Konfigurowanie Microsoft Entra pod kątem zwiększonych zabezpieczeń (wersja zapoznawcza)

W Microsoft Entra grupujemy nasze zalecenia dotyczące zabezpieczeń na wiele motywów na podstawie inicjatywy Secure Future Initiative (SFI). Ta struktura umożliwia organizacjom logiczne podzielenie projektów na powiązane fragmenty eksploatacyjne.

Tip

Niektóre organizacje mogą przyjmować te rekomendacje dokładnie tak, jak pisano, podczas gdy inne mogą zdecydować się na wprowadzenie modyfikacji na podstawie własnych potrzeb biznesowych. W początkowej wersji tych wskazówek koncentrujemy się na tradycyjnych dzierżawach pracowników. Te dzierżawy pracowników są przeznaczone dla pracowników, wewnętrznych aplikacji biznesowych i innych zasobów organizacyjnych.

Zalecamy zaimplementowanie wszystkich następujących kontrolek, w których są dostępne licencje. Te wzorce i praktyki pomagają zapewnić podstawę dla innych zasobów opartych na tym rozwiązaniu. Więcej kontrolek zostanie dodanych do tego dokumentu w czasie.

Automatyczna ocena

Ręczne sprawdzanie tych wskazówek dotyczących konfiguracji dzierżawy może być czasochłonne i podatne na błędy. Ocena Zero Trust przekształca ten proces za pomocą automatyzacji, aby przetestować te elementy konfiguracji zabezpieczeń i nie tylko. Dowiedz się więcej w Jak jest ocena Zero Trust?

Ochrona tożsamości i wpisów tajnych

Zmniejsz ryzyko związane z poświadczeniami, implementując nowoczesne standardy tożsamości.

Sprawdź Minimalna wymagana licencja
Aplikacje nie mają skonfigurowanych wpisów tajnych klienta Brak (dołączony do Microsoft Entra ID)
Jednostki usługi nie mają skojarzonych certyfikatów ani poświadczeń Brak (dołączony do Microsoft Entra ID)
Aplikacje nie mają certyfikatów z wygaśnięciem dłuższym niż 180 dni Brak (dołączony do Microsoft Entra ID)
Certyfikaty aplikacji muszą być regularnie obracane Brak (dołączony do Microsoft Entra ID)
Wymuszanie standardów dla wpisów tajnych i certyfikatów aplikacji Brak (dołączony do Microsoft Entra ID)
Aplikacje usług firmy Microsoft nie mają skonfigurowanych poświadczeń Brak (dołączony do Microsoft Entra ID)
Ustawienia zgody użytkownika są ograniczone Brak (dołączony do Microsoft Entra ID)
Przepływ pracy zgody administratora jest włączony Brak (dołączony do Microsoft Entra ID)
High Global Administrator do współczynnika uprzywilejowanego użytkownika Brak (dołączony do Microsoft Entra ID)
Uprawnienia administracyjne są ściśle ograniczone, aby zapobiec naruszeniu zabezpieczeń Tożsamość Microsoft Entra P1
Aplikacja prawa administratora są ograniczone do określonych aplikacji prywatnych Access Dostęp do Internetu Microsoft Entra lub Dostęp Prywatny Microsoft Entra
Uprzywilejowane konta to tożsamości natywne dla chmury Brak (dołączony do Microsoft Entra ID)
Wszystkie uprzywilejowane przypisania ról są aktywowane w odpowiednim czasie i nie są trwale aktywne Tożsamość Microsoft Entra P2
Wszystkie przypisania ról uprzywilejowanych Microsoft Entra są zarządzane za pomocą usługi PIM Tożsamość Microsoft Entra P2
Włączono metodę uwierzytelniania klucza dostępu Brak (dołączony do Microsoft Entra ID)
Zaświadczanie klucza zabezpieczeń jest wymuszane Brak (dołączony do Microsoft Entra ID)
Konta uprzywilejowane mają zarejestrowane metody odporne na wyłudzanie informacji Tożsamość Microsoft Entra P1
Privileged wbudowane role firmy Microsoft Entra są objęte zasadami warunkowego Access w celu wymuszania metod odpornych na wyłudzanie informacji Tożsamość Microsoft Entra P1
Dostępne zasady Access wymuszają silne uwierzytelnianie dla aplikacji prywatnych Dostęp prywatny Microsoft Entra
serwer proxy aplikacji aplikacje wymagają wstępnego uwierzytelniania w celu blokowania anonimowych access Tożsamość Microsoft Entra P1
Wymaganie powiadomień o resetowaniu hasła dla ról administratora Tożsamość Microsoft Entra P1
Pozycja Blokuj starsze zasady uwierzytelniania jest skonfigurowana Tożsamość Microsoft Entra P1
Przepust access access jest włączony Tożsamość Microsoft Entra P1
Restrict — przekazywanie tymczasowe Access do pojedynczego użycia Tożsamość Microsoft Entra P1
Migrowanie ze starszych zasad uwierzytelniania wieloskładnikowego i samoobsługowego resetowania hasła Tożsamość Microsoft Entra P1
Blokowanie administratorom korzystania z samoobsługowego resetowania hasła Tożsamość Microsoft Entra P1
Samoobsługowe resetowanie hasła nie używa pytań zabezpieczających Tożsamość Microsoft Entra P1
Metody uwierzytelniania sms i połączeń głosowych są wyłączone Tożsamość Microsoft Entra P1
Zabezpieczanie strony Rejestracji uwierzytelniania wieloskładnikowego (Moje informacje zabezpieczające) Tożsamość Microsoft Entra P1
Korzystanie z uwierzytelniania w chmurze Tożsamość Microsoft Entra P1
Wszyscy użytkownicy są zobowiązani do zarejestrowania się w usłudze MFA Tożsamość Microsoft Entra P2
Użytkownicy mają skonfigurowane silne metody uwierzytelniania Tożsamość Microsoft Entra P1
Zmniejszanie obszaru powierzchni haseł widocznego dla użytkownika Tożsamość Microsoft Entra P1
Działanie logowania użytkownika korzysta z ochrony tokenów Tożsamość Microsoft Entra P1
Zasady ochrony tokenów są konfigurowane Tożsamość Microsoft Entra P1
Wszystkie działania logowania użytkownika używają metod uwierzytelniania odpornych na wyłudzanie informacji Tożsamość Microsoft Entra P1
Wszystkie działania logowania pochodzą z urządzeń zarządzanych Tożsamość Microsoft Entra P1
Włączono metodę uwierzytelniania klucza zabezpieczeń Brak (dołączony do Microsoft Entra ID)
Role uprzywilejowane nie są przypisane do nieaktualnych tożsamości Tożsamość Microsoft Entra P2
aplikacja Microsoft Authenticator pokazuje kontekst logowania Tożsamość Microsoft Entra P1
Microsoft Authenticator ustawienie podejrzanego działania aplikacji jest włączone Tożsamość Microsoft Entra P1
Wygaśnięcie hasła jest wyłączone Tożsamość Microsoft Entra P1
Próg blokady inteligentnej ustawiony na 10 lub mniej Tożsamość Microsoft Entra P1
Czas trwania blokady inteligentnej jest ustawiony na co najmniej 60 Tożsamość Microsoft Entra P1
Dodawanie terminów organizacyjnych do listy zakazanych haseł Tożsamość Microsoft Entra P1
Wymaganie uwierzytelniania wieloskładnikowego na potrzeby dołączania urządzeń i rejestracji urządzeń przy użyciu akcji użytkownika Tożsamość Microsoft Entra P1
Wdrażane jest lokalne rozwiązanie dotyczące hasła administratora Tożsamość Microsoft Entra P1
Synchronizacja programu Entra Connect jest skonfigurowana przy użyciu poświadczeń jednostki usługi Brak (dołączony do Microsoft Entra ID)
Konto synchronizacji katalogów jest zablokowane do określonej nazwanej lokalizacji Tożsamość Microsoft Entra P1
Brak użycia biblioteki ADAL w dzierżawie Brak (dołączony do Microsoft Entra ID)
Block starszego modułu programu PowerShell Azure AD Brak (dołączony do Microsoft Entra ID)
Domyślne ustawienia zabezpieczeń Microsoft Entra ID dla bezpłatnych dzierżaw Brak (dołączony do Microsoft Entra ID)

Ochrona dzierżaw i izolowanie systemów produkcyjnych

Sprawdź Minimalna wymagana licencja
Uprawnienia do tworzenia nowych dzierżaw są ograniczone do roli Twórca dzierżawy Brak (dołączony do Microsoft Entra ID)
Włączenie chronionych akcji w celu zabezpieczenia tworzenia i wprowadzania zmian zasad Access warunkowych Tożsamość Microsoft Entra P1
Guest access jest ograniczony do zatwierdzonych dzierżaw Microsoft Entra ID bezpłatne
Goście nie mają przypisanych ról katalogu o wysokim poziomie uprawnień Microsoft Entra ID bezpłatne
zarządzanie Microsoft Entra ID P2 lub Microsoft ID dla usługi PIM
Goście nie mogą zapraszać innych gości Microsoft Entra ID bezpłatne
Guests mają ograniczone access do obiektów katalogu Microsoft Entra ID bezpłatne
Blokada właściwości wystąpienia aplikacji jest skonfigurowana dla wszystkich aplikacji wielodostępnych Microsoft Entra ID bezpłatne
Goście nie mają długich sesji logowania Tożsamość Microsoft Entra P1
Guest access jest chroniony za pomocą silnych metod uwierzytelniania Microsoft Entra ID bezpłatne
Microsoft Entra ID P1 zalecane w przypadku Access warunkowych
Rejestracja samoobsługowa gościa za pośrednictwem przepływu użytkownika jest wyłączona Microsoft Entra ID bezpłatne
Ustawienia access między dzierżawami są skonfigurowane Microsoft Entra ID bezpłatne
Microsoft Entra ID P1 zalecane w przypadku Access warunkowych
Goście nie są właścicielami aplikacji w dzierżawie Brak (dołączony do Microsoft Entra ID)
Wszyscy goście mają sponsora Microsoft Entra ID bezpłatne
Nieaktywne tożsamości gościa są wyłączone lub usuwane z dzierżawy Microsoft Entra ID bezpłatne
Wszystkie zasady zarządzania upoważnieniami mają datę wygaśnięcia Microsoft Entra ID P2 lub Microsoft ID Governance na potrzeby zarządzania upoważnieniami i przeglądów access
Wszystkie zasady przypisywania zarządzania upoważnieniami, które mają zastosowanie do użytkowników zewnętrznych, wymagają połączonych organizacji Microsoft Entra ID P2 lub Microsoft ID Governance na potrzeby zarządzania upoważnieniami i przeglądów access
Wszystkie zasady przypisywania zarządzania upoważnieniami, które mają zastosowanie do użytkowników zewnętrznych, wymagają zatwierdzenia Microsoft Entra ID P2 lub Microsoft ID Governance na potrzeby zarządzania upoważnieniami i przeglądów access
Wszystkie pakiety zarządzania upoważnieniami, które mają zastosowanie do gości, mają wygaśnięcia lub access przeglądy skonfigurowane w zasadach przypisywania Microsoft Entra ID P2 lub Microsoft ID Governance na potrzeby zarządzania upoważnieniami i przeglądów access
Zarządzanie administratorami lokalnymi na urządzeniach dołączonych do Microsoft Entra Brak (dołączony do Microsoft Entra ID)
Ograniczanie możliwości odzyskiwania kluczy funkcji BitLocker przez użytkowników niebędących administratorami dla urządzeń należących do użytkownika Brak (dołączony do Microsoft Entra ID)

Ochrona sieci

Ochrona obwodu sieci.

Sprawdź Minimalna wymagana licencja
Skonfigurowane są nazwane lokalizacje Tożsamość Microsoft Entra P1
Skonfigurowano zasady ograniczeń dzierżawy w wersji 2 Tożsamość Microsoft Entra P1
profil przekazywania Internet Access jest włączony Microsoft Entra Dostęp do Internetu
Zasady filtrowania zawartości sieci Web są skonfigurowane Microsoft Entra Dostęp do Internetu
Filtrowanie zawartości internetowej używa reguł opartych na kategorii Microsoft Entra Dostęp do Internetu
Zasady filtrowania zawartości internetowej są połączone z profilami zabezpieczeń Microsoft Entra Dostęp do Internetu
Filtrowanie zawartości w sieci Web integruje się z Access< warunkową/c0> Microsoft Entra Dostęp do Internetu
Filtrowanie zawartości internetowej blokuje kategorie wysokiego ryzyka Microsoft Entra Dostęp do Internetu
Inspekcja protokołu TLS jest włączona i poprawnie skonfigurowana dla ruchu wychodzącego Microsoft Entra Dostęp do Internetu
Reguły pomijania inspekcji protokołu TLS są regularnie sprawdzane Microsoft Entra Dostęp do Internetu
Certyfikaty inspekcji protokołu TLS mają wystarczający okres ważności Microsoft Entra Dostęp do Internetu
Współczynnik niepowodzeń inspekcji protokołu TLS jest niższy niż 1% Microsoft Entra Dostęp do Internetu
Niestandardowe reguły obejścia inspekcji protokołu TLS nie duplikują miejsc docelowych obejścia systemu Microsoft Entra Dostęp do Internetu
Filtrowanie analizy zagrożeń chroni ruch internetowy Microsoft Entra Dostęp do Internetu
Zasady transferu plików są skonfigurowane w celu zapobiegania eksfiltracji danych Microsoft Entra Dostęp do Internetu
Brama sztucznej inteligencji chroni aplikacje sztucznej inteligencji przedsiębiorstwa przed atakami polegającymi na wstrzyknięciu monitów Microsoft Entra Dostęp do Internetu
zapora Global Secure Access w chmurze chroni ruch internetowy biura oddziału Microsoft Entra Dostęp do Internetu
Ruch internetowy jest sprawdzany we wszystkich warstwach ochrony usługi Secure Web Gateway Microsoft Entra Dostęp do Internetu
Walidacja sieci jest konfigurowana za pomocą uniwersalnej oceny ciągłej Access Dostęp do Internetu Microsoft Entra lub Dostęp Prywatny Microsoft Entra
klient Global Secure Access jest wdrażany we wszystkich zarządzanych punktach końcowych Dostęp do Internetu Microsoft Entra lub Dostęp Prywatny Microsoft Entra
licencje Global Secure Access są dostępne w dzierżawie i przypisane do użytkowników Dostęp do Internetu Microsoft Entra lub Dostęp Prywatny Microsoft Entra
Microsoft 365 ruch aktywnie przepływa przez globalną Access Pakiet Microsoft Entra
Ograniczenia dzierżawyuniversal blokują nieautoryzowane zewnętrzne access Microsoft Entra Dostęp do Internetu
Dostępne zasady Access używają zgodnych mechanizmów kontroli sieci Tożsamość Microsoft Entra P1
Globalne sygnały bezpiecznego dostępu dla dostępu warunkowego są włączone Microsoft Entra Dostęp do Internetu
Ruch sieciowy jest kierowany za pośrednictwem globalnego bezpiecznego Access wymuszania zasad zabezpieczeń Dostęp do Internetu Microsoft Entra lub Dostęp Prywatny Microsoft Entra
Profile przekazywania ruchu są ograniczone do odpowiednich użytkowników i grup na potrzeby kontrolowanego wdrożenia Dostęp do Internetu Microsoft Entra lub Dostęp Prywatny Microsoft Entra
Private łączniki sieciowe są aktywne i w dobrej kondycji, aby zachować Zero Trust access do zasobów wewnętrznych Dostęp prywatny Microsoft Entra
Łączniki sieci prywatnej korzystają z najnowszej wersji Dostęp prywatny Microsoft Entra
W przypadku co najmniej dwóch łączników prywatnych Access są aktywne i w dobrej kondycji dla grupy łączników Dostęp prywatny Microsoft Entra
Prywatna strefa DNS jest skonfigurowany do wewnętrznego rozpoznawania nazw Dostęp prywatny Microsoft Entra
DNS ruchu dla domen wewnętrznych jest kierowany przez prywatny Access Dostęp prywatny Microsoft Entra
Intelligent lokalny Access jest włączony i skonfigurowany Dostęp prywatny Microsoft Entra
Quick Access jest włączony i powiązany z łącznikiem Dostęp prywatny Microsoft Entra
Quick Access jest powiązany z zasadami Access warunkowych Dostęp prywatny Microsoft Entra
Entra Private Access Application segmenty są definiowane w celu wymuszania access Dostęp prywatny Microsoft Entra
Kontroler RDP protokołu R access DP jest chroniony przez uwierzytelnianie odporne na wyłudzanie informacji za pośrednictwem globalnego bezpiecznego Access Dostęp prywatny Microsoft Entra
czujniki Private Access wymuszają silne zasady uwierzytelniania na kontrolerach domeny Dostęp prywatny Microsoft Entra
Quick Access ma przypisania użytkowników lub grup Dostęp prywatny Microsoft Entra
Wszystkie prywatne aplikacje Access mają przypisania użytkowników lub grup Dostęp prywatny Microsoft Entra

Ochrona systemów inżynieryjnych

Ochrona zasobów oprogramowania i ulepszanie zabezpieczeń kodu.

Sprawdź Minimalna wymagana licencja
konta Emergency access są odpowiednio skonfigurowane Tożsamość Microsoft Entra P1
Global Administrator aktywacja roli wyzwala przepływ pracy zatwierdzania Tożsamość Microsoft Entra P2
administratorzy Global nie mają access Azure subskrypcji Brak (dołączony do Microsoft Entra ID)
Tworzenie nowych aplikacji i jednostek usługi jest ograniczone do uprzywilejowanych użytkowników Tożsamość Microsoft Entra P1
aplikacje Inactive nie mają uprawnień interfejs Graph API firmy Microsoft o wysokim poziomie uprawnień Tożsamość Microsoft Entra P1
Nieaktywne aplikacje nie mają wbudowanych ról o wysokim poziomie uprawnień Tożsamość Microsoft Entra P1
Rejestracje aplikacji użyj bezpiecznych identyfikatorów URI przekierowania Tożsamość Microsoft Entra P1
Jednostki usługi używają bezpiecznych identyfikatorów URI przekierowania Tożsamość Microsoft Entra P1
Rejestracje aplikacji nie może mieć zwisanych ani porzuconych identyfikatorów URI przekierowania domeny Tożsamość Microsoft Entra P1
Zgoda specyficzna dla zasobu jest ograniczona Tożsamość Microsoft Entra P1
Tożsamości obciążeń nie są przypisane uprzywilejowane role Tożsamość Microsoft Entra P1
Aplikacje dla przedsiębiorstw muszą wymagać jawnego przypisania lub aprowizacji w zakresie Tożsamość Microsoft Entra P1
Aplikacje dla przedsiębiorstw mają właścicieli Brak (dołączony do Microsoft Entra ID)
Ogranicz maksymalną liczbę urządzeń na użytkownika do 10 Brak (dołączony do Microsoft Entra ID)
Dostępne zasady Access dla stacji roboczych Access uprzywilejowanych są skonfigurowane Tożsamość Microsoft Entra P1

Monitorowanie i wykrywanie cyberataków

Zbieranie i analizowanie dzienników zabezpieczeń oraz klasyfikacji alertów.

Sprawdź Minimalna wymagana licencja
Ustawienia diagnostyczne są konfigurowane dla wszystkich dzienników Microsoft Entra Tożsamość Microsoft Entra P1
Aktywacje ról uprzywilejowanych mają skonfigurowane monitorowanie i alerty Tożsamość Microsoft Entra P2
Aktywacja alertu dla przypisań ról Global Administrator Tożsamość Microsoft Entra P2
Alert aktywacji dla wszystkich przypisań ról uprzywilejowanych Tożsamość Microsoft Entra P2
Użytkownicy uprzywilejowani logowali się przy użyciu metod odpornych na wyłudzanie informacji Tożsamość Microsoft Entra P1
Wszyscy użytkownicy wysokiego ryzyka są klasyfikowani Tożsamość Microsoft Entra P2
Wszystkie logowania wysokiego ryzyka są klasyfikowane Tożsamość Microsoft Entra P2
Wszystkie ryzykowne tożsamości obciążeń są klasyfikowane Tożsamość Microsoft Entra P2
Zdarzenia tworzenia dzierżawy są klasyfikowane Tożsamość Microsoft Entra P1
Wszystkie działania logowania użytkownika korzystają z metod silnego uwierzytelniania Tożsamość Microsoft Entra P1
Zalecenia dotyczące priorytetu Microsoft Entra są rozwiązywane Tożsamość Microsoft Entra P1
Powiadomienia o ochronie identyfikatorów są włączone Tożsamość Microsoft Entra P2
Brak działań logowania do starszego uwierzytelniania Tożsamość Microsoft Entra P1
Wszystkie zalecenia dotyczące Microsoft Entra zostały rozwiązane Tożsamość Microsoft Entra P1
działanie Network access jest widoczne dla operacji zabezpieczeń na potrzeby wykrywania i reagowania na zagrożenia Tożsamość Microsoft Entra P1
dzienniki Network access są przechowywane na potrzeby analizy zabezpieczeń i wymagań dotyczących zgodności Tożsamość Microsoft Entra P1
Global Secure Access dzienniki wdrażania są wypełniane i przeglądane Dostęp do Internetu Microsoft Entra lub Dostęp Prywatny Microsoft Entra

Przyspieszanie reagowania i korygowania

Ulepszanie reagowania na zdarzenia zabezpieczeń i komunikacji z incydentami.

Sprawdź Minimalna wymagana licencja
Tożsamości obciążeń są konfigurowane przy użyciu zasad opartych na ryzyku Identyfikator obciążenia entra firmy Microsoft
Ograniczanie logów o wysokim ryzyku Tożsamość Microsoft Entra P2
Restrict access użytkownikom wysokiego ryzyka Tożsamość Microsoft Entra P2

AI

Zabezpieczanie agentów sztucznej inteligencji i obciążeń opartych na agentach za pomocą kontrolek tożsamości.

Sprawdź Minimalna wymagana licencja
Wymagaj uwierzytelniania Microsoft Entra ID w celu interakcji z agentami Tożsamość Microsoft Entra P1
Zasady dostępu warunkowego obejmują zarówno tożsamości agenta, jak i konta użytkowników agentów Tożsamość Microsoft Entra P1
Dostęp warunkowy oparty na ryzyku blokuje ryzykowne tożsamości agentów Tożsamość Microsoft Entra P2
Istnieją niestandardowe atrybuty zabezpieczeń dla tożsamości agentów Brak (dołączony do Microsoft Entra ID)
Ład tożsamości dla sponsorów tożsamości agenta jest skonfigurowany Tożsamość Microsoft Entra P1
Tożsamości agentów i podmioty zabezpieczeń strategii mają przypisanych właścicieli technicznych i nie ma wyłączonych agentów pozostają w katalogu Brak (dołączony do Microsoft Entra ID)
Role administracyjne sztucznej inteligencji mają przypisane podmioty zabezpieczeń Brak (dołączony do Microsoft Entra ID)

Treści powiązane

  • Last updated on