Nutzer schützen, Angriffe anzeigen, Richtlinien erstellen Microsoft Entra ID Protection in der Praxis

Microsoft Entra ID Protection schützt Benutzerkonten in Azure AD/Entra ID vor Phishishing-Angriffen, unberechtigten Zugriffen und anderen Risiken. Admins können über das Dashboard die dazu notwendigen Einstellungen im Azure-Portal vornehmen.

Microsoft Entra ID Schutz bietet einen umfassenden Ansatz zur Erkennung von Bedrohungen innerhalb von Entra ID. Es ermöglicht eine native Identitätsschutzfunktion im Identitätsanbieter, die Bedrohungen in Echtzeit während der Anmeldevorgänge bewertet. Dieses System verbessert die Sicherheit, indem es automatisierte Entscheidungen über Bedrohungen trifft und potenzielle Identitätsangriffe in Echtzeit unterbricht. Microsoft Entra ID Protection schützt daher Benutzerkonten in Azure AD/Entra ID vor externen Angriffen.

Die Nutzung erfordert Microsoft Entra ID P2-Lizenzen. Die Lösung bietet Organisationen die Möglichkeit, identitätsbasierte Risiken zu erkennen, zu untersuchen und zu beseitigen. Die Erkennung von Risiken erfolgt durch die Analyse einer Vielzahl von Signalen aus Active Directory, Microsoft-Konten und Xbox-Nutzungsdaten, wobei Bedrohungen wie die Nutzung anonymer IP-Adressen, Kennwortspray-Angriffe und kompromittierte Anmeldeinformationen identifiziert werden. Bei jeder Anmeldung wird eine Risikostufe berechnet und entsprechende Richtlinien angewendet.

Bildergalerie

Bildergalerie mit 6 Bildern

Entra ID Protection erstellt auch Berichte

Entra ID Schutz bietet mehrere Schlüsselmerkmale, darunter:

• Echtzeit-Bedrohungserkennung: Nutzt maschinelle Lernmodelle zur Bewertung von Anmelderisiken in Millisekunden.

• Automatisierte Reaktion: Integriert sich in bedingte Zugriffsrichtlinien, um bei Erkennung von Risiken eine mehrstufige Authentifizierung (MFA) zu erzwingen oder den Zugriff zu blockieren.

• Umfassende Berichterstattung: Bietet detaillierte Einblicke in Anmeldeaktivitäten, erkannte Risiken und empfohlene Maßnahmen zur Behebung.

Zur Untersuchung der Risiken stehen drei Berichte zur Verfügung: Risikoerkennungen, riskante Anmeldungen und Risikobenutzer. Automatisierung spielt eine zentrale Rolle bei der Beseitigung von Risiken, wobei risikobasierte Richtlinien für bedingten Zugriff und Maßnahmen wie Multi-Faktor-Authentifizierung zum Einsatz kommen. Daten aus Identity Protection können für weitere Untersuchungen und Korrelationen exportiert werden. Die Verwaltung erfolgt über das Identity Protection Dashboard direkt im Azure-Portal. Hier werden die Einstellungen für den bedingten Zugriff (Conditional Access) gesetzt, Richtlinien konfiguriert und die Angriffe angezeigt, die das System erkennt.

Richtlinien erstellen

Entra ID Schutz verwendet eine Kombination aus automatisch generierten, von Experten generierten und von Endbenutzern generierten Signalen zur Erkennung von Risiken. Diese Mechanismen arbeiten zusammen, um ein robustes Bedrohungserkennungssystem bereitzustellen. Automatisch generierte Signale basieren hauptsächlich auf maschinellen Lernmodellen, die verschiedene Attribute von Anmeldeversuchen analysieren. Zu diesen Attributen gehören:

• Zeitpunkt: Ob die Anmeldung zu einer ungewöhnlichen Zeit erfolgt.

• Gerätevertrautheit: Ob das verwendete Gerät erkannt wird.

• IP-Adresse und Standort: Überprüft, ob die Anmeldung von einer vertrauten IP-Adresse oder einem vertrauten Standort stammt.

Beispiele für automatisch generierte Signale:

• Unbekannte Anmeldeeigenschaften: Erkennt, wenn ein Anmeldeversuch Anomalien wie neue Geräte, IP-Adressen oder Standorte aufweist.

• Token-Diebstahl: Erkennt durch Anomalien im Token-Nutzungsmuster, wie ungewöhnlich alte Tokens oder Tokens, die in einer unerwarteten Reihenfolge verwendet werden.

Phishing-Angriffe minimieren und Benutzeranmeldungen schützen

Kennwortlose Authentifizierung in Entra ID/Azure AD

Von Experten generierte Signale werden von Sicherheitsforschern und Experten generiert, die Bedrohungsakteure verfolgen und IP-Adressen identifizieren, die mit bösartigen Aktivitäten in Verbindung stehen. Zum Beispiel werden IP-Adressen, die von bekannten staatlichen Akteuren oder Cyberkriminellen kontrolliert werden, als hohes Risiko eingestuft. Admins können Anmeldeversuche manuell als kompromittiert oder sicher markieren. Dieses Feedback wird verwendet, um die Modelle zur Risikoerkennung zu verfeinern und die allgemeine Sicherheit zu verbessern.

Die Implementierung von risikobasierten bedingten Zugriffsrichtlinien ist entscheidend, um den Entra ID Schutz effektiv zu nutzen. Diese Richtlinien helfen, die Reaktion auf erkannte Risiken zu automatisieren. Durch die Nutzung von maschinellem Lernen und regelbasierten Modellen können potenzielle Bedrohungen in Echtzeit identifiziert und entsprechende Maßnahmen ergriffen werden, wie die Erzwingung einer mehrstufigen Authentifizierung oder die Aufforderung zur Passwortänderung. Dadurch wird nicht nur die Sicherheit erhöht, sondern auch die Effizienz des Sicherheitsteams verbessert, da weniger manuelle Eingriffe erforderlich sind.

Conditional Access und Richlinien in Entra ID Protection

Der bereits seit Jahren etablierte Conditional Access ist in Entra ID Protection bei "Schützen -> Bedingter Zugriff" verfügbar. Hier lassen sich Richtlinien erstellen, die das Anmelden von Benutzern von außerhalb steuern. Der bedingte Zugriff steuert, wie Azure reagiert, wenn sich Benutzer zu definierten Zeiten, von bestimmten Orten und mit festgelegten Konten anmelden. Wenn sich ein Benutzer zum Beispiel das erste Mal aus einem anderen Land anmeldet, von dem aus er normalerweise keinen Zugriff nimmt, kann Azure die Anmeldung verweigern, zusätzliche MFA-Bestätigung anfordern oder den Zugriff auf bestimmte Ressourcen blockieren. Das ist ein wichtiger Faktor für die Absicherung von Ressourcen.

Zero-Trust in Microsoft 365 und Azure umsetzen

Conditional Access und Richtlinien für mehr Schutz in der Microsoft-Cloud

Parallel gibt es noch die drei Richtlinien für Benutzerrisiko, Anmelderisiko und die MFA-Registrierung. Für jede Richtlinie kann festgelegt werden, für welche Benutzer in Entra ID/Azure AD die Richtlinie umgesetzt werden soll. Bei der Benutzerrisiko-Richtlinie erfolgt das Definieren des erkannten Risikos. Dieses kann "Hoch", "Mittel und höher" oder "Niedrig und höher" sein. Welche Risikostufe ein Benutzer erhält, hängt von seinen Anmeldebedingungen statt, die zum Beispiel über den bedingten Zugriff definiert werden. Bei der Anmeldung erhält ein Benutzer daher eine Benutzerrisiko-Zuweisung. In der Benutzerrisiko-Richtlinie lässt sich danach festlegen, welchen Zugriff Benutzer mit den einzelnen Risiken erhalten sollen. Hier lassen sich Zugriffe blockieren, zulassen oder Kennwortänderungen definieren. Das Gleiche gilt für die Anmelderisiko-Richtlinie. Diese verfügt über die drei gleichen Stufen wie die Benutzerrisiko-Richtlinie. Die Anmelderisiko-Richtlinie bewertet die Sicherheit einzelner Anmeldevorgänge basierend auf verschiedenen Faktoren wie der IP-Adresse, dem Standort und dem Gerät. Diese Richtlinie stuft jede Anmeldung nach ihrem Risiko ein und erzwingt bei Bedarf zusätzliche Sicherheitsmaßnahmen wie die Multi-Faktor-Authentifizierung oder den Passwortwechsel.

Im Gegensatz dazu bezieht sich die Benutzerrisiko-Richtlinie auf das kumulative Risiko eines gesamten Benutzerkontos. Hierbei wird das Gesamtrisiko auf Basis der Historie und des Verhaltens des Benutzers über einen längeren Zeitraum hinweg bewertet. Diese Richtlinie hilft, Benutzer zu identifizieren, die wiederholt riskantes Verhalten zeigen oder deren Konten möglicherweise kompromittiert wurden. Auf Basis dieser Bewertung können umfassendere Sicherheitsmaßnahmen ergriffen werden, um das Konto zu schützen, wie das Erzwingen einer sicheren Passwortzurücksetzung oder das vorübergehende Sperren des Kontos.

Die MFA-Registrierungsrichtlinie in Microsoft Entra ID Protection dient dazu, die Registrierung und Nutzung der Multi-Faktor-Authentifizierung (MFA) innerhalb einer Organisation zu verwalten und zu erzwingen. Diese Richtlinie ermöglicht es Administratoren, spezifische Anforderungen festzulegen, unter denen Benutzer sich für MFA registrieren müssen, was die Sicherheit der Benutzerkonten erheblich erhöht. Durch die MFA-Registrierungsrichtlinie kann beispielsweise festgelegt werden, dass Benutzer, die eine bestimmte Risikostufe erreichen oder sich von einem unbekannten Gerät anmelden, sich zwingend für die MFA registrieren müssen. Dies reduziert das Risiko, dass kompromittierte Anmeldeinformationen allein ausreichen, um auf sensible Ressourcen zuzugreifen. Die Umsetzung dieser Richtlinie hilft dabei, eine zusätzliche Sicherheitsebene zu schaffen und das Risiko von Identitätsdiebstahl und unbefugtem Zugriff signifikant zu verringern. Die MFA-Registrierungsrichtlinie ist ein wesentliches Werkzeug in der Gesamtstrategie von Microsoft Entra ID Protection, um den Schutz von Identitäten und Daten innerhalb der Organisation zu gewährleisten.

Bildergalerie

Bildergalerie mit 6 Bildern

Anzeigen der geschützten Benutzer, Risiken und Angriffe

Im Dashboard lassen sich die durch Entra ID Protection entdeckten Angriffe anzeigen. Die Benutzerkonten, die durch Entra ID Protection geschützt wurde, sind hier ebenfalls über eine eigene Schaltfläche zu finden. Benutzer, die einem erhöhten Risiko ausgesetzt sind, stehen über "Benutzer mit hohem Risiko anzeigen" zur Verfügung. Hier können Admins auch bei falsch konfigurierten Risiken eingreifen und Benutzern über die Schaltfläche "Benutzer als sicher bestätigen" als sicheren Benutzer deklarieren, oder die Sicherheitseinschätzung von Entra ID Protection zurücksetzen, sodass diese neue erstellt wird. Über den Bereich "Bericht" sind ebenfalls die Informationen zu finden, die für die unterschiedlichen Bereiche von Entra ID Protection wichtig sind. Neben den riskanten Benutzern und Anmeldungen sind an dieser Stelle noch "Riskante Workloadidentitäten" und "Risikoerkennung" zu finden.

Troubleshooting in Entra ID Identity Protection

Über den Menüpunkt "Diagnose und Problembehandlung" ist die "Anmeldediagnose" zu finden sowie Leitfäden um Probleme zu beheben und die verschiedenen Berichte und Einstellungsmöglichkeiten richtig zu nutzen. Die Anmeldediagnose hilft dabei Probleme bei der Anmeldung an Entra ID/Azure AD oder Identity ID Protection zu beheben.

Identitäts- und Zugriffsfunktionen vereint

Microsoft stellt Entra-Produktfamilie vor

(ID:50046259)