Sicherstellung der Identität mit Zero Trust
Hintergrund
Cloud-Anwendungen und die mobilen Arbeitskräfte haben den Sicherheitsbereich neu definiert. Die Mitarbeiter bringen ihre eigenen Geräte mit und arbeiten ortsunabhängig. Auf Daten wird außerhalb des Unternehmensnetzwerks zugegriffen und sie werden mit externen Mitarbeitern wie Partnern und Anbietern geteilt. Unternehmensanwendungen und -Daten verlagern sich von lokalen Umgebungen zu hybriden und Cloud-Umgebungen. Die Unternehmen können sich bei der Sicherheit nicht mehr auf herkömmliche Netzwerkkontrollen verlassen. Die Kontrollen müssen dorthin verlagert werden, wo sich die Daten befinden: auf Geräten, in Apps und bei Partnern.
Identitäten, die Personen, Dienste oder IoT-Geräte repräsentieren, sind der gemeinsame Dominator über die vielen aktuellen Netzwerke, Endpunkte, und Anwendungen hinweg. Im Zero-Trust-Sicherheitsmodell fungieren sie als leistungsfähige, flexible und präzise Methode zur Kontrolle des Zugriffs auf Daten.
Bevor eine Identität versucht, auf eine Ressource zuzugreifen, müssen Unternehmen:
Die Identität anhand einer starken Authentifizierung überprüfen.
Sicherstellen, dass der Zugriff konform und typisch für diese Identität ist.
Den Zugriffsprinzipien des geringsten Privilegs befolgt.
Sobald die Identität verifiziert wurde, können wir den Zugriff dieser Identität auf Ressourcen auf der Grundlage von Unternehmensrichtlinien, laufenden Risikoanalysen und anderen Tools kontrollieren.
Ziele der Identity Zero Trust-Bereitstellung
Bevor die meisten Unternehmen die Zero-Trust-Erfahrung beginnen, ist ihr Ansatz für die Identität insofern problematisch, als dass der lokale Identitätsanbieter verwendet wird, kein SSO zwischen Cloud- und lokalen Apps vorhanden ist und die Transparenz des Identitätsrisikos sehr begrenzt ist.
|
Beim Implementieren eines End-to-End-Zero Trust-Frameworks zum Schutz von Netzwerken empfehlen wir Ihnen, sich zuerst auf diese anfänglichen Bereitstellungsziele zu konzentrieren: |
|
|
|
I.Cloud-Identität lässt sich mit lokalen Identitätssystemen zusammenführen. II.Die Richtlinien für den bedingten Zugriff schränken den Zugriff ein und sehen Abhilfemaßnahmen vor. |
|
Konzentrieren Sie sich nach Abschluss dieser Schritte auf die folgenden zusätzlichen Bereitstellungsziele: |
|
|
|
IV.Identitäten und Zugriffsberechtigungen werden von der Identitätsverwaltung verwaltet. |
Bereitstellungs-Anleitung für Identity Zero Trust
Dieser Leitfaden führt Sie durch die erforderlichen Schritte, um Ihre Netzwerke gemäß den Prinzipien eines Zero Trust-Sicherheitsframeworks zu verwalten.
|
|
Anfängliche Bereitstellungsziele |
I. Die Cloud-Identität lässt sich mit lokalen Identitätssystemen zusammenführen
Microsoft Entra ID ermöglicht eine starke Authentifizierung, bietet einen Integrationspunkt für Endpunktsicherheit und stellt den Kern Ihrer benutzerorientierten Richtlinien bereit, um den Zugriff mit geringsten Berechtigungen zu gewährleisten. Die Funktionen von Microsoft Entra für den bedingten Zugriff sind der Richtlinienentscheidungspunkt für den Zugriff auf Ressourcen, basierend auf der Benutzeridentität, der Umgebung, dem Gerätezustand und dem Risiko, der explizit am Zugriffspunkt überprüft wird. Wir zeigen Ihnen, wie Sie eine Zero Trust-Identitätsstrategie mit Microsoft Entra ID implementieren können.
Verbinden Sie alle Benutzer mit Microsoft Entra ID und nehmen Sie die Zusammenführung mit lokalen Identitätssystemen vor
Indem Sie eine gesunde Pipeline mit den Identitäten Ihrer Mitarbeiter und den erforderlichen Sicherheitsartefakten (Gruppen für die Autorisierung und Endpunkte für zusätzliche Zugriffsrichtlinienkontrollen) bewahren, haben Sie die besten Voraussetzungen für die Verwendung konsistenter Identitäten und Kontrollen in der Cloud.
Führen Sie folgende Schritte aus:
Wählen Sie eine Authentifizierungsoption. Microsoft Entra ID bietet Ihnen den besten Brute-Force-, DDoS- und Kennwortspray-Schutz. Treffen Sie jedoch die Entscheidung, die für Ihr Unternehmen und Ihre Compliance-Anforderungen die richtige ist.
Verwenden Sie nur die Identitäten, die Sie unbedingt benötigen. Nutzen Sie beispielsweise den Wechsel in die Cloud als eine Gelegenheit, Servicekonten, die nur vor Ort sinnvoll sind, zurückzulassen. Lassen Sie lokale privilegierte Rollen zurück.
Wenn Ihr Unternehmen zusammen über mehr als 100.000 kombinierte Benutzer, Gruppen und Geräte verfügt, bauen Sie eine Hochleistungs Sync-Box auf, die Ihren Lebenszyklus auf dem neuesten Stand hält.
Einrichten Ihrer Identity Foundation mit Microsoft Entra ID
Eine Zero-Trust-Strategie erfordert eine explizite Authentifizierung, die Verwendung des Prinzips des am wenigsten privilegierten Zugriffs und die Annahme eines Verstoßes. Microsoft Entra ID kann als Entscheidungspunkt für Richtlinien fungieren, um Ihre Zugriffsrichtlinien basierend auf Erkenntnissen über den Benutzer, den Endpunkt, die Zielressource und die Umgebung durchzusetzen.
Führen Sie diesen Schritt aus:
- Setzen Sie Microsoft Entra ID im Pfad für jede Zugriffsanforderung ein. Dadurch wird jeder Benutzer und jede App oder Ressource über eine Identitätssteuerungsebene verbunden, und Microsoft Entra ID erhält das Signal, die bestmöglichen Entscheidungen über das Authentifizierungs-/Autorisierungsrisiko zu treffen. Zusätzlich sorgen Single Sign-Ons und konsistente Richtlinienschranken für ein besseres Benutzererlebnis und tragen zur Produktivitätssteigerung bei.
Integrieren Ihrer gesamten Anwendungen mit Microsoft Entra ID
Das Single Sign-On verhindert, dass Benutzer Kopien ihrer Anmeldedaten in verschiedenen Apps hinterlassen und hilft zu vermeiden, dass sich Benutzer daran gewöhnen, ihre Anmeldedaten aufgrund übermäßiger Aufforderungen abzugeben.
Stellen Sie außerdem sicher, dass In Ihrer Umgebung nicht mehrere IAM-Engines verwendet werden. Dies verringert nicht nur die Signalmenge, die Microsoft Entra ID sieht, sondern es ermöglicht böswilligen Akteuren, in den Nahtstellen zwischen den beiden IAM-Modulen Fuß zu fassen. Außerdem kann es eine schlechte Benutzererfahrung zur Folge haben und bei Ihren Geschäftspartnern Zweifel an Ihrer Zero-Trust-Strategie auslösen.
Führen Sie folgende Schritte aus:
Integrieren Sie moderne Unternehmensanwendungen, die OAuth 2.0 oder SAML sprechen.
Integrieren Sie Kerberos- und formularbasierte Authentifizierungsanwendungen anhand des Microsoft Entra-Anwendungsproxys.
Wenn Sie Ihre Legacy-Anwendungen mithilfe von Application Delivery Networks/Controllern veröffentlichen, können Sie Microsoft Entra ID für die Integration mit den meisten großen Anbietern (wie z. B. Citrix, Akamai und F5) verwenden.
Um Sie bei der Erkennung und Migration Ihrer Anwendungen von ADFS und bestehenden/älteren IAM-Engines zu unterstützen, überprüfen Sie Ressourcen und Tools.
Power-Pushen Sie Identitäten in Ihre verschiedenen Cloud-Anwendungen. Dadurch erzielen Sie eine engere Integration des Identitätslebenszyklus innerhalb dieser Anwendungen.
Tipp
Erfahren Sie mehr über die Implementierung einer End-to-End Zero-Trust-Strategie für Anwendungen.
Überprüfen Sie explizit anhand einer starken Authentifizierung
Führen Sie folgende Schritte aus:
Einführung der Microsoft Entra Multi-Faktor-Authentifizierung (P1). Dies ist ein wesentlicher Bestandteil zur Reduzierung des Risikos von Benutzer-Sessions. Wenn Benutzer auf neuen Geräten und an neuen Standorten erscheinen, ist die Möglichkeit, auf eine MFA-Abfrage zu reagieren, eine der unmittelbarsten Methoden, mit denen Ihre Benutzer uns anzeigen können, dass es sich um vertraute Geräte/Standorte handelt, während sie sich in der Welt bewegen (ohne dass Administratoren einzelne Signale analysieren müssen).
Sperren der Legacy-Authentifizierung. Einer der häufigsten Angriffsvektoren für böswillige Akteure ist die Verwendung gestohlener/wiedergegebener Anmeldeinformationen für Legacy-Protokolle, wie z. B. SMTP, die modernen Sicherheitsanforderungen nicht gewachsen sind.
II. Die Richtlinien für den bedingten Zugriff schränken den Zugriff ein und bieten Abhilfemaßnahmen
Der bedingte Zugriff von Microsoft Entra analysiert Signale, wie z. B. Benutzer, Gerät und Standort, um Entscheidungen zu automatisieren und Zugriffsrichtlinien der Organisation für Ressourcen zu erzwingen. Mithilfe von Richtlinien für bedingten Zugriff können Sie Zugriffssteuerungen wie die mehrstufige Authentifizierung (MFA) anwenden. CA(bedingter Zugriff)-Richtlinien ermöglichen es Ihnen, Benutzer zur MFA aufzufordern, wenn dies für die Sicherheit erforderlich ist, und den Benutzern aus dem Weg zu gehen, wenn dies nicht erforderlich ist.
Microsoft stellt bedingte Standardrichtlinien mit dem Namen Sicherheitsstandards bereit, die ein grundlegendes Maß an Sicherheit sicherstellen. Ihre Organisation benötigt jedoch möglicherweise mehr Flexibilität als das, was die Sicherheitsstandards bieten. Sie können bedingten Zugriff verwenden, um Sicherheitsstandards präziserer anzupassen und neue Richtlinien zu konfigurieren, die Ihren Anforderungen entsprechen.
Die Planung Ihrer Richtlinien für den bedingten Zugriff im Voraus und das Vorhandensein eines Satzes von aktiven und Ausweichrichtlinien ist ein grundlegender Pfeiler für die Durchsetzung Ihrer Zugriffsrichtlinien in einer Zero Trust-Bereitstellung. Nehmen Sie sich die Zeit, um die vertrauenswürdigen IP-Standorte in Ihrer Umgebung zu konfigurieren. Auch wenn Sie nicht in einer Richtlinie für bedingten Zugriff verwendet werden, informiert die Konfiguration dieser IPs über das oben erwähnte Risiko der Identity Protection.
Führen Sie diesen Schritt aus:
- Betrachten Sie unsere Implementierungsanleitung und Best Practices für widerstandsfähige Conditional Access-Richtlinien.
Registrieren von Geräten mit Microsoft Entra ID, um den Zugriff von anfälligen und kompromittierten Geräten einzuschränken
Führen Sie folgende Schritte aus:
Aktivieren Sie Microsoft Entra Hybrid Join oder Microsoft Entra Join . Wenn Sie den Laptop/Computer des Benutzers verwalten, übertragen Sie diese Informationen in Microsoft Entra ID und verwenden Sie es, um bessere Entscheidungen zu treffen. Sie können beispielsweise den Rich-Client-Zugriff auf Daten zulassen (Clients, die Offline-Kopien auf dem Computer haben), wenn Sie wissen, dass der Benutzer von einem Gerät kommt, den Ihre Organisation kontrolliert und verwaltet. Wenn Sie dies nicht einbringen, werden Sie wahrscheinlich den Zugriff von Rich Clients blockieren, was dazu führen kann, dass Ihre Benutzer Ihre Sicherheit umgehen oder Schatten-IT verwenden.
Aktivieren Sie den Intune-Dienst im Microsoft Endpoint Manager (EMS) für die Verwaltung der mobilen Geräte Ihrer Benutzer und melden Sie Geräte an. Für die mobilen Geräte der Benutzer gilt dasselbe wie für Laptops: Je mehr Sie über sie wissen (Patch-Level, jailbroken, gerootet, usw.), desto mehr können Sie ihnen vertrauen oder misstrauen und eine Begründung liefern, warum Sie den Zugriff sperren/erlauben.
III. Analytics verbessern die Transparenz
Beim Aufbau Ihres Bestands in Microsoft Entra ID mit Authentifizierung, Autorisierung und Bereitstellung ist es wichtig, dass Sie über gute betriebliche Kenntnisse bezüglich der Vorgänge im Verzeichnis verfügen.
Konfigurieren Sie Ihre Protokollierung und Berichterstattung, um die Transparenz zu verbessern
Führen Sie diesen Schritt aus:
- Planen Sie eine Berichts- und Überwachungsbereitstellung mit Microsoft Entra, um Protokolle von Microsoft Entra ID aufrechtzuerhalten und zu analysieren, entweder in Azure oder mit einem SIEM-System Ihrer Wahl.
|
|
Zusätzliche Bereitstellungsziele |
IV. Identitäten und Zugriffsberechtigungen werden anhand der Identitätsverwaltung verwaltet
Sobald Sie die ersten drei Ziele erfüllt haben, können Sie sich auf weitere Ziele konzentrieren, z. B. einer robusteren Identitätsverwaltung.
Schützen des privilegierten Zugriffs mit Privileged Identity Management
Steuern Sie die Endpunkte, Bedingungen und Anmeldeinformationen, die Benutzer für den Zugriff auf privilegierte Vorgänge/Rollen verwenden.
Führen Sie folgende Schritte aus:
Übernehmen Sie die Kontrolle über Ihre privilegierten Identitäten. Denken Sie daran, dass in einer digital transformierten Organisation der privilegierte Zugriff nicht nur Administratorzugriff, sondern auch Anwendungsbesitzer- oder Entwicklerzugriff ist, der die Art und Weise ändern kann, wie Ihre einsatzkritischen Apps ausgeführt und mit den Daten umgegangen wird.
Verwenden Privileged Identity Management, um privilegierte Identitäten sicherzustellen.
Schränken Sie die Zustimmung des Benutzers zu Anwendungen ein
Die Zustimmung des Benutzers zu Anwendungen ist ein sehr gängiger Weg für moderne Anwendungen, um Zugriff auf Unternehmensressourcen zu erhalten, es bestehen jedoch einige Best Practices, die zu beachten sind.
Führen Sie folgende Schritte aus:
Schränken Sie die Benutzerzustimmung ein und verwalten Sie Zustimmungsanfragen, um sicherzustellen, dass die Daten Ihres Unternehmens nicht unnötig für Apps freigegeben werden.
Überprüfen Sie vorherige/bestehende Einwilligungen in Ihrer Organisation auf übermäßige oder böswillige Einwilligungen.
Weitere Informationen zu Tools zum Schutz vor Taktiken zum Zugriff auf sensible Informationen finden Sie unter „Verstärken Sie den Schutz vor Cyber-Bedrohungen und böswilligen-Apps" in unserem Leitfaden zur Implementierung einer Identity Zero Trust-Strategie.
Berechtigungen verwalten
Mit Anwendungen, die sich zentral authentifizieren und von Microsoft Entra ID gesteuert werden, können Sie jetzt Ihren Prozess für Zugriffsanforderung, Genehmigung und Neuzertifizierung optimieren, um sicherzustellen, dass die richtigen Personen über den richtigen Zugriff verfügen und dass Sie Informationen darüber haben, warum Benutzer in Ihrer Organisation über den Zugriff verfügen.
Führen Sie folgende Schritte aus:
Verwenden Sie die Berechtigungsverwaltungt, um Zugriffspakete zu erstellen, die Benutzer anfordern können, wenn sie verschiedenen Teams/Projekten beitreten, und die ihnen Zugriff auf die zugehörigen Ressourcen (z. B. Anwendungen, SharePoint-Sites, Gruppenmitgliedschaften) zuweisen.
Wenn die Bereitstellung der Berechtigungsverwaltung für Ihr Unternehmen zu diesem Zeitpunkt nicht möglich ist, sollten Sie zumindest Self-Service-Paradigmen in Ihrem Unternehmen aktivieren, indem Sie den Self-Service-Gruppenmanagement und Self-Service-Anwendungszugriff bereitstellen.
Verwenden Sie die passwortlose Authentifizierung, um das Risiko von Phishing- und Passwort-Angriffen zu verringern
Mit Microsoft Entra ID, das FIDO 2.0 und passwortlose Telefonanmeldung unterstützt, können Sie die Anmeldeinformationen, die Ihre Benutzer (insbesondere vertrauliche/privilegierte Benutzer) tagtäglich verwenden, deutlich verbessern. Diese Anmeldeinformationen sind starke Authentifizierungsfaktoren, die auch das Risiko mindern können.
Führen Sie diesen Schritt aus:
- Starten Sie die Einführung passwortloser Anmeldeinformationen in Ihrer Organisation.
V. Benutzer, Gerät, Standort und Verhalten werden in Echtzeit analysiert, um Risiken zu ermitteln und kontinuierlichen Schutz zu bieten
Die Echtzeit-Analyse ist entscheidend für die Bestimmung von Risiko und Schutz.
Bereitstellen des Microsoft Entra-Kennwortschutzes
Auch wenn Sie andere Methoden zur expliziten Verifizierung von Benutzern aktivieren, sollten Sie schwache Passwörter, Passwort-Spray und Replay-Angriffe nicht ignorieren. Klassische komplexe Passwortrichtlinien verhindern die häufigsten Passwortangriffe nicht.
Führen Sie diesen Schritt aus:
- Aktivieren Sie den Microsoft Entra-Kennwortschutz für Ihre Benutzer in der Cloud und lokal.
Aktivieren von Identity Protection
Erhalten Sie mit Identity Protection präzisere Session-/Benutzerrisikosignale. Sie werden in der Lage sein, das Risiko zu untersuchen und die Gefährdung zu bestätigen oder das Signal zu verwerfen, was der Engine hilft, das Risiko in Ihrer Umgebung besser zu verstehen.
Führen Sie diesen Schritt aus:
Aktivieren der Integration von Microsoft Defender for Cloud Apps mit Identity Protection
Microsoft Defender for Cloud Apps überwacht das Benutzerverhalten in SaaS-Anwendungen und modernen Anwendungen. Dadurch wird Microsoft Entra ID darüber informiert, was dem Benutzer widerfahren ist, nachdem er sich authentifiziert und ein Token erhalten hat. Wenn das Benutzermuster anfängt, verdächtig zu erscheinen (z. B. wenn ein Benutzer anfängt, Gigabytes an Daten von OneDrive herunterzuladen oder anfängt, Spam-E-Mails in Exchange Online zu versenden), dann kann ein Signal an Microsoft Entra ID gesendet werden, das es darüber informiert, dass der Benutzer kompromittiert oder ein hohes Risiko zu sein scheint. Bei der nächsten Zugriffsanforderung dieses Benutzers kann Microsoft Entra ID ordnungsgemäß Maßnahmen ergreifen, um den Benutzer zu überprüfen oder zu sperren.
Führen Sie diesen Schritt aus:
- Aktivieren Sie die Defender for Cloud Apps-Überwachung, um das Identity Protection-Signal anzureichern.
Aktivieren der Integration des bedingten Zugriffs mit Microsoft Defender for Cloud App
Anhand von Signalen, die nach der Authentifizierung ausgegeben werden, und mit Defender for Cloud Apps, der Anfragen an Anwendungen weiterleitet, können Sie Sitzungen, die zu SaaS-Anwendungen führen, überwachen und Einschränkungen durchsetzen.
Führen Sie folgende Schritte aus:
Aktivieren Sie die eingeschränkte Session für die Verwendung bei Zugriffsentscheidungen
Bei geringem Risiko eines Benutzers, der sich jedoch von einem unbekannten Endpunkt aus anmeldet, möchten Sie ihm vielleicht den Zugriff auf wichtige Ressourcen gestatten, ihm aber nicht erlauben, Maßnahmen zu ergreifen, die Ihr Unternehmen in einen nicht konformen Zustand versetzen. Sie können jetzt Exchange Online und SharePoint Online so konfigurieren, dass dem Benutzer eine eingeschränkte Session ermöglicht wird, in der er E-Mails lesen oder Dateien anzeigen kann, diese aber nicht herunterladen und auf einem nicht vertrauenswürdigen Gerät speichern kann.
Führen Sie diesen Schritt aus:
- Aktivieren Sie den eingeschränkten Zugriff auf SharePoint Online und Exchange Online
VI. Integrieren Sie Bedrohungssignale von anderen Sicherheitslösungen, um die Erkennung, den Schutz und die Reaktion zu verbessern
Letztendlich können andere Sicherheitslösungen integriert werden, um eine höhere Effektivität zu erzielen.
Integration von Microsoft Defender for Identity mit Microsoft Defender für Cloud Apps
Die Integration mit Microsoft Defender for Identity ermöglicht es Microsoft Entra ID, riskantes Verhalten von Benutzern beim Zugriff auf lokale, nicht-moderne Ressourcen (wie Dateifreigaben) zu erkennen. Dies kann dann in das Gesamtanwenderrisiko eingerechnet werden, um den weiteren Zugriff in der Cloud zu sperren.
Führen Sie folgende Schritte aus:
Aktivieren Sie Microsoft Defender for Identity mit Microsoft Defender for Cloud Apps, um Signale aus lokalen Systemen mit dem bekannten Risikosignal eines Benutzers zu verknüpfen.
Überprüfen Sie den kombinierten Untersuchungs-Prioritätswert für jeden riskanten Benutzer, um einen ganzheitlichen Überblick darüber zu erhalten, auf welche Benutzer sich Ihr SOC konzentrieren sollte.
Aktivieren von Microsoft Defender für Endpunkt
Microsoft Defender für Endpunkt ermöglicht es Ihnen, die Integrität von Windows-Computern zu überprüfen und festzustellen, ob sie einer Bedrohung ausgesetzt sind. Sie können diese Informationen dann zur Ausführungszeit in die Risikominderung einspeisen. Während Sie mit „Domänenbeitritt“ ein gewisses Maß an Kontrolle erhalten, können Sie mit Defender für Endpunkt nahezu in Echtzeit auf Malwareangriffe reagieren, indem Sie Muster erkennen, bei denen mehrere Benutzergeräte auf nicht vertrauenswürdige Websites zugreifen, und zur Laufzeit mit einer Erhöhung des Geräte-/Benutzerrisikos reagieren.
Führen Sie diesen Schritt aus:
Sicherung der Identität gemäß Executive Order 14028 on Cybersecurity & OMB Memorandum 22-09
Die Executive Order 14028 zur Verbesserung der Cyber Security der Nation & OMB Memorandum 22-09 umfasst spezifische Maßnahmen zu Zero Trust. Identitätsaktionen umfassen die Verwendung zentralisierter Identitätsverwaltungssysteme, die Verwendung starker Phishing-widerstandsfähiger MFA und die Einbeziehung von mindestens einem Signal auf Geräteebene in Autorisierungsentscheidungen. Eine detaillierte Anleitung zur Implementierung dieser Aktionen mit Microsoft Entra ID finden Sie unter Erfüllen der Identitätsanforderungen von Memorandum 22-09 mit Microsoft Entra ID.
In diesem Leitfaden behandelte Produkte
Microsoft Azure
Microsoft Defender for Identity
Microsoft 365
Microsoft Endpoint Manager (einschließlich Microsoft Intune)
Microsoft Defender für den Endpunkt
Zusammenfassung
Die Identität ist von zentraler Bedeutung für eine erfolgreiche Zero Trust Strategie. Für weitere Informationen oder Unterstützung bei der Implementierung wenden Sie sich bitte an Ihr Customer Success Team oder lesen Sie die anderen Kapitel dieses Leitfadens durch, die alle Zero Trust-Säulen umfassen.
Die Leitfadenreihe für die Zero Trust-Bereitstellung
Feedback
Bald verfügbar: Im Laufe des Jahres 2024 werden wir GitHub-Issues stufenweise als Feedbackmechanismus für Inhalte abbauen und durch ein neues Feedbacksystem ersetzen. Weitere Informationen finden Sie unter https://aka.ms/ContentUserFeedback.
Feedback senden und anzeigen für