Mobile-Menu

Zero-Trust in Microsoft 365 und Azure umsetzen Conditional Access und Richtlinien für mehr Schutz in der Microsoft-Cloud

Von Thomas Joos 4 min Lesedauer

Beim Einsatz von Zero Trust als Sicherheitsmodell, wird davon ausgegangen, dass jeder Zugriff zunächst einen Angriff darstellt und jede Anforderung so betrachtet wird, als ob sie von einem ungesicherten Netzwerk stammt. Das spielt für den Einsatz in Microsoft Azure und damit auch in Microsoft 365 eine wichtige Rolle.

Die Umsetzung von Zero-Trust in Azure und Microsoft 365 bedeutet, dass alle Zugriffe explizit verifiziert werden müssen und nur mit den geringsten Rechten erfolgen dürfen.(Bild: Val Thoermer - stock.adobe.com)
Die Umsetzung von Zero-Trust in Azure und Microsoft 365 bedeutet, dass alle Zugriffe explizit verifiziert werden müssen und nur mit den geringsten Rechten erfolgen dürfen.
(Bild: Val Thoermer - stock.adobe.com)

Zero-Trust ist ein Sicherheitskonzept, das auf dem Prinzip „Nie vertrauen, immer verifizieren“ basiert. Angesichts der immer weiter zuspitzenden, weltweiten Sicherheitslage, scheint der Zero-Trust-Ansatz einer der derzeit am häufigsten eingesetzten Sicherheitsmodelle zu sein. Am Beispiel von Microsoft Azure und Microsoft 365 geht die Umgebung in diesem Fall bei allen Zugriffen davon aus, dass es sich um einen Angriff handelt. Der Zugriff muss daher zunächst authentifiziert werden und erfolgt so eingeschränkt wie notwendig. Außerdem gehen Azure und Microsoft 365 bei diesem Ansatz davon aus, dass alle Zugriffe aus unsicheren Netzwerken erfolgt. Die Cloud verlässt sich daher nicht darauf, dass die Zugriffe bereits durch andere Systeme wie Active Directory überprüft wurden, sondern verifiziert die Zugriffe selbst noch einmal.

MFA und Conditional Access für Zero-Trust in der Microsoft-Cloud

Die Umsetzung von Zero-Trust in Azure und Microsoft 365 bedeutet also, dass alle Zugriffe explizit verifiziert werden müssen. Gleichzeitig müssen alle Zugriffe mit den geringsten Rechten erfolgen. Ein wichtiger Faktor dabei sind die Multifaktor-Authentifizierung (MFA) und die Erzwingung von stringenten Zugriffsrichtlinien. MFA ist ein wichtiger Faktor bei Zero-Trust, da sich dadurch effektiver steuern lässt, ob Benutzer Zugriff auf Ressourcen erhalten. Das gilt für Microsoft Teams, aber auch für andere Dienste in Microsoft 365. Wir sind im Beitrag „Microsoft Teams vor Hackern schützen“ darauf eingegangen, wir MFA in Microsoft 365 aktiviert wird. Das schützt schlussendlich auch die anderen Dienste in Microsoft 365 und ist eine wichtige Grundlage für Zero-Trust in Azure und Microsoft 365. Wir zeigen in diesem Beitrag auch die erweiterten Funktionen aus Microsoft 365 Business Premium, die ebenfalls sinnvoll für Zero-Trust sind.

Damit ein Benutzer Zugriff auf Ressourcen in einer Zero-Trust-Architektur erhält, muss darüber hinaus sichergestellt sein, dass die eingesetzten Geräte (möglichst) fehlerfrei sind und damit über die aktuellsten Updates, Richtlinien und Einstellungen verfügen, die für den Zugriff notwendig sind. Das geht natürlich nur dann, wenn sich die Arbeitsstationen überprüfen lassen. Das wiederum kann Bestandteil von Conditional Access sein. Der Bedingte Zugriff (Conditional Access) erfordert ein Entra ID Premium-Abonnement. Sie können mit Conditional Access sehr genau steuern, wer, wann von wo sich anmelden darf und welche Bedingungen dafür eingehalten werden müssen.

Azure AD/Entra ID spielt eine zentrale Rolle bei der Identitäts- und Zugriffsverwaltung, indem es Multi-Faktor-Authentifizierung (MFA) und bedingten Zugriff bietet, um sicherzustellen, dass nur authentifizierte und autorisierte Benutzer Zugriff auf Ressourcen erhalten. Azure AD/Entra ID Privileged Identity Management (PIM) ermöglicht die Verwaltung, Kontrolle und Überwachung des Zugriffs auf wichtige Ressourcen in der Organisation. In diesem Zusammenhang spielt der Rapid Modernization Plan eine wesentliche Rolle.

Wir haben dieses Thema im Beitrag „Active-Directory-Schutz: Zero-Trust & Rapid Modernization Plan“ bereits behandelt, wie sich Zero-Trust in Verbindung zwischen Azure AD/Entra ID und AD umsetzen lässt. In diesem Zusammenhang spielen auch sichere Arbeitsstationen eine wichtige Rolle.

Endpunkte richtig absichern mit Microsoft Intune

Im Zusammenhang mit Zero-Trust spielt die Absicherung der angebundenen Endgeräte eine wichtige Rolle. Greifen Anwender mobil oder aus dem Home-Office auf Ressourcen in Azure und Microsoft 365 zu, ist Microsoft Intune ein wichtiges Werkzeug. Hier lassen sich zentral Richtlinien definieren, welche die Einstellungen, Updates und Zugriffe betreffen. Auch der bedingte Zugriff lässt sich an dieser Stelle definieren.

Identity Protection in Azure AD/Entra ID

Der Schutz der Identitäten spielt bei Zero-Trust eine wesentliche Rolle. Hier steht mit Microsoft Entra ID Protection ein eigener Dienst zur Verfügung, der speziell für den Schutz der Benutzerkonten zum Einsatz kommt. Der Dienst arbeitet mit anderen Diensten zusammen und unterstützt ebenfalls MFA sowie verschiedene Richtlinien. In Verbindung mit Microsoft Defender für die Cloud bietet Identity Protection den Schutz der Anmeldekonten in Verbindung mit dem Schutz der Workloads in Azure. In diesem Zusammenhang kann noch Microsoft Entra Permissions Management sinnvoll sein. Der Dienst ermöglicht in Zero-Trust-Umgebungen die Absicherung von Ressourcen und das Konfigurieren des Zugriffs auf Ressourcen mit möglichst wenigen Rechten.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung
Bildergalerie
Bildergalerie mit 7 Bildern

Privileged Identity Management in Zero-Trust-Umgebungen

Neben dem Schutz herkömmlicher Anmeldedaten und den Zugriff der Benutzer, spielt bei Zero-Trust die Verwaltung der privilegierten Konten eine wesentliche Rolle. Dabei handelt es sich zum Beispiel um Administratorkonten, aber auch um Konten die herausragende Rechte auf bestimmte Ressourcen in der Umgebung haben. In Azure AD/Entra AD steht dazu das Privileged Identity Management zur Verfügung, das sich im Entra Admin Center verwalten lässt. Dieses lässt sich über die Adresse entra.microsoft.com öffnen. Neben den Benutzerkonten lässt sich damit auch steuern wie lange der privilegierte Zugriff auf Ressourcen bestehen soll. Mit Just-In-Time lässt sich an dieser Stelle festlegen, dass der Zugriff auf Ressourcen nur für einen bestimmten Zeitpunkt oder Zeitraum möglich ist.

(ID:49835106)

Weiterführende Inhalte