Überprüfen Sie die Ausrichtung von Richtlinien für bedingten Zugriff mit einer Zero-Trust-Strategie.
Microsoft Entra Conditional Access ist die Grundlage des Zero Trust-Sicherheitsrichtlinienmoduls von Microsoft. Es vereint Signale aus mehreren Quellen, um Zugriffsentscheidungen zu automatisieren und Organisationssicherheitsrichtlinien zu erzwingen. Als Sicherheitsarchitekt müssen Sie sicherstellen, dass die Richtlinien für bedingten Zugriff alle drei Zero-Trust-Prinzipien für Benutzer, Geräte, Anwendungen und zunehmend auch Agentidentitäten umfassen.
Zero Trust Prinzipien und bedingter Zugriff
Zero Trust basiert auf drei Kernprinzipien. Jedes Prinzip ordnet sich direkt bestimmten Funktionen für bedingten Zugriff zu:
| Zero Trust Prinzip | Wie der bedingte Zugriff durchgesetzt wird |
|---|---|
| Explizit überprüfen. | Wertet alle verfügbaren Signale – Benutzer- oder Gruppenmitgliedschaft, IP-Standort, Gerätestatus, Anwendung, Erkennung von Risiken in Echtzeit und Microsoft Defender for Cloud Apps – aus, bevor Der Zugriff gewährt wird |
| Verwenden des geringsten Berechtigungszugriffs | Beschränkt den Benutzerzugriff über Sitzungssteuerungen, zeitlich eingeschränkte Berechtigungen, adaptive risikobasierte Richtlinien und bereichsbasierte Zielsetzungen |
| Von Sicherheitsverletzungen ausgehen. | Minimiert den Strahlradius durch Zugriffssegmentierung, kontinuierliche Überprüfung mit fortlaufender Zugriffsauswertung (Continuous Access Evaluation, CAE) und Echtzeitanalysen |
Wenn Richtlinien für bedingten Zugriff ausgewertet werden, funktionieren sie wie wenn-dann-Anweisungen: Wenn ein Benutzer auf eine Ressource zugreifen möchte, muss er die erforderliche Aktion ausführen. Bedingter Zugriff verarbeitet sechs Kategorien von Signalen, um Entscheidungen zur Erteilung, Blockierung oder Sitzungskontrolle zu erreichen.
Explizite Überprüfungs-Alignierung validieren
Die explizite Überprüfung erfordert, dass jede Zugriffsanforderung vollständig authentifiziert und autorisiert ist, indem alle verfügbaren Datenpunkte verwendet werden. Überprüfen Sie, ob Ihre Richtlinien für bedingten Zugriff diese Signalkategorien behandeln:
Identitäts- und Authentifizierungsstärke
- MFA ist für alle Benutzer in allen Cloudanwendungen erforderlich.
- Phishing-beständige Authentifizierungsmethoden (Passkeys, FIDO2-Sicherheitsschlüssel, zertifikatbasierte Authentifizierung) werden für privilegierte Rollen erzwungen.
- Ältere Authentifizierungsprotokolle werden blockiert. Untersuchungen zeigen, dass 97 % der Credential-Stuffing-Angriffe und 99 % der Passwort-Spray-Angriffe veraltete Authentifizierungen ausnutzen.
- Von Microsoft verwaltete Richtlinien für bedingten Zugriff werden gegebenenfalls überprüft und aktiviert. Diese Richtlinien blockieren automatisch die Legacyauthentifizierung, erfordern MFA für den Zugriff auf Azure Verwaltungsportal, erfordern MFA für Administratorkonten und erfordern MFA für alle Benutzer.
Gerätekonformität
- Erfordere Geräte mit Microsoft Entra-Hybridbeitritt oder Intune-konforme Geräte für den Zugriff auf Unternehmensressourcen.
- Verwenden Sie Gerätefilter, um bestimmte Geräteplattformen als Ziel festzulegen oder auszuschließen.
- Fordern Sie verwaltete Geräte und Tokenschutz für privilegierten Zugriff an, um Token an das beabsichtigte Gerät zu binden.
Standort- und Anwendungssignale
- Definieren Sie benannte Speicherorte für Unternehmensnetzwerke und vertrauenswürdige IP-Bereiche.
- Zugriff von Ländern oder Regionen blockieren, in denen die Organisation nicht funktioniert.
- Wenden Sie die App-Steuerung für bedingten Zugriff über Microsoft Defender for Cloud Apps an, um die Sichtbarkeit von Anwendungen mit hohem Risiko auf Sitzungsebene zu ermöglichen.
- Integrieren Sie Anmelderisiko- und Benutzerrisikostufen aus Microsoft Entra ID Protection, sodass Richtlinien dynamisch auf erkannte Bedrohungen reagieren.
Agentenidentitätsabsicherung
Conditional Access for Agent ID (Vorschauversion) erweitert die Zero Trust-Steuerelemente auf KI-Agenten. Diese Funktion behandelt Agents als Erstklassige Identitäten und wertet ihre Zugriffsanforderungen mithilfe von agentspezifischer Logik aus. Überprüfen Sie, ob Agentidentitäten und Agentbenutzer von Ihren Richtlinien für bedingten Zugriff abgedeckt werden, sodass nicht menschliche Identitäten keine Abdeckungslücken erzeugen.
Überprüfen der Ausrichtung am Zugriff mit geringsten Rechten
Der geringste Berechtigungszugriff stellt sicher, dass Benutzer nur die Berechtigungen erhalten, die für ihre aktuelle Aufgabe erforderlich sind. Überprüfen Sie, ob Ihre Konfiguration für bedingten Zugriff die geringsten Berechtigungen über diese Mechanismen erzwingt:
Mehrstufige Schutzebenen
Microsoft empfiehlt drei Ebenen von Zero Trust Identitäts- und Gerätezugriffsrichtlinien, die jeweils schrittweise strengere Steuerelemente hinzufügen:
| Tarif | Tastensteuerelemente |
|---|---|
| Ausgangspunkt | MFA für alle Benutzer, Blockieren der Legacyauthentifizierung, App-Schutzrichtlinien für mobile Geräte |
| Unternehmen | Konforme Geräte oder Geräte mit Microsoft Entra-Hybridbeitritt erfordern, MFA für Gäste durchsetzen |
| Spezielle Sicherheit | Für jede Anmeldung für bestimmte Benutzende von hohem Wert oder für den Zugriff auf vertrauliche Daten MFA erfordern, Sitzungen einschränken |
Sitzungs- und Bereichssteuerelemente
- Konfigurieren Sie Steuerungen für die Anmeldehäufigkeit, um die Sitzungsdauer für vertrauliche Anwendungen zu begrenzen.
- Verwenden Sie die App-Steuerung für bedingten Zugriff, um den Datendownload auf nicht verwalteten Geräten zu verhindern.
- Erstellen Sie gezielte Richtlinien pro Benutzergruppe, Anwendung und Vertraulichkeitsstufe, anstatt eine einzelne allgemeine Richtlinie anzuwenden.
- Integrieren Sie Privileged Identity Management (PIM) für die Just-in-Time-Aktivierung einer administrativen Rolle und erzwingen Sie den zeitlich begrenzten Zugriff basierend auf dem Prinzip der minimalen Berechtigung.
Überprüfen der Ausrichtung an der Strategie der Annahme von Sicherheitsverletzungen
Das Assume-Breach-Prinzip entwirft Sicherheitskontrollen mit der Annahme, dass eine Sicherheitsverletzung bereits eingetreten ist oder eintreten wird. Überprüfen Sie, ob Ihre Richtlinien die fortlaufende Verifizierung und die Verringerung des Auswirkungsradius abdecken:
Kontinuierliche Überprüfung und Echtzeitantwort
- Aktivieren Sie die Fortlaufende Zugriffsauswertung (Continuous Access Evaluation, CAE) für unterstützte Anwendungen, sodass Richtlinienänderungen und Risikoereignisse in nahezu Echtzeit wirksam werden, ohne auf den Ablauf des Tokens zu warten.
- Konfigurieren Sie risikobasierte Richtlinien für bedingten Zugriff, die den Zugriff automatisch blockieren oder eine Kennwortänderung erfordern, wenn Identity Protection erhöhte Benutzerrisiken oder Anmelderisiken erkennt.
- Stellen Sie automatisierte Wartungspfade bereit, damit Benutzer sich durch die MFA-Registrierung oder die sichere Kennwortzurücksetzung selbst korrigieren können.
Reduzierung und Segmentierung des Auswirkungsradius
- Segmentzugriff nach Ressourcenempfindlichkeit: Separate Richtlinien für allgemeine Unternehmens-Apps im Vergleich zu Finanzsystemen, PERSONALdaten oder Verwaltungsportalen.
- Erfordern privilegierte Zugangsarbeitsstationen für administrative Vorgänge.
- Implementieren Sie geschützte Aktionen für vertrauliche Vorgänge, z. B. das Ändern von Richtlinien für bedingten Zugriff selbst.
- Beschränken Sie den Gerätecodefluss, und blockieren Sie die Authentifizierungsübertragung, um Angreifer daran zu hindern, diese Flüsse zu missbrauchen.
Zero-Trust-Prinzipien und Abdeckung von bedingtem Zugriff
Über die drei Prinzipien hinaus definiert Zero Trust sechs Technologiepfeiler. Bedingter Zugriff spielt in jeder Säule eine andere Rolle, und ergänzende Kontrollen sind erforderlich, wenn die Abdeckung begrenzt ist:
| Säule | Rolle für bedingten Zugriff | Ergänzende Kontrollen erforderlich |
|---|---|---|
| Identität | Primäres Richtlinienmodul – setzt MFA, Authentifizierungsstärke, risikobasierte Richtlinien und CAE durch | Microsoft Entra ID-Schutz, PIM |
| Geräte | Erzwingt Gerätekompatibilität, Hybridbeitritts-Anforderungen, Geräte-Filter und Token-Schutz | Microsoft Intune, Defender für Endpoint |
| Anträge | Steuert den Anwendungszugriff, wendet Sitzungseinschränkungen an, integriert die App-Steuerung für bedingten Zugriff | Defender für Cloud-Apps, App-Governance |
| Daten | Indirekt – Sitzungskontrollen blockieren Downloads auf nicht verwalteten Geräten, klassifizieren oder verschlüsseln jedoch keine Daten. | Microsoft Purview Information Protection, DLP, Vertraulichkeitskennzeichnungen |
| Network | Wertet benannte Standorte und IP-basierte Bedingungen als Zugriffssignale aus. | Azure Firewall, NSGs, Azure Front Door, Mikrosegmentierung |
| Infrastruktur | Erfordert MFA für Azure Verwaltungsportal; eingeschränkt auf Einstiegspunkte auf Steuerungsebene | Defender für Cloud, Azure Policy, Just-in-Time-VM-Zugriff |
Anhand dieser Zuordnung können Sie ermitteln, wo der bedingte Zugriff allein den Säulenanforderungen entspricht und wo Architekten zusätzliche Steuerelemente überführen müssen.
Phasenweise Bereitstellung für die Ausrichtung an Zero Trust
Microsoft empfiehlt einen dreistufigen Bereitstellungsansatz für bedingten Zugriff, um Zero Trust Ausrichtung zu erreichen:
| Phase | Fokus | Wichtige Richtlinien |
|---|---|---|
| Phase 1: Stiftung (Wochen 1–2) | Blockieren der Legacy-Authentifizierung, sichere MFA-Registrierung, Phishing-beständige MFA für privilegierte Rollen erfordern | Ältere Authentifizierung blockieren, Sicherheitsinformationenregistrierung schützen, MFA-Stärke des Administrators |
| Phase 2: Kernauthentifizierung (Wochen 2–3) | MFA für alle Benutzer, Gast-MFA, App-Schutzrichtlinien, MFA beim Gerätebeitritt | Universelle MFA, Gastzugriffssteuerungen, Schutz mobiler Apps |
| Phase 3: Erweiterter Schutz (Wochen 3–4) | Risikobasierte Anmelde- und Benutzerrichtlinien, Tokenschutz, Einschränken des Gerätecodeflusses, Blockieren der Authentifizierungsübertragung | Risikobasierte Zertifizierungsstelle (CA), Tokenbindung, PAW-basierte Richtlinien |
Stellen Sie jede Richtlinie zuerst im Nur-Bericht-Modus bereit. Überprüfen Sie die Anmeldeprotokolle, um die Auswirkungen zu verstehen, bevor Sie auf aktiviert umschalten.
Richtlinienvorlagen für Zero Trust
Microsoft stellt Richtlinienvorlagen für bedingten Zugriff bereit, die in zwei Kategorien unterteilt sind, die an Zero Trust ausgerichtet sind:
- Secure foundation – Acht Richtlinien, die kerngeschützte Schutzfunktionen umfassen: MFA für alle Benutzer, MFA für Administratoren, MFA für Azure-Verwaltung, Blockieren der Legacyauthentifizierung, Erfordern kompatibler Geräte, Phishing-beständige MFA für Administratoren und andere.
- Zero Trust – Dreizehn Richtlinien, die erweiterte Schutzmaßnahmen abdecken: risikobasierte Richtlinien für Benutzer und Anmeldungen, Phishing-beständige MFA für alle Benutzer, Blockieren des Gerätecodeflusses, erfordern kompatible Geräte für alle Plattformen, erzwingen persistente Browsereinschränkungen und vieles mehr.
Diese Vorlagen beschleunigen die Ausrichtung auf Zero Trust, müssen jedoch angepasst werden, um Konten für den Notfallzugriff, Dienstkonten und andere Identitäten auszuschließen, die speziell behandelt werden müssen.
Tools zum Überprüfen der Richtlinienkonformität
Für die Überprüfung der Zero Trust-Ausrichtung ist eine kontinuierliche Bewertung erforderlich. Verwenden Sie diese Tools, um Abdeckungslücken zu identifizieren:
| Werkzeug | Purpose |
|---|---|
| Was-Wäre-Wenn-Tool | Simuliert eine Anmeldung für eine benutzende Person, eine Agent-Identität oder einen Dienstprinzipal, um zu ermitteln, welche Richtlinien unter bestimmten Bedingungen gelten. Nützlich für das Testen komplexer Szenarien vor der Bereitstellung. |
| Modus "Nur Bericht" | Wertet Richtlinien aus, ohne sie zu erzwingen, und protokolliert, was passiert wäre . Wichtig für die Auswirkungsanalyse, bevor neue Richtlinien eingeführt werden. |
| Bedingte Zugriffslückenanalysearbeitsmappe | Identifiziert vier Kategorien von Lücken: Anmeldungen mit Legacyauthentifizierung, Anwendungen ohne "Conditional Access," risikoreiche Anmeldungen, die Richtlinien umgehen, und Anmeldungen von Orten ohne Richtlinien. |
| Workbook „Bedingter Zugriff – Erkenntnisse und Berichte“ | Bietet eine konsolidierte Ansicht der Auswirkungen auf Richtlinien im Laufe der Zeit, einschließlich ausschließlich berichtsbasierter Ergebnisse. Erfordert einen Log Analytics Arbeitsbereich. |
| Optimierungs-Agent für bedingten Zugriff | Verwendet Sicherheits-Copilot, um Richtlinien zu analysieren, neue Richtlinien basierend auf Zero Trust bewährten Methoden zu empfehlen, Richtlinienkonsolidierung vorzuschlagen und Richtlinienüberprüfungsberichte zu generieren, die Spitzen oder Dips hervorheben, die eine Fehlkonfiguration angeben. |
Häufige Fehlausrichtungen
Achten Sie auf diese häufigen Lücken zwischen der Konfiguration für bedingten Zugriff und Zero Trust Anforderungen:
| Fehlausrichtung | Zero Trust Auswirkungen |
|---|---|
| Notfallzugriffskonten ohne Überwachung | Verstoß gegen die Annahme von Sicherheitsverletzungen: Kompromittierung von Break-Glass-Konten wird nicht erkannt |
| MFA nur für Administratoren erforderlich | Verstoß gegen die explizite Überprüfung: Konten regulärer benutzender Personen bleiben anfällig |
| Keine Gerätekompatibilitätsanforderungen | Unvollständige explizite Überprüfung: Nicht verwaltete Geräte erstellen Einstiegspunkte |
| Einheitliche Gesamtrichtlinie für alle Anwendungen | Verletzt das Prinzip der minimalen Berechtigungen: gleiche Kontrollen unabhängig von der Vertraulichkeitsstufe |
| Keine risikobasierten Richtlinien | Fehlende kontinuierliche Überprüfung: Erhöhtes Risiko löst keine zusätzlichen Steuerelemente aus. |
| Legacy-Authentifizierung ist weiterhin zulässig | Umgeht mehrstufige Authentifizierung und andere Kontrollen; ermöglicht Credential-Stuffing- und Passwort-Spray-Angriffe. |
| Agent- und Workloadidentitäten ungeschützt | Sicherheitslücke: Nichtmenschliche Identitäten greifen ohne Zero-Trust-Mechanismen auf Ressourcen zu. |
Entwurfsüberlegungen
Beim Überprüfen der Ausrichtung auf Zero Trust von Richtlinien für bedingten Zugriff:
- Aktuellen Zustand bewerten – Verwenden Sie die Arbeitsmappe "Gap-Analyzer" und das What-If-Tool, um alle Richtlinien zu dokumentieren und Abdeckungslücken für Zero-Trust-Anforderungen zu identifizieren.
- Richten Sie den Notfallzugriff ein – Behalten Sie mindestens zwei Notfallzugriffskonten vorhanden, die von Richtlinien für bedingten Zugriff ausgeschlossen sind, aber bei jeder Anmeldeaktivität über Warnungen überwacht werden.
- Beachten Sie den Grenzwert von 240 Richtlinien – Jeder Mandant unterstützt maximal 240 Richtlinien für bedingten Zugriff. Verwenden Sie Richtlinienkonsolidierungsempfehlungen des Optimierungs-Agents, um in diesem Grenzwert zu bleiben.
- Priorisieren Sie nach Risiko – Adressieren Sie zuerst die Lücken mit dem höchsten Risiko: MFA für alle Benutzer, Blockieren der Legacyauthentifizierung und risikobasierte Richtlinien.
- Anwenden von Benennungsstandards – Verwenden Sie eine konsistente Benennungskonvention, die eine Sequenznummer, Zielanwendungen, Antwort, Zielbenutzer und Bedingungen für eine einfachere Verwaltung enthält.
- Kontinuierlich iterieren – Verfolgen Sie die Richtlinienabdeckung und Wirksamkeit über die Berichtsmappe und planen Sie regelmäßige Überprüfungen, um sich an neue Signale, Anwendungen und Identitätstypen anzupassen.