Schritt 1: Bedingter Zugriff auf Microsoft Entra mit Microsoft Edge for Business

Der moderne Sicherheitsperimeter geht über die Netzwerkgrenze einer Organisation hinaus und umfasst die Benutzer- und Geräteidentität. Der bedingte Zugriff führt identitätsgesteuerte Signale zusammen, um Organisationsrichtlinien als Teil eines Zero Trust-Sicherheitsmodells durchzusetzen. Es wertet Signale wie Benutzerrisiko, Gerätekonformität und Anwendungskontext aus, um zu bestimmen, ob der Zugriff gewährt werden sollte.

Richtlinien für bedingten Zugriff folgen im einfachsten Fall einer Wenn-dann-Logik . Wenn ein Benutzer versucht, auf eine Microsoft 365-Ressource zuzugreifen, muss er möglicherweise eine Aktion ausführen, z. B. die mehrstufige Authentifizierung (MFA).

Identitätsgesteuerte Signale können Folgendes umfassen:

• Benutzer oder Gruppenmitgliedschaft
• Informationen zum IP-Standort
• Konformitätszustand des Geräts
• Zielanwendung
• Echtzeit-Erkennung kalkuliertes Risiko

Der bedingte Zugriff wird nach Abschluss der Authentifizierung ausgewertet. Es ist nicht dazu gedacht, Denial-of-Service-Angriffe (DoS) direkt abzuschwächen, aber es kann Signale von solchen Ereignissen verwenden, wenn Zugriffsentscheidungen getroffen werden.

Compliance für bedingten Zugriff

Der Schutz von Unternehmensdaten erfordert das Verhindern des Zugriffs von ungeschützten Geräten. Die Verhinderung von Datenverlust (Data Loss Prevention, DLP) ist nur dann wirksam, wenn nicht auf Daten von Systemen zugegriffen werden kann, die die Mindestsicherheitsanforderungen Ihrer Organization nicht erfüllen.

App-Schutz-Richtlinien (APP) arbeiten mit bedingtem Zugriff, um sicherzustellen, dass auf geschützte Ressourcen nur von verwalteten oder APP-geschützten Anwendungen wie Microsoft Edge for Business zugegriffen werden kann. Dadurch können Endbenutzer auf privaten Windows-, Android- und iOS-Geräten auf Microsoft Entra-Ressourcen zugreifen, ohne die vollständige Geräteverwaltung ausführen zu müssen.

Diese Lösung verwendet drei Richtlinien für bedingten Zugriff, um Microsoft Edge for Business zusammen mit einer Begleitrichtlinie zu schützen, die Windows-Desktop-Apps auf kompatible Geräte beschränkt:

• Stufe 1 – Grundlegend: Browserzugriff für Windows-, Android- und iOS-Benutzer, die auf App-Schutzrichtlinien angewiesen sind.
• Stufe 2 – Erweitertes Zero Trust: Fügt risikobasierte Zugriffskontrollen, kontinuierliche Überprüfung und Gerätekonformitätsanforderungen hinzu.
• Stufe 3 – Hohes Zero Trust: Erzwingt strengste Zugriffshaltung nur bei verwalteten Geräten, Kennwortzurücksetzungen für riskante Anmeldungen und häufige erneute Authentifizierung.
• Richtlinie für Nur-Browser-Begleiter: Beschränkt Windows-Desktop-Apps wie Outlook oder Word auf verwaltete, kompatible Geräte.

Bevor Sie beginnen

• Vergewissern Sie sich, dass Ihr Mandant über die erforderlichen Microsoft Entra ID Premium- und Microsoft Intune-Lizenzen für bedingten Zugriff und App-Schutzrichtlinien verfügt.
• Stellen Sie sicher, dass die Microsoft Entra-Sicherheitsgruppen SEB-Level1-Usersvorhanden SEB-Level2-Userssind und SEB-Level3-Users vorhanden sind. Diese Gruppen werden für Zuweisungen in der gesamten sicheren Unternehmensbrowserbereitstellung verwendet. Eine schrittweise Anleitung finden Sie unter Verwenden von Gruppen zum Organisieren von Benutzern und Geräten für Microsoft Intune.
• Definieren Sie vertrauenswürdige Speicherorte, Gerätefilter und Risikointegrationen (z. B. Microsoft Defender for Endpoint oder einen anderen Mobile Threat Defense-Anbieter), bevor Sie die Richtlinien zuweisen.
• Planen Sie, jede Richtlinie zuerst im Nur-Bericht-Modus auszuführen, damit Sie sie überprüfen können, bevor Sie sie erzwingen.

Ebene 1 – Einfache Richtlinie für bedingten Zugriff

Verwenden Sie diese Richtlinie, um den Browserzugriff von Windows-, Android- und iOS-Geräten zu sichern, die auf App-Schutzrichtlinien statt auf vollständiger Geräteverwaltung angewiesen sind.

1. Wechseln Sie zum Microsoft Intune Admin Center.

2. Endpunktsicherheit>auswählen>Verwalten des bedingten Zugriffs>Neue Richtlinie erstellen.

3. Konfigurieren Sie die Richtlinie für die SEB-Level1-Users Gruppe:

   • Bezeichnung: CA Edge Level 1 – Basic
   • Zielressourcen: Cloud-Apps>Microsoft 365 (Office 365)
   • Bedingungen:
     • Geräteplattformen: Schließen Sie Windows, Android und iOS ein
     • Client-Apps:Browser auswählen
     • Nach Geräten filtern:Ausschließen von Geräten, bei denen "Konform" gleich "True" ist , um sich auf nicht verwaltete/BYOD-Endpunkte zu konzentrieren
   • Zuschuss:
     • Mehrstufige Authentifizierung erforderlich
     • Erfordert eine App-Schutzrichtlinie
   • Sitzung: Für Ebene 1 nicht konfiguriert lassen

   Hinweis

   Behalten Sie die Richtlinie im Nur-Bericht-Modus bei, bis Sie bestätigen, dass sie nicht verwaltete Geräte über Microsoft Edge for Business mit App-Schutz weiterleitet.

4. Wählen Sie "Erstellen " aus, um die Richtlinie zu speichern.

Stufe 2 – Erweiterte Richtlinie für bedingten Zero Trust-Zugriff

Stufe 2 fügt die kontinuierliche Überprüfung mit risikobasierten Signalen hinzu und erfordert, dass Geräte sowohl konform als auch durch App-Schutzrichtlinien geschützt sind.

1. Wechseln Sie zum Microsoft Intune Admin Center.

2. Endpunktsicherheit>auswählen>Verwalten des bedingten Zugriffs>Neue Richtlinie erstellen.

3. Konfigurieren Sie die Richtlinie für die SEB-Level2-Users Gruppe:

   • Bezeichnung: CA Edge Level 2 – Erweitertes Zero Trust
   • Zielressourcen: Cloud-Apps>Alle Cloud-Apps
   • Bedingungen:
     • Geräteplattformen: Schließen Sie Windows, Android und iOS ein
     • Client-Apps:Browser auswählen
     • Anmelderisiko: Auf Mittel und höher festlegen
     • Geräterisiko: Auf Mittel und höher festlegen (erfordert ein integriertes Mobile Threat Defense- oder Microsoft Defender for Endpoint-Signal)
     • Standorte:Alle Speicherorte einschließen und vertrauenswürdige benannte Standorte ausschließen
     • Nach Geräten filtern:Geräte ausschließen , bei denen "Konform" gleich "True " ist, sodass nur nicht konforme oder nicht verwaltete Geräte dem App-Schutz unterliegen
   • Zuschuss:
     • Mehrstufige Authentifizierung erforderlich
     • Erfordert eine App-Schutzrichtlinie
     • Markieren des Geräts als kompatibel erforderlich
   • Sitzung:
     • App-Steuerung >für bedingten Zugriff verwendenNur überwachen
     • Anmeldehäufigkeit: Festgelegt auf Alle 4 Stunden
     • Persistente Browsersitzung: Wählen Sie "Nie persistent" aus.

   Hinweis

   Führen Sie die Richtlinie im Modus "Nur Bericht" aus, und überprüfen Sie die Überwachungsarbeitsmappen, um sie zu bestätigen, bevor Sie sie aktivieren.

4. Wählen Sie "Erstellen " aus, um die Richtlinie zu speichern.

Stufe 3 – Hohe Zero Trust-Richtlinie für bedingten Zugriff

Stufe 3 erzwingt die strengste Zugriffshaltung, indem nur verwaltete, konforme Geräte auf Microsoft 365-Ressourcen zugreifen dürfen, während mehr Sicherheitsvorkehrungen für riskante Anmeldungen angewendet werden.

1. Wechseln Sie zum Microsoft Intune Admin Center.

2. Endpunktsicherheit>auswählen>Verwalten des bedingten Zugriffs>Neue Richtlinie erstellen.

3. Konfigurieren Sie die Richtlinie für die SEB-Level3-Users Gruppe:

   • Bezeichnung: CA Edge Level 3 – Hohes Zero Trust
   • Zielressourcen: Cloud-Apps>Alle Cloud-Apps
   • Bedingungen:
     • Geräteplattformen: Schließen Sie Windows, Android und iOS ein
     • Client-Apps:Browser auswählen
     • Anmelderisiko: Auf "Niedrig" und höher festlegen
     • Benutzerrisiko: Auf "Niedrig" und höher festlegen
     • Geräterisiko: Auf eine beliebige Risikostufe festlegen
     • Standorte: Alle Standorte einschließen und nur die vertrauenswürdigsten benannten Standorte ausschließen
     • Nach Geräten filtern: Konfigurieren Sie einen Einschlussfilter , der Folgendes erfordert: "Verwaltet" ist gleich "True" undist "Konform" ist gleich "True ", sodass nur verwaltete, konforme Geräte die Richtlinie erfüllen
   • Zuschuss:
     • Mehrstufige Authentifizierung erforderlich
     • Erfordert eine App-Schutzrichtlinie
     • Markieren des Geräts als kompatibel erforderlich
     • Kennwortänderung erforderlich (für riskante Anmeldungen)
   • Sitzung:
     • App-Steuerung >für bedingten Zugriff verwendenÜberwachen und Blockieren von Downloads
     • Anmeldehäufigkeit: Festgelegt auf Alle 1 Stunde
     • Persistente Browsersitzung: Wählen Sie "Nie persistent" aus.
     • Fortlaufende Zugriffsauswertung aktivieren

   Hinweis

   Lassen Sie diese Richtlinie im Nur-Bericht-Modus , während Sie Gerätefilter, Risikosignale und Sitzungskontrollen mit einer kleinen Pilotgruppe überprüfen.

4. Wählen Sie "Erstellen " aus, um die Richtlinie zu speichern.

Browserzugriff für Windows-Desktop-Apps

Verwenden Sie diese Begleitrichtlinie, um sicherzustellen, dass Desktopanwendungen auf Windows-Geräten nur verfügbar sind, wenn das Gerät Ihre Verwaltungs- und Complianceanforderungen erfüllt.

1. Wechseln Sie zum Microsoft Intune Admin Center.

2. Endpunktsicherheit>auswählen>Verwalten des bedingten Zugriffs>Neue Richtlinie erstellen.

3. Konfigurieren Sie die Richtlinie, und weisen Sie sie den SEB-Level1-UsersGruppen ", SEB-Level2-Users" und SEB-Level3-Users zu:

   • Bezeichnung: CA-Desktop-Apps – Compliance erforderlich
   • Zielressourcen: Cloud-Apps>Microsoft 365
   • Bedingungen:
     • Geräteplattformen:Windows einschließen
     • Client-Apps:Wählen Sie mobile Apps und Desktopclients aus
   • Zuschuss:
     • Markieren des Geräts als kompatibel erforderlich
     • (Optional) Mehrstufige Authentifizierung für zusätzliche Sicherheit erforderlich

   Hinweis

   Wenn Sie ältere Authentifizierungsclients zulassen, erstellen Sie eine separate Richtlinie, um sie zu blockieren oder einzuschränken, damit sie den Browserschutz nicht umgehen können.

4. Lassen Sie die Richtlinie im Nur-Bericht-Modus , bis Sie bestätigen, dass Desktop-Apps nur von registrierten und kompatiblen Geräten aus zugänglich bleiben, und schalten Sie sie dann auf Ein um.

Überprüfen der Richtlinien

• Überwachen Sie die integrierten Erkenntnisse zum bedingten Zugriff, während die Richtlinien mindestens ein bis zwei Wochen lang im Nur-Bericht-Modus ausgeführt werden.
• Pilotieren Sie die Richtlinien mit einer kleinen Benutzergruppe, bevor Sie sie allgemein einführen, und passen Sie bei Bedarf Ausschlüsse oder vertrauenswürdige Standorte an.
• Überprüfen Sie die Anmeldeprotokolle, um sicherzustellen, dass riskante oder nicht verwaltete Szenarien mit mehrstufiger Authentifizierung oder App-Schutzanforderungen herausgefordert oder vollständig blockiert werden.
• Dokumentieren Sie die endgültige Konfiguration, damit Helpdesk-Teams Probleme mit verweigerten Anmeldungen schnell beheben können.

Nächster Schritt

Fahren Sie mit Schritt 2 fort, um eine App-Schutzrichtlinie zu erstellen.