Bewährte Methoden für die CSP-Sicherheit

Alle Partner im Cloud Solution Provider (CSP)-Programm, die auf Partner Center und Partner Center APIs zugreifen, sollten die Sicherheitshinweise in diesem Artikel befolgen, um sich selbst und ihre Kunden zu schützen.

Informationen zur Sicherheit für Kunden finden Sie unter Bewährte Methoden zur Kundensicherheit. Bewährte Methoden für die Verwaltung von Dienstprinzipalen finden Sie unter Schützen von Dienstprinzipalen in Microsoft Entra ID.

Dringend empfohlene Schritte für Ihre Mandanten

• Fügen Sie einen Sicherheitskontakt hinzu für Benachrichtigungen zu Sicherheitsproblemen im Mandanten des Partner Centers.
• Überprüfen Sie Ihre Sicherheitsbewertung für Identitäten in Microsoft Entra ID und ergreifen Sie die geeigneten Maßnahmen, um Ihre Bewertung zu erhöhen.
• Überprüfen und setzen Sie die in Umgang mit Zahlungsausfällen, Betrug oder Missbrauch dokumentierten Leitlinien um.
• Machen Sie sich mit dem NOBELIUM-Bedrohungsakteur und verwandten Materialien vertraut:
  • NOBELIUM nimmt delegierte Administratorrechte ins Visier, um umfassendere Angriffe zu ermöglichen
  • NOBELIUM-Reaktionstraining
  • Absicherung des Kanals: Der Weg zu Zero Trust

Best Practices für Identitäten

Erzwingen der mehrstufigen Authentifizierung

• Stellen Sie sicher, dass alle Benutzer in Ihren Partner Center-Mandanten und Ihren Kundenmandanten für die Multi-Faktor-Authentifizierung (MFA) registriert sind und diese verwenden. Es gibt verschiedene Möglichkeiten zum Konfigurieren der MFA. Wählen Sie die Methode aus, die auf den Mandanten zutrifft, den Sie konfigurieren:
  • Der Mandant meines Partner Centers/Kunden verfügt über Microsoft Entra ID P1
    • Verwenden Sie Bedingten Zugriff, um MFA zu erzwingen.
  • Der Mandant meines Partner Centers/Kunden verfügt über Microsoft Entra ID P2
    • Verwenden Sie Bedingten Zugriff, um MFA zu erzwingen.
    • Implementieren Sie risikobasierte Richtlinien mithilfe von Microsoft Entra ID Protection.
    • Für Ihren Partner Center-Mandanten haben Sie je nach Ihren Vorteilen für interne Nutzungsrechte (Internal Use Rights, IUR) möglicherweise Anspruch auf Microsoft 365 E3 oder E5. Diese SKUs umfassen die Microsoft Entra ID P1 bzw. 2.
    • Für den Mandanten Ihres Kunden empfehlen wir, Sicherheitsstandards zu aktivieren.
      • Wenn Ihr Kunde Apps verwendet, die eine Legacyauthentifizierung erfordern, funktionieren diese Apps nach dem Aktivieren der Sicherheitsstandardeinstellungen nicht mehr. Wenn die App nicht ersetzt, entfernt oder aktualisiert werden kann, um moderne Authentifizierung zu verwenden, können Sie MFA über Richtlinien für bedingten Zugriff erzwingen.
      • Sie können die Verwendung von Sicherheitsstandardeinstellungen Ihres Kunden mithilfe des folgenden Graph-API-Aufrufs überwachen und erzwingen:
        • identitySecurityDefaultsEnforcementPolicy-Ressourcentyp – Microsoft Graph v1.0 | Microsoft Learn
• Stellen Sie sicher, dass die verwendete MFA-Methode phishingsicher ist. Sie können dies tun, indem Sie kennwortlose Authentifizierung oder Nummernabgleich verwenden.
• Wenn ein Kunde die Verwendung von MFA ablehnt, gewähren Sie ihm weder Administratorrollen in Microsoft Entra ID noch Schreibberechtigungen für Azure-Abonnements.

App-Zugriff

• Übernehmen Sie das Framework Sicheres Anwendungsmodell. Alle Partner, die Partner Center-APIs integrieren, müssen das Framework für das sichere Anwendungsmodell für alle Anwendungen mit App- und Benutzerauthentifizierungsmodell einführen.
• Deaktivieren Sie die Benutzerzustimmung in Microsoft Entra-Mandanten im Partner Center oder verwenden Sie den Workflow für die Administratorzustimmung.

Geringste Rechte / Kein ständiger Zugriff

• Benutzer, die über integrierte Microsoft Entra-Rollen verfügen, sollten diese Konten nicht regelmäßig für E-Mail und Zusammenarbeit verwenden. Erstellen Sie ein separates Benutzerkonto ohne Administratorrollen von Microsoft Entra für Zusammenarbeitsaufgaben.
• Überprüfen Sie die Administrator-Agent-Gruppe, und entfernen Sie Personen, die keinen Zugriff benötigen.
• Überprüfen Sie regelmäßig den Administratorrollenzugriff in der Microsoft Entra-ID, und beschränken Sie den Zugriff auf so wenige Konten wie möglich. Weitere Informationen finden Sie unter Integrierte Rollen von Microsoft Entra.
• Benutzer, die das Unternehmen verlassen oder Rollen innerhalb des Unternehmens ändern, sollten aus dem Partner Center-Zugriff entfernt werden.
• Wenn Sie über Microsoft Entra ID P2 verfügen, verwenden Sie Privileged Identity Management (PIM), um Just-in-Time-(JIT-)Zugriff durchzusetzen. Verwenden Sie das doppelte Sorgerecht, um den Zugriff auf Microsoft Entra-Administratorrollen und Partner Center-Rollen zu überprüfen und zu genehmigen.
• Informationen zum Schützen privilegierter Rollen finden Sie unter Übersicht zum Schützen des privilegierten Zugriffs.
• Überprüfen Sie regelmäßig den Zugriff auf Kundenumgebungen.
  • Inaktive Berechtigungen für die delegierte Administration (DAP) entfernen.
  • Häufig gestellte Fragen zu GDAP.
  • Stellen Sie sicher, dass GDAP-Beziehungen Rollen mit den geringsten erforderlichen Berechtigungen verwenden.

Identitätsisolation

• Vermeiden Sie das Hosten Ihrer Partner Center-Instanz in demselben Microsoft Entra-Mandanten, der Ihre internen IT-Dienste hostet, z. B. E-Mail- und Zusammenarbeitstools.
• Verwenden Sie separate, dedizierte Benutzerkonten für privilegierte Partner Center-Benutzer, die Kundenzugriff haben.
• Vermeiden Sie das Erstellen von Benutzerkonten in Microsoft Entra-Mandanten des Kunden, die von Partnern zum Verwalten des Kundenmandanten und zugehöriger Apps und Dienste verwendet werden sollen.

Best Practices für Geräte

• Nur den Zugriff auf das Partner Center und Kundenmandanten von registrierten, einwandfreien Arbeitsstationen zulassen, die über verwaltete Sicherheitsbaselines verfügen und auf Sicherheitsrisiken überwacht werden.
• Erwägen Sie für Partner Center-Benutzer mit privilegiertem Zugriff auf Kundenumgebungen, dedizierte Arbeitsstationen (virtuell oder physisch) vorzuschreiben, damit diese Benutzer auf Kundenumgebungen zugreifen können. Weitere Informationen finden Sie unter Absichern des privilegierten Zugriffs.

Bewährte Methoden für die Überwachung

Partner Center-APIs

• Alle Anbieter von Systemsteuerungs sollten das Modell für sichere Anwendungen aktivieren und die Protokollierung für sämtliche Benutzeraktivitäten einschalten.
• Anbieter von Systemsteuerungs sollten die Protokollierung jeder Anmeldung von Partner-Agenten in der Anwendung sowie aller durchgeführten Aktionen aktivieren.

Überwachung der Anmeldung und allgemeine Überwachung

• Partner mit einer Microsoft Entra ID P2-Lizenz qualifizieren sich automatisch, um Überwachungs- und Anmeldeprotokolldaten bis zu 30 Tage aufzubewahren.

  Bestätigen Sie folgendes:

  • Die Audit-Protokollierung ist eingerichtet, wenn delegierte Administratorkonten verwendet werden.
  • Protokolle erfassen die maximale Anzahl von Details, die vom Dienst bereitgestellt werden.
  • Protokolle werden für einen akzeptablen Zeitraum (bis zu 30 Tage) aufbewahrt, der die Erkennung von Anomalieaktivitäten ermöglicht.

  Detaillierte Überwachungsprotokollierung erfordert möglicherweise den Kauf weiterer Dienste. Weitere Informationen finden Sie unter Wie lange speichert Microsoft Entra ID Berichtsdaten?

• Überprüfen und überprüfen Sie regelmäßig E-Mail-Adressen und Telefonnummern für die Kennwortwiederherstellung innerhalb der Microsoft Entra-ID für alle Benutzer mit den privilegierten Entra-Administratorrollen, und aktualisieren Sie sie bei Bedarf.

  • Wenn der Mandant eines Kunden kompromittiert wurde: Der CSP Direct Bill Partner, der indirekte Anbieter oder Ihr indirekter Vertriebspartner kann sich nicht an den Support wenden, um eine Änderung des Administratorkennworts im Mandanten des Kunden anzufordern. Der Kunde muss sich an den Microsoft-Support wenden, indem er den Anweisungen im Thema Mein Administratorkennwort zurücksetzen folgt. Das Thema zum Zurücksetzen meines Administratorkennworts enthält einen Link, über den Kunden Microsoft-Support anrufen können. Weisen Sie den Kunden an, darauf hinzuweisen, dass der CSP keinen Zugriff mehr auf seinen Mandanten hat, um das Kennwort zurückzusetzen. Der CSP sollte in Erwägung ziehen, die Abonnements des Kunden auszusetzen, bis der Zugriff wiedererlangt wird und die beleidigenden Parteien entfernt werden.

• Implementieren Sie bewährte Methoden für die Überwachungsprotokollierung, und führen Sie routinemäßige Überprüfungen der Aktivitäten durch, die von delegierten Administratorkonten ausgeführt werden.

  • Was sind Microsoft Entra-Berichte?
  • Analysieren Sie Aktivitätsprotokolle mithilfe von Azure Monitor-Protokollen
  • Referenz zu den Microsoft Entra-Überwachungsaktivitäten

• Partner sollten den Bericht zu riskanten Benutzern in ihrer Umgebung überprüfen und sich gemäß den veröffentlichten Leitlinien mit den Konten befassen, die als risikobehaftet erkannt werden.

  • Risiken beheben und Benutzer entsperren
  • Benutzererfahrungen mit Microsoft Entra ID Protection

Verwandte Inhalte

• Sicherheitsanforderungen für Partner
• Leitprinzipien von Zero Trust
• Bewährte Methoden für die Kundensicherheit