Lernprogramm: Konfigurieren der Webinhaltsfilterung mit dem Basisprofil

Microsoft Entra Internet Access bietet Webinhaltsfilterung, um den Zugriff auf Websites basierend auf ihren vollqualifizierten Domänennamen (FQDNs) oder Webkategorien wie Glücksspiel, Social Media oder Schadsoftware zu steuern. Richtlinien werden Sicherheitsprofilen zugewiesen, die dann über das Baselineprofil auf alle Benutzer oder über den bedingten Zugriff auf bestimmte Benutzer angewendet werden können. Mit diesem mehrschichtigen Ansatz können Organisationen umfassende Schutzmaßnahmen erzwingen und gleichzeitig präzise Ausnahmen für bestimmte Gruppen aktivieren.

In diesem Tutorial erfahren Sie, wie:

Wichtige Konzepte

Sicherheitsprofile sind Container, die eine oder mehrere Filterrichtlinien enthalten. Sie werden über benutzerfreundliche Microsoft Entra Conditional Access Richtlinien bereitgestellt. Wenn Sie beispielsweise alle KI-Websites außer m365.cloud.microsoft (Enterprise Copilot) für eine bestimmte Benutzergruppe blockieren möchten:

"Security Profile for Sales Department"   <---- the security profile
    Allow m365.cloud.microsoft at priority 100      <---- higher priority filtering policy (evaluated first)
    Block Artificial Intelligence at priority 200   <---- lower priority filtering policy

• Richtlinienpriorität: Bestimmt die Reihenfolge der Auswertung:

  • 100 = höchste Priorität: Zuerst ausgewertet.
  • 65.000 = niedrigste Priorität: Zuletzt ausgewertet.
  • Herkömmliche Firewalllogik: Niedrigere Zahlen = höhere Rangfolge.
  • Bewährte Methode: Fügen Sie einen Abstand von etwa 100 Zwischenprioritäten für zukünftige Flexibilität hinzu.

• Verarbeitung mehrerer Profile: Wenn mehrere Richtlinien für bedingten Zugriff mit dem Datenverkehr eines Benutzers übereinstimmen, werden alle übereinstimmenden Sicherheitsprofile in der Prioritätsreihenfolge der Sicherheitsprofile selbst verarbeitet.

• Grundlegendes Sicherheitsprofil: Dieses Profil hat ein spezielles Verhalten:

  • Sie gilt für den gesamten Internetzugriffsverkehr , der über den Dienst weitergeleitet wird.
  • Es ist keine Verknüpfung mit einer Richtlinie für bedingten Zugriff erforderlich.
  • Sie fungiert als "Catch-all"-Richtlinie mit der niedrigsten Priorität (65.000).
  • Sie wird immer ausgeführt, auch wenn eine Richtlinie für bedingten Zugriff mit einem anderen Sicherheitsprofil übereinstimmt.

Beispielszenario

User "Angie" matches a Conditional Access policy → Custom Security Profile (priority 100)
   ↓
All policies in Custom Security Profile are evaluated
   ↓
Baseline Profile (priority 65,000) ALSO executes ← Always runs as catch-all

Sie können organisationsweite Schutzmaßnahmen im Basisprofil erstellen und gleichzeitig benutzerdefinierte Profile mit höherer Priorität zum Erstellen von Ausnahmen für bestimmte Gruppen zulassen. Sicherheitsprofile mit höherer Priorität haben weiterhin Vorrang vor dem Basissicherheitsprofil, wenn zwischen den beiden Profilen Konflikte bestehen.

Objective

In diesem Lernprogramm erstellen Sie eine Webinhaltsfilterrichtlinie, die den Zugriff auf Glücksspielwebsites und die Bing-Suchmaschine blockiert. Sie weisen die Richtlinie dem Basissicherheitsprofil zu und stellen sicher, dass die Websites wie erwartet blockiert werden.

Schritt 1: Erstellen einer Webfilterrichtlinie

Konfigurieren Sie eine Webinhaltsfilterrichtlinie, die Glücksspielwebsites und Bing blockiert.

1. Wechseln Sie im Microsoft Entra Admin Center zu Global Secure Access>Sicheres>Webinhaltsfilterrichtlinien>Richtlinie erstellen.
2. Geben Sie die folgenden Details an:
   • Name: Baseline-blockierte Websites eingeben.
   • Beschreibung: Fügen Sie eine Beschreibung hinzu.
   • Aktion: Wählen Sie "Blockieren" aus.
3. Wählen Sie Weiteraus.
4. Wählen Sie unter "Richtlinienregeln" die Option "Regel hinzufügen" aus.
5. Geben Sie im Dialogfeld "Regel hinzufügen " die folgenden Details an:
   • Name: Geben Sie "Glücksspiel blockieren" ein.
   • Zieltyp: Wählen Sie "webCategory" aus.
   • Suche: Suchen Sie nach Glücksspielen, und wählen Sie sie aus.
6. Klicken Sie auf Hinzufügen.
7. Wählen Sie erneut "Regel hinzufügen" aus.
8. Geben Sie im Dialogfeld "Regel hinzufügen " die folgenden Details an:
   • Name: Geben Sie "Bing blockieren" ein.
   • Zieltyp: Wählen Sie fqdn aus.
   • Ziel: Wählen Sie www.bing.com,bing.com aus.
9. Klicken Sie auf Hinzufügen.
10. Wählen Sie Weiteraus.
11. Wählen Sie Create policy (Richtlinie erstellen) aus.

In dieser Anleitung werden nur der FQDN und webCategory Webinhaltsfilter konfiguriert. Für die URL-Filterung ist TLS-Überprüfung erforderlich. Sowohl die TLS-Inspektion als auch die URL-Filterung werden in späteren Lernprogrammen behandelt.

Schritt 2: Verknüpfen der Webinhaltsfilterrichtlinie mit dem grundlegenden Sicherheitsprofil

1. Wechseln Sie im Microsoft Entra Admin Center zuglobalen Sicherheitsprofilen für>>.
2. Wählen Sie die Registerkarte " Basisplanprofil " aus.
3. Wählen Sie die Seite "Linkrichtlinien" aus .
4. Wählen Sie "Richtlinie verknüpfen" und dann "Vorhandene Webfilterrichtlinie" aus.
   • Wählen Sie im Dialogfeld Richtlinie verknüpfen unter Richtlinienname die Option Baseline Blockierte Websites aus.
   • Priorität: Wählen Sie 100 aus.
   • Status: Wählen Sie "Aktiviert" aus.
5. Klicken Sie auf Hinzufügen.
6. Vergewissern Sie sich in den Linkrichtlinien, dass Basis blockierte Websites aufgeführt sind.

Schritt 3: Überprüfen, ob Bing- und Glücksspielwebsites blockiert werden

1. Melden Sie sich beim Gerät mit dem Global Secure Access (GSA)-Client an.

2. Öffnen Sie einen Browser, und versuchen Sie, zu www.bing.com und www.gambling.comzu wechseln.

   Es kann bis zu 20 Minuten dauern, bis die Richtlinie auf Ihr Clientgerät angewendet wird.

3. Stellen Sie sicher, dass die Webseiten nicht geladen werden.

   

Sie haben diese Fehlermeldung erhalten, da Sie die Transport Layer Security (TLS)-Inspektion nicht aktiviert haben, die eine anpassbare Blocknachricht bereitstellt und mehr Sicherheitsfunktionen entsperrt. Im Lernprogramm zur TLS-Inspektion wird eine benutzerfreundlichere Fehlermeldung angezeigt.

Schritt 4: Anzeigen von Aktivitäten im Datenverkehrsprotokoll

1. Wählen Sie im Microsoft Entra Admin Center Global Secure Access>Monitor>Traffic logs aus. Wählen Sie bei Bedarf "Filter hinzufügen" aus. Filtern Sie nach dem Prinzipalname des Benutzers, der Testbenutzer enthält, und legen Sie "Aktion" auf "Blockieren" fest.
2. Überprüfen Sie die Einträge für Ihre Zielwebsites, die den Datenverkehr als blockiert anzeigen. Es kann eine Verzögerung von bis zu 20 Minuten geben, damit Einträge im Protokoll angezeigt werden.

Was Sie gelernt haben

In dieser Übung haben Sie die folgenden Aufgaben ausgeführt:

• Erstellt eine Webinhaltsfilterrichtlinie: Sie haben Regeln definiert, indem Sie sowohl FQDN-basierte Blockierung (bestimmte Domänen) als auch kategoriebasierte Blockierung (Glücksspiel als Webkategorie) verwenden.
• Grundlegendes Profil: Sie haben gelernt, dass das Basisprofil für alle über GSA tunnelten Internetdatenverkehr gilt, was es ideal für organisationsweite Schutzmaßnahmen macht.
• Verknüpfte Richtlinien mit Sicherheitsprofilen: Sie haben gelernt, dass Richtlinien mit einem Sicherheitsprofil verknüpft werden müssen. Sicherheitsprofile müssen mit Richtlinien für den bedingten Zugriff verknüpft werden, damit sie Benutzern zugewiesen werden können und in Kraft treten. Das grundlegende Sicherheitsprofil (das in diesem Lernprogramm verwendet wird) erfordert keinen bedingten Zugriff und gilt für den gesamten Internetdatenverkehr.
• Beobachtet den Fehler "Verbindungszurücksetzung": Sie haben gelernt, dass GSA ohne TLS-Inspektion nur die Verbindung ablegen kann, was zu einem generischen Browserfehler und nicht zu einer hilfreichen Nachricht führt.

Eingehende Analyse: Warum wurde der Fehler "Verbindungsabbruch" angezeigt?

Wenn die TLS-Inspektion nicht aktiviert ist, kann der Sicherheitsdienst-Edge (Security Service Edge, SSE) Folgendes sehen:

• Die Ziel-IP-Adresse
• Die Servernamensanzeige im TLS-Handshake, der der FQDN entnommen werden kann, z. B. www.bing.com

Aber es kann nicht sehen.

• Der vollständige URL-Pfad, wie www.google.com/images oder www.google.com/maps.
• Der HTTP-Anforderungs-/Antwortinhalt.

Da der SSE keine Inhalte in einen verschlüsselten Datenstrom einfügen kann, kann er nur die Verbindung beenden. Das Ergebnis ist ein Fehler beim Zurücksetzen der Verbindung. Im nächsten Lernprogramm aktivieren Sie die TLS-Inspektion, um umfangreichere Funktionen wie benutzerdefinierte Blockseiten zu entsperren.

Nächster Schritt