kann die Persistenz ermöglichen, da Bedrohungsakteure Aktivitäten ausführen, die normalerweise eine Untersuchung erfordern, z. B. ungewöhnliche Anmeldemuster oder verdächtige Posteingangsmanipulation.

Ein Mangel an Bewertung dieser riskanten Benutzer ermöglicht erweiterte Aufklärungsaktivitäten und laterale Bewegungen, wobei anomale Verhaltensmuster weiterhin nicht untersuchte Warnungen generieren. Bedrohungsakteure werden ermutigt, da Sicherheitsteams zeigen, dass sie nicht aktiv auf Risikoindikatoren reagieren.

Wartungsaktion

Alle Anmeldungen mit hohem Risiko werden triagediert.

Riskante Anmeldungen, die von Microsoft Entra ID Protection gekennzeichnet sind, deuten auf eine hohe Wahrscheinlichkeit nicht autorisierter Zugriffsversuche hin. Bedrohungsakteure verwenden diese Anmeldungen, um ein erstes Standbein zu gewinnen. Wenn diese Anmeldungen nicht untersucht werden, können Angreifer Persistenz durch wiederholte Authentifizierung im Namen legitimer Benutzer herstellen.

Ein Mangel an Reaktion ermöglicht Angreifern, Aufklärung durchzuführen, ihren Zugriff zu erweitern und sich in normale Muster einzufügen. Wenn untriagierte Anmeldungen weiterhin Warnungen generieren und es keine Interventionen gibt, verbreitern sich Sicherheitslücken, wodurch laterale Bewegungen und Verteidigungshinterziehung erleichtert werden, da Angreifer erkennen, dass keine aktive Sicherheitsantwort vorhanden ist.

Wartungsaktion

Alle riskanten Workloadidentitäten werden triagediert

Kompromittierte Workloadidentitäten (Dienstprinzipale und Anwendungen) ermöglichen Es Bedrohungsakteuren, dauerhaften Zugriff ohne Benutzerinteraktion oder mehrstufige Authentifizierung zu erhalten. Microsoft Entra ID Protection überwacht diese Identitäten auf verdächtige Aktivitäten wie durchleckte Anmeldeinformationen, anomale API-Datenverkehr und bösartige Anwendungen. Unaddressierte riskante Workloadidentitäten ermöglichen die Eskalation von Berechtigungen, laterale Bewegungen, Datenexfiltration und persistente Hintertüren, die herkömmliche Sicherheitskontrollen umgehen. Organisationen müssen diese Risiken systematisch untersuchen und beheben, um unbefugten Zugriff zu verhindern.

Wartungsaktion

Mandantenerstellungsereignisse werden priorisiert und kategorisiert.

Mandantenerstellungsereignisse sollten überwacht und triagediert werden, um nicht autorisierte Mandantenerstellung zu erkennen. Benutzer mit ausreichenden Berechtigungen können neue Mandanten erstellen, die verwendet werden können, um Schattenumgebungen außerhalb der Sicherheitsüberwachung Ihrer Organisation einzurichten. Das Weiterleiten von Überwachungsprotokollen an ein SIEM und das Konfigurieren von Warnungen für Mandantenerstellungsereignisse ermöglicht Es Sicherheitsteams, potenziell böswillige Aktivitäten schnell zu untersuchen und darauf zu reagieren.

Wartungsaktion

Für alle Benutzeranmeldungsaktivitäten werden starke Authentifizierungsmethoden verwendet.

Angreifer erhalten möglicherweise Zugriff, wenn die mehrstufige Authentifizierung (Multifactor Authentication, MFA) nicht universell erzwungen wird oder wenn Ausnahmen vorhanden sind. Angreifer erhalten möglicherweise Zugriff, indem sie Schwachstellen schwächerer MFA-Methoden wie SMS und Telefonanrufe über Social Engineering-Techniken ausnutzen. Diese Techniken können SIM-Swapping oder Phishing umfassen, um Authentifizierungscodes abzufangen.

Angreifer verwenden diese Konten möglicherweise als Einstiegspunkte in den Mandanten. Durch die Verwendung abgefangener Benutzersitzungen können Angreifer ihre Aktivitäten als legitime Benutzeraktionen verschleiern, die Erkennung umgehen und ihren Angriff fortsetzen, ohne verdachtsfrei zu werden. Von dort aus versuchen sie möglicherweise, MFA-Einstellungen zu bearbeiten, um Persistenz, Plan und weitere Angriffe basierend auf den Berechtigungen kompromittierter Konten einzurichten.

Wartungsaktion

Empfehlungen mit hoher Priorität für Microsoft Entra werden berücksichtigt.

Wenn Microsoft Entra-Empfehlungen mit hoher Priorität nicht behoben werden, kann eine Lücke im Sicherheitsstatus einer Organisation entstehen und Bedrohungsakteuren Möglichkeiten bieten, bekannte Schwachstellen auszunutzen. Wenn sie nicht auf diese Elemente angewendet werden, kann dies zu einer erhöhten Angriffsfläche, zu suboptimalen Vorgängen oder zu einer schlechten Benutzererfahrung führen.

Wartungsaktion

ID-Schutzbenachrichtigungen sind aktiviert

Wenn Sie id Protection-Benachrichtigungen nicht aktivieren, verliert Ihre Organisation kritische Echtzeitwarnungen, wenn Bedrohungsakteure Benutzerkonten kompromittieren oder Aufklärungsaktivitäten durchführen. Wenn Microsoft Entra ID Protection Konten erkennt, die gefährdet sind, sendet er E-Mail-Benachrichtigungen mit gefährdeten Benutzern , die als Betreff erkannt wurden, und links zu den für den Risikobericht gekennzeichneten Benutzern . Ohne diese Benachrichtigungen wissen Sicherheitsteams nicht über aktive Bedrohungen, sodass Bedrohungsakteure die Persistenz in kompromittierten Konten beibehalten können, ohne erkannt zu werden. Sie können diese Risiken in Tools wie bedingten Zugriff integrieren, um Zugriffsentscheidungen zu treffen oder sie an ein SIEM-Tool (Security Information and Event Management) zur Untersuchung und Korrelation zu senden. Bedrohungsakteure können diese Erkennungslücke ausnutzen, um laterale Bewegungsaktivitäten, Berechtigungseskalationsversuche oder Datenexfiltrationsvorgänge durchzuführen, während sich Administratoren der laufenden Kompromittierung nicht bewusst sind. Mit der verzögerten Reaktion können Bedrohungsakteure mehr Persistenzmechanismen einrichten, Benutzerberechtigungen ändern oder auf vertrauliche Ressourcen zugreifen, bevor Sie das Problem beheben können. Ohne proaktive Benachrichtigung über Risikoerkennungen müssen Organisationen sich ausschließlich auf die manuelle Überwachung von Risikoberichten verlassen, wodurch die Zeit, die zum Erkennen und Reagieren auf identitätsbasierte Angriffe benötigt wird, erheblich erhöht wird.

Wartungsaktion

Keine Anmeldeaktivität bei veralteter Authentifizierung

Ältere Authentifizierungsprotokolle wie die Standardauthentifizierung für SMTP und IMAP unterstützen keine modernen Sicherheitsfeatures wie die mehrstufige Authentifizierung (MFA), was für den Schutz vor unbefugtem Zugriff von entscheidender Bedeutung ist. Dieser Mangel an Schutz macht Konten mit diesen Protokollen anfällig für kennwortbasierte Angriffe und bietet Angreifern eine Möglichkeit, ersten Zugriff mit gestohlenen oder erratenen Anmeldeinformationen zu erhalten.

Wenn ein Angreifer erfolgreich nicht autorisierten Zugriff auf Anmeldeinformationen erhält, kann er sie verwenden, um auf verknüpfte Dienste zuzugreifen, indem er die schwache Authentifizierungsmethode als Einstiegspunkt verwendet. Angreifer, die über die Legacyauthentifizierung Zugriff erhalten, können Änderungen an Microsoft Exchange vornehmen, z. B. das Konfigurieren von E-Mail-Weiterleitungsregeln oder das Ändern anderer Einstellungen, sodass sie weiterhin auf vertrauliche Kommunikation zugreifen können.

Die Legacyauthentifizierung bietet Angreifern auch eine konsistente Methode, um ein System mithilfe kompromittierter Anmeldeinformationen erneut einzugeben, ohne Sicherheitswarnungen auszulösen oder eine erneute Authentifizierung zu erfordern.

Von dort aus können Angreifer ältere Protokolle verwenden, um auf andere Systeme zuzugreifen, die über das kompromittierte Konto zugänglich sind, wodurch die laterale Bewegung erleichtert wird. Angreifer, die ältere Protokolle verwenden, können sich mit legitimen Benutzeraktivitäten verbinden, was es Sicherheitsteams erschwert, zwischen normalen Nutzungs- und böswilligen Verhaltensweisen zu unterscheiden.

Wartungsaktion

Alle Microsoft Entra-Empfehlungen werden behandelt.

Microsoft Entra-Empfehlungen bieten Organisationen Möglichkeiten, bewährte Methoden zu implementieren und ihren Sicherheitsstatus zu optimieren. Wenn sie nicht auf diese Elemente angewendet werden, kann dies zu einer erhöhten Angriffsfläche, zu suboptimalen Vorgängen oder zu einer schlechten Benutzererfahrung führen.

Wartungsaktion

Netzwerkzugriffsaktivitäten sind für Sicherheitsvorgänge für die Bedrohungserkennung und -reaktion sichtbar.

Ohne globale Protokolle für den sicheren Zugriff, die in einen Microsoft Sentinel-Arbeitsbereich integriert sind, fehlen Sicherheitsbetriebsteams zentralisierte Einblicke in Netzwerkdatenverkehrsmuster, Verbindungsversuche und Zugriffsanomalien in privatem Zugriff, InternetZugriff und Microsoft 365-Datenverkehrsweiterleitung. Bedrohungsakteure, die Benutzeranmeldeinformationen oder Geräte kompromittieren, können diese Netzwerkzugriffspfade verwenden, um Aufklärung durchzuführen, lateral zu verschieben oder Daten ohne Erkennung zu exfiltrieren.

Ohne diese Integration:

  • Sicherheitsteams können Aktivitäten auf Netzwerkebene nicht mit identitätsbasierten Signalen in Microsoft Entra ID oder Endpunkterkennungen korrelieren.
  • Sicherheitsinformations- und Ereignisverwaltungssysteme (SIEM) können keine Verhaltensanalysen, Bedrohungserkennungskorrelation oder automatisierte Antwort-Playbooks auf globalen Datenverkehr für den sicheren Zugriff anwenden.
  • Sicherheitsteams können keine historischen Netzwerkzugriffsmuster untersuchen oder nach Bedrohungen über Netzwerk- und Identitätssignale hinweg suchen.

Wartungsaktion

Netzwerkzugriffsprotokolle werden für Sicherheitsanalysen und Complianceanforderungen aufbewahrt.

Ohne eine erweiterte Aufbewahrung der Protokolle für die Prüfungen und den Datenverkehr des Global Secure Access können Bedrohungsakteure über das standardmäßige 30-Tage-Aufbewahrungsfenster hinaus agieren, da sie wissen, dass ihre Aktivitäten automatisch gelöscht werden, bevor sie entdeckt werden. Sicherheitsuntersuchungen erfordern häufig historische Analysen über Wochen oder Monate, um Kompromittierungsvektoren, laterale Bewegungsmuster und Datenexfiltrationskanäle zu identifizieren.

Ohne angemessene Protokollaufbewahrung:

  • Sicherheitsteams können keine grundlegenden Verhaltensmuster einrichten, eine retrospektive Bedrohungssuche durchführen oder Netzwerkzugriffsereignisse über längere Zeiträume hinweg korrelieren.
  • Organisationen, die gesetzlichen Rahmenbedingungen unterliegen, wie z. B. DSGVO, HIPAA, PCI DSS und SOX, unterliegen Complianceverletzungen, wenn sie keine Überwachungspfade für vorgeschriebene Aufbewahrungszeiträume erstellen können.
  • Die Ursachenanalyse während der Reaktion auf einen Vorfall ist begrenzt. Dadurch können Bedrohungsakteure präsent bleiben, während sich Organisationen auf sichtbare Symptome konzentrieren.

Wartungsaktion

Global Secure Access-Bereitstellungsprotokolle werden ausgefüllt und überprüft.

Global Secure Access-Bereitstellungsprotokolle verfolgen den Status und den Fortschritt von Konfigurationsänderungen im globalen Netzwerk. Zu diesen Änderungen gehören Weiterleitungsprofilumverteilungen, Remotenetzwerkaktualisierungen, Filtern von Profiländerungen und Änderungen an einstellungen für bedingten Zugriff. Wenn Bereitstellungsprotokolle fehlerhafte Bereitstellungen anzeigen, können Bedrohungsakteure inkonsistente Sicherheitskonfigurationen ausnutzen, bei denen einige Edge-Standorte veraltete oder falsch konfigurierte Sicherheitsrichtlinien aufweisen.

Wenn Sie keine Bereitstellungsprotokolle überwachen:

  • Fehlgeschlagene Bereitstellungen können Sicherheitslücken hinterlassen, z. B. veraltete Weiterleitungsprofile, die den Datenverkehr nicht durch Sicherheitsüberprüfung weiterleiten, oder Filterprofile, die keine schädlichen Ziele blockieren.
  • Administratoren wissen möglicherweise nicht mehr über veraltete Konfigurationen und glauben, dass Änderungen einheitlich angewendet werden.
  • Bereitstellungsfehler, die ausnutzende Lücken erstellen, können nicht erkannt werden.

Wartungsaktion

  • Last updated on