Erstellen und Verwalten von OAuth-App-Richtlinien

App-Governance verwendet Machine Learning-Algorithmen, um anomales App-Verhalten zu erkennen und Warnungen zu generieren. Sie können auch Richtlinien erstellen, die Folgendes ermöglichen:

• Festlegen von Bedingungen, unter denen App-Governance Sie vor dem Verhalten von Apps warnt, um automatisch oder manuell Abhilfe zu schaffen.

• Wenden Sie die App-Konformitätsrichtlinien für Ihre Organisation an.

In diesem Artikel erfahren Sie, wie Sie OAuth-App-Richtlinien in der App-Governance für Apps erstellen und konfigurieren, die mit Microsoft 365, Google Workspace und Salesforce verbunden sind, einschließlich der Verwendung von Vorlagen, erstellen benutzerdefinierter Richtlinien und arbeiten mit Anomalieerkennungsrichtlinien.

Erstellen von OAuth-App-Richtlinien für Microsoft Entra ID

Für Apps, die mit Microsoft Entra ID verbunden sind, erstellen Sie App-Richtlinien aus bereitgestellten Vorlagen, die angepasst werden können, oder erstellen Sie Eine eigene benutzerdefinierte App-Richtlinie.

1. Um eine neue App-Richtlinie für Microsoft 365-Apps zu erstellen, wechseln Sie zu Microsoft Defender XDR>App-Governancerichtlinien>>Microsoft 365.

   Zum Beispiel:

   

2. Wählen Sie die Option Neue Richtlinie erstellen aus, und führen Sie dann einen der folgenden Schritte aus:

   • Um eine neue App-Richtlinie aus einer Vorlage zu erstellen, wählen Sie die relevante Vorlagenkategorie gefolgt von der Vorlage in dieser Kategorie aus.
   • Wählen Sie zum Erstellen einer benutzerdefinierten Richtlinie die Kategorie Benutzerdefiniert aus.

   Zum Beispiel:

   

App-Richtlinienvorlagen

Um eine neue App-Richtlinie basierend auf einer App-Richtlinienvorlage zu erstellen, wählen Sie auf der Seite App-Richtlinienvorlage auswählen eine App-Vorlagenkategorie, anschließend den Namen der Vorlage und dann Weiter aus.

App-Richtlinienvorlagen sind in diese Kategorien unterteilt: Verwendung, Berechtigungen und Zertifizierung.

Nutzungsbasierte App-Richtlinienvorlagen

In der folgenden Tabelle sind die App-Governancevorlagen aufgeführt, die zum Generieren von Warnungen für die App-Nutzung unterstützt werden.

Berechtigungsbasierte App-Richtlinienvorlagen

In der folgenden Tabelle sind die App-Governancevorlagen aufgeführt, die zum Generieren von Warnungen für App-Berechtigungen unterstützt werden.

Zertifizierungsbasierte App-Richtlinienvorlagen

In der folgenden Tabelle sind die App-Governancevorlagen aufgeführt, die zum Generieren von Warnungen für die Microsoft 365-Zertifizierung unterstützt werden.

Erstellen Sie benutzerdefinierte OAuth-App-Richtlinien

Verwenden Sie eine benutzerdefinierte App-Richtlinie für Aktionen, die nicht bereits von einer der integrierten Vorlagen ausgeführt werden.

1. Wählen Sie zum Erstellen einer neuen benutzerdefinierten App-Richtlinie zuerst auf der Seite Richtlinien die Option Neue Richtlinie erstellen aus. Wählen Sie auf der Seite App-Richtlinienvorlage auswählen die Kategorie Benutzerdefiniert, die Vorlage Benutzerdefinierte Richtlinie und dann Weiter aus.

2. Konfigurieren Sie auf der Seite Name und Beschreibung die folgenden Einstellungen:

   • Richtlinienname
   • Richtlinienbeschreibung
   • Wählen Sie den Richtlinienschweregrad aus, der den Schweregrad der von dieser Richtlinie generierten Warnungen festlegt.
     • High
     • Mittel
     • Niedrig

3. Wählen Sie auf der Seite Richtlinieneinstellungen und -bedingungen auswählen für Auswählen, für welche Apps diese Richtlinie gilt Folgendes aus:

   • Alle Apps
   • Bestimmte Apps auswählen
   • Alle Apps außer

4. Wenn Sie bestimmte Apps oder alle Apps mit Ausnahme dieser Richtlinie auswählen, wählen Sie Apps hinzufügen und dann die gewünschten Apps aus der Liste aus. Im Bereich Apps auswählen können Sie mehrere Apps auswählen, für die diese Richtlinie gilt, und dann Hinzufügen auswählen. Wählen Sie Weiter aus, wenn Sie mit der Liste zufrieden sind.

5. Wählen Sie Bedingungen bearbeiten>Bedingung hinzufügen aus, und wählen Sie eine Bedingung aus der Liste. Legen Sie den gewünschten Schwellenwert für die ausgewählte Bedingung fest. Wiederholen Sie den Vorgang, um weitere Bedingungen hinzuzufügen.

6. Wählen Sie Speichern aus, um die Regel zu speichern, und wenn Sie mit dem Hinzufügen von Regeln fertig sind, wählen Sie Weiter aus.

   Hinweis

   Einige Richtlinienbedingungen gelten nur für Apps, die auf Graph-API Berechtigungen zugreifen. Beim Auswerten von Apps, die nur auf Nicht-Graph-APIs zugreifen, überspringt die App-Governance diese Richtlinienbedingungen und überprüft nur andere Richtlinienbedingungen.

7. Dies sind die verfügbaren Bedingungen für eine benutzerdefinierte App-Richtlinie:

   Bedingung	Akzeptierte Bedingungswerte	Beschreibung	Weitere Informationen
   Registrierungsalter	Innerhalb der letzten x Tage	Apps, die innerhalb eines angegebenen Zeitraums ab dem aktuellen Datum für Microsoft Entra ID registriert wurden
   Zertifizierung	Keine Zertifizierung, Herausgeber bestätigt, Microsoft 365 Zertifiziert	Apps, die Microsoft 365-zertifiziert sind, über einen Bescheinigungsbericht des Herausgebers verfügen oder weder das eine noch das andere	Übersicht über das Microsoft 365-Zertifizierungsframework
   Herausgeber verifiziert	Ja oder Nein	Apps mit verifizierten Herausgebern	Herausgeberüberprüfung
   Anwendungsberechtigungen (nur Graph)	Auswählen einer oder mehrerer API-Berechtigungen aus der Liste	Apps mit bestimmten Graph-API Berechtigungen, die direkt gewährt wurden	Microsoft Graph-Berechtigungsreferenz
   Delegierte Berechtigungen (nur für Graph)	Auswählen einer oder mehrerer API-Berechtigungen aus der Liste	Apps mit bestimmten Graph-API Berechtigungen, die von einem Benutzer erteilt werden	Microsoft Graph-Berechtigungsreferenz
   Hochprivilegiert	Ja oder Nein	Apps mit weitreichenden Berechtigungen für Microsoft Graph und andere gängige Microsoft-eigene APIs oder mit hochprivilegierten Microsoft Entra-Rollen	Eine interne Bezeichnung, die auf der gleichen Logik basiert, die von Defender for Cloud Apps verwendet wird.
   Überprivilegiert (nur Graph)	Ja oder Nein	Apps mit nicht verwendeten Graph-API-Berechtigungen	Apps, denen mehr Berechtigungen gewährt wurden, als von ihnen verwendet werden.
   Nicht-Graph-API-Berechtigungen	Ja oder Nein	Apps mit Berechtigungen für Nicht-Graph-APIs. Diese Apps können Risiken ausgesetzt sein, wenn die APIs, auf die sie zugreifen, eingeschränkten Support und Updates erhalten.
   Datennutzung	Mehr als X GB an Daten, die pro Tag heruntergeladen und hochgeladen werden	Apps, die mit Microsoft Graph und EWS-APIs mehr als eine angegebene Datenmenge gelesen und geschrieben haben
   Datennutzungstrend	X % Anstieg der Datennutzung im Vergleich zum Vortag	Apps, deren Daten mithilfe von Microsoft Graph- und EWS-APIs gelesen und geschrieben werden, haben sich im Vergleich zum Vortag um einen angegebenen Prozentsatz erhöht.
   API-Zugriff (nur für Graph)	Mehr als X API-Aufrufe pro Tag	Apps, die eine angegebene Anzahl von Graph-API Anrufen an einem Tag durchgeführt haben
   API-Zugriffstrend (nur Graph)	X % Anstieg der API-Aufrufe im Vergleich zum Vortag	Apps, deren Anzahl von Graph-API Anrufen im Vergleich zum Vortag um einen angegebenen Prozentsatz gestiegen ist
   Anzahl der zustimmenden Benutzer	(Mehr als oder weniger als) X Benutzer mit Einwilligung	Apps, denen von einer größeren oder weniger Anzahl von Benutzern als angegeben die Zustimmung erteilt wurde
   Zunahme der zustimmungswilligen Benutzer	X % Zunahme der Benutzer in den letzten 90 Tagen	Apps, deren Anzahl der zustimmenden Benutzer in den letzten 90 Tagen um einen angegebenen Prozentsatz gestiegen ist
   Einwilligung für das Prioritätskonto erteilt	Ja oder Nein	Apps, denen die Zustimmung von Prioritätsbenutzern erteilt wurde	Benutzer mit einem Prioritätskonto.
   Namen der zustimmenden Benutzer	Auswählen von Benutzern aus der Liste	Apps, denen bestimmte Benutzer ihre Zustimmung erteilt haben
   Rollen der zustimmenden Benutzer	Auswählen von Rollen aus der Liste	Apps, denen Benutzer mit bestimmten Rollen die Zustimmung erteilt haben	Mehrfachauswahl zulässig. Jede Microsoft Entra Rolle mit zugewiesenem Mitglied sollte in dieser Liste verfügbar gemacht werden.
   Zugriff auf Vertraulichkeitsbezeichnungen	Wählen Sie eine oder mehrere Vertraulichkeitsbezeichnungen aus der Liste aus.	Apps, die in den letzten 30 Tagen auf Daten mit bestimmten Vertraulichkeitsbezeichnungen zugegriffen haben.
   Dienste, auf die zugegriffen wird (nur Graph)	Exchange und/oder OneDrive und/oder SharePoint und/oder Teams	Apps, die über Microsoft Graph- und EWS-APIs auf OneDrive, SharePoint oder Exchange Online zugegriffen haben	Mehrfachauswahl zulässig.
   Fehlerrate (nur Graph)	Die Fehlerrate ist in den letzten sieben Tagen größer als X %.	Apps, deren Graph-API Fehlerraten in den letzten sieben Tagen größer als ein angegebener Prozentsatz sind
   Zuletzt verwendet	Innerhalb der letzten x Tage	Apps, die sich nicht innerhalb eines bestimmten Zeitraums ab dem aktuellen Datum authentifiziert haben
   App-Ursprung	Extern oder Intern	Apps, die aus dem Mandanten stammen oder in einem externen Mandanten registriert sind

   Alle angegebenen Bedingungen müssen erfüllt sein, damit diese App-Richtlinie eine Warnung generiert.

8. Wenn Sie mit der Angabe der Bedingungen fertig sind, wählen Sie Speichern und dann Weiter aus.

9. Wählen Sie auf der Seite Richtlinienaktionen definieren die Option App deaktivieren aus, wenn die App-Governance die App deaktivieren soll, sobald eine Warnung basierend auf dieser Richtlinie generiert wird, und wählen Sie dann Weiter aus. Gehen Sie beim Ergreifen von Maßnahmen vorsichtig vor, da sich eine Richtlinie auf Benutzer und die legitime App-Nutzung auswirken kann.

10. Wählen Sie auf der Seite Richtlinienstatus definieren eine der folgenden Optionen aus:

    • Überwachungsmodus: Richtlinien werden ausgewertet, aber konfigurierte Aktionen werden nicht ausgeführt. Richtlinien für den Überwachungsmodus werden in der Liste der Richtlinien mit dem Status Überwachung angezeigt. Sie sollten den Überwachungsmodus zum Testen einer neuen Richtlinie verwenden.
    • Aktiv: Richtlinien werden ausgewertet, und die konfigurierten Aktionen werden ausgeführt.
    • Inaktiv: Richtlinien werden nicht ausgewertet, und konfigurierte Aktionen werden nicht ausgeführt.

11. Überprüfen Sie sorgfältig alle Parameter Ihrer benutzerdefinierten Richtlinie. Wählen Sie Absenden aus, wenn Sie zufrieden sind. Sie können auch zurückkehren und Einstellungen ändern, indem Sie unter einer der Einstellungen Bearbeiten auswählen.

Testen und Überwachen Ihrer neuen App-Richtlinie

Nachdem Ihre App-Richtlinie nun erstellt wurde, sollten Sie sie auf der Seite Richtlinien überwachen, um sicherzustellen, dass während des Tests eine erwartete Anzahl aktiver Warnungen und gesamter Warnungen registriert werden.

Wenn die Anzahl der Warnungen unerwartet niedrig ist, bearbeite die Einstellungen der App-Richtlinie, um sicherzustellen, dass du sie korrekt konfiguriert hast, bevor du den Policy-Status festlegst.

Hier sehen Sie ein Beispiel für einen Prozess zum Erstellen einer neuen Richtlinie, zum Testen und anschließenden Aktivieren:

1. Erstellen Sie die neue Richtlinie mit Schweregrad, Apps, Bedingungen und Aktionen, legen Sie Ausgangswerte fest, und setzen Sie den Status auf Überwachungsmodus.

2. Überprüfen Sie auf erwartetes Verhalten, z. B. generierte Warnungen.

3. Wenn das Verhalten nicht erwartet wird, bearbeiten Sie die Richtlinien-Apps, Bedingungen und Aktionseinstellungen nach Bedarf, und fahren Sie mit Schritt 2 fort.

4. Wenn das Verhalten den Erwartungen entspricht, bearbeiten Sie die Richtlinie, und ändern Sie ihren Status in Aktiv.

   Das folgende Flussdiagramm zeigt z. B. die erforderlichen Schritte:

   

Erstellen einer neuen Richtlinie für OAuth-Apps, die mit Salesforce und Google Workspace verbunden sind

Richtlinien für OAuth-Apps lösen nur Warnungen für Richtlinien aus, die von Benutzern im Mandanten autorisiert sind.

So erstellen Sie eine neue App-Richtlinie für Salesforce, Google und andere Apps:

1. Navigieren Sie zu Microsoft Defender XDR > App-Governance > Richtlinien > Andere Apps. Zum Beispiel:

   

2. Filtern Sie die Apps nach Ihren Anforderungen. Sie können beispielsweise alle Apps anzeigen, die die Berechtigung zum Ändern von Kalendern in Ihrem Postfach anfordern.

   Tipp

   Verwenden Sie den Community-Use-Filter , um Informationen darüber zu erhalten, ob die Erlaubnis einer ausgewählten App häufig, ungewöhnlich oder selten ist. Der Filter Communitynutzung kann hilfreich sein, wenn Sie über eine App verfügen, die selten ist und Berechtigungen mit einem hohen Schweregrad anfordert oder Berechtigungen von vielen Benutzern anfordert.

3. Möglicherweise möchten Sie die Richtlinie basierend auf den Gruppenmitgliedschaften der Benutzer festlegen, die die Apps autorisiert haben. Beispielsweise kann ein Administrator entscheiden, eine Richtlinie festzulegen, die ungewöhnliche Apps widerruft, wenn er hohe Berechtigungen anfragt, nur wenn der Benutzer, der die Berechtigungen autorisiert hat, Mitglied der Gruppe "Administratoren" ist.

   Zum Beispiel:

   

Richtlinien zur Anomalieerkennung für OAuth-Apps, die mit Salesforce und Google Workspace verbunden sind

Zusätzlich zu Oauth-App-Richtlinien, die Sie erstellen können, stellt Microsoft Defender for Cloud Apps sofort einsatzbereite Anomalieerkennungsrichtlinien bereit, die Metadaten von OAuth-Apps profilieren, um potenziell böswillige zu identifizieren. Defender for Cloud Apps ist der Microsoft Sicherheitsdienst, der dazu beiträgt, die Cloud-App-Umgebung Ihrer Organisation zu schützen, einschließlich OAuth-Apps, die mit Salesforce und Google Workspace verbunden sind.

Die standardmäßigen Richtlinien zur Anomalieerkennung sind nur für Salesforce- und Google Workspace-Anwendungen relevant.

In der folgenden Tabelle werden die von Defender for Cloud Apps standardmäßig verfügbaren Richtlinien zur Anomalieerkennung beschrieben:

Verwalten von App-Richtlinien

Verwenden Sie App-Governance, um OAuth-Richtlinien für Microsoft 365, Google Workspace und Salesforce zu verwalten.

Möglicherweise müssen Sie Ihre App-Richtlinien wie folgt verwalten, um mit den Apps Ihrer organization auf dem neuesten Stand zu bleiben, auf neue App-basierte Angriffe zu reagieren und fortlaufende Änderungen an Ihren App-Complianceanforderungen zu erhalten:

• Erstellen neuer Richtlinien für neue Apps
• Ändern der status einer vorhandenen Richtlinie (aktiv oder deaktiviert)
• Ändern der Bedingungen einer vorhandenen Richtlinie
• Ändern der Aktionen einer vorhandenen Richtlinie für die automatische Behebung von Warnungen

Bearbeiten einer App-Richtlinienkonfiguration

So ändern Sie die Konfiguration einer benutzerdefinierten App-Richtlinie:

1. Wählen Sie die Richtlinie in der Richtlinienliste und dann im Bereich „App-Richtlinie“ die Option Bearbeiten aus.

2. Auf der Seite Richtlinie bearbeiten können Sie die folgenden Änderungen vornehmen:

   • Beschreibung: Ändern Sie die Beschreibung, um den Zweck der Richtlinie besser verständlich zu machen.
   • Schweregrad: Ändern Sie den Schweregrad ihrer App-Richtlinie auf "Niedrig", "Mittel" oder "Hoch".
   • Richtlinieneinstellungen: Ändern Sie den Satz von Apps, auf die die Richtlinie angewendet wird. Sie können auch die vorhandenen Bedingungen verwenden oder die Bedingungen ändern.
   • Aktionen: Ändern Sie die automatische Korrekturmaßnahme für Warnungen, die durch die Richtlinie generiert werden.
   • Status: Ändern Sie den Richtlinienstatus.

Löschen einer App-Richtlinie

Zum Löschen einer App-Richtlinie haben Sie folgende Möglichkeiten:

• Wählen Sie die Richtlinie in der Richtlinienliste und dann im Bereich „App-Richtlinie“ die Option Löschen aus.

Eine Alternative zum Löschen einer App-Richtlinie ist, den Status der App-Richtlinie auf deaktiviert zu ändern. Nach der Deaktivierung generiert die Richtlinie keine Warnungen. Anstatt beispielsweise eine App-Richtlinie für eine App mit einem bestimmten Satz von Bedingungen zu löschen, die für eine zukünftige Richtlinie nützlich sind, benennen Sie die App-Richtlinie um, um deren Nützlichkeit anzugeben, und legen Sie die status auf deaktiviert fest.

Bearbeiten einer vorhandenen benutzerdefinierten Richtlinie

Befolgen Sie diese Schritte, um eine bestehende, benutzerdefinierte Richtlinie zu bearbeiten:

1. Wählen Sie auf der Seite App-Governance die Registerkarte Richtlinien und dann die Richtlinie aus, die Sie bearbeiten möchten. Auf der rechten Seite wird ein Bereich mit den Details der vorhandenen Richtlinie geöffnet.

2. Wählen Sie Bearbeiten aus.

   Obwohl Sie den Namen der Richtlinie nach der Erstellung nicht mehr ändern können, können Sie die Beschreibung und den Schweregrad der Richtlinie nach Bedarf ändern. Wenn Sie fertig sind, wählen Sie Weiter.

3. Wählen Sie aus, ob Sie mit den vorhandenen Richtlinieneinstellungen fortfahren oder diese anpassen möchten. Wählen Sie Nein, ich passe die Richtlinie an, um Änderungen vorzunehmen, und wählen Sie dann Weiter aus.

4. Wählen Sie aus, ob diese Richtlinie für alle Apps, bestimmte Apps oder alle Apps mit Ausnahme der von Ihnen ausgewählten Apps gilt.

5. Wählen Sie Apps auswählen aus, um auszuwählen, auf welche Apps die Richtlinie angewendet werden soll, und wählen Sie dann Weiter aus.

6. Wählen Sie aus, ob die vorhandenen Bedingungen der Richtlinie geändert werden sollen.

   • Wenn Sie die Bedingungen ändern möchten, wählen Sie Vorhandene Bedingungen für die Richtlinie bearbeiten oder ändern aus und wählen Sie, welche Bedingungen der Richtlinie angewendet werden sollen.
   • Wählen Sie andernfalls Vorhandene Bedingungen der Richtlinie verwenden aus.

7. Wenn Sie fertig sind, wählen Sie Weiter.

8. Wählen Sie aus, ob die App deaktiviert werden soll, wenn sie die Richtlinienbedingungen auslöst, und wählen Sie dann Weiter aus.

9. Legen Sie die Richtlinie status nach Bedarf auf Aktiv oder Deaktiviert fest, und wählen Sie dann Weiter aus.

10. Überprüfen Sie ihre gewählten Einstellungen für die Richtlinie, und wenn alles wie gewünscht ist, wählen Sie Senden aus.

Nächster Schritt

Nachdem Sie Ihre App-Richtlinien erstellt und konfiguriert haben, untersuchen Sie die von ihnen generierten Warnungen: