Data/Locales/checks/de/EntraAppChecks.json
|
{ "_family": "EntraAppChecks.json", "EIDAPP-001": { "name": { "value": "Inventar der Anwendungsregistrierungen", "status": "machine-draft" }, "description": { "value": "Ein vollständiges Inventar aller Anwendungsregistrierungen bietet grundlegende Transparenz über die in Ihren Entra-ID-Mandanten integrierten Anwendungen. Ohne ein umfassendes Inventar können Organisationen ihre Angriffsfläche im Anwendungsbereich nicht bewerten oder unautorisierte, verwaiste oder Schatten-IT-Anwendungen identifizieren. Diese Baseline ermöglicht alle nachfolgenden Anwendungssicherheitsprüfungen und sollte als lebendes Dokument gepflegt werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Anwendungsregistrierungen inventarisiert mit dokumentierten Eigentümern, Zweck und geschäftlicher Begründung", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Anwendungen > App-Registrierungen und exportieren Sie die vollständige Liste der registrierten Anwendungen. Überprüfen Sie jede Registrierung, um zu bestätigen, dass ihr ein Eigentümer zugewiesen ist, ein dokumentierter geschäftlicher Zweck vorliegt und sie weiterhin aktiv benötigt wird. Entfernen oder deaktivieren Sie alle Registrierungen, die nicht mehr benötigt werden oder keine identifizierbare Eigentümerschaft aufweisen.", "status": "machine-draft" } }, "EIDAPP-002": { "name": { "value": "App-Registrierungen mit risikoreichen API-Berechtigungen", "status": "machine-draft" }, "description": { "value": "Anwendungsregistrierungen mit risikoreichen API-Berechtigungen wie Mail.ReadWrite, Files.ReadWrite.All, RoleManagement.ReadWrite.Directory oder Application.ReadWrite.All können ausgenutzt werden, um sensible Daten zu lesen, Verzeichnisobjekte zu ändern oder Privilegien mandantenweit auszuweiten. Angreifer, die eine Anwendung mit diesen Berechtigungen kompromittieren, erlangen weitreichenden Zugriff, der dem eines globalen Administrators entspricht oder ihn übersteigt. Alle risikoreichen Berechtigungen müssen überprüft und mit ausgleichenden Kontrollen begründet werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Anwendungsregistrierungen mit risikoreichen API-Berechtigungen, sofern nicht mit geschäftlicher Begründung und ausgleichenden Kontrollen dokumentiert", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle Anwendungsregistrierungen unter Entra ID > Anwendungen > App-Registrierungen und untersuchen Sie für jede die Registerkarte der API-Berechtigungen. Identifizieren Sie Anwendungen mit hochprivilegierten Berechtigungen wie Directory.ReadWrite.All, Mail.ReadWrite oder RoleManagement.ReadWrite.Directory. Entfernen Sie unnötige Berechtigungen und ersetzen Sie breite Geltungsbereiche durch die restriktivsten Berechtigungen, die die Anwendungsanforderungen weiterhin erfüllen.", "status": "machine-draft" } }, "EIDAPP-003": { "name": { "value": "App-Registrierungen mit hinzugefügten Anmeldeinformationen", "status": "machine-draft" }, "description": { "value": "Anwendungsregistrierungen mit hinzugefügten Clientgeheimnissen oder Zertifikaten stellen potenzielle Persistenzmechanismen für Angreifer dar. Ein kompromittiertes Geheimnis oder Zertifikat ermöglicht es einem Angreifer, sich als die Anwendung zu authentifizieren und alle ihr gewährten Berechtigungen ohne Benutzerinteraktion auszuüben. Anmeldeinformationen sollten inventarisiert, planmäßig gewechselt und entfernt werden, wenn sie nicht mehr benötigt werden, um das Zeitfenster der Offenlegung zu begrenzen.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Anwendungsanmeldeinformationen inventarisiert mit definierten Rotationsplänen und keine Anmeldeinformationen älter als 12 Monate", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle Anwendungsregistrierungen und untersuchen Sie für jede das Blade „Zertifikate & Geheimnisse“. Dokumentieren Sie alle aktiven Anmeldeinformationen einschließlich ihrer Ablaufdaten und Erstellungszeitstempel. Entfernen Sie abgelaufene oder ungenutzte Anmeldeinformationen umgehend und richten Sie eine Rotationsrichtlinie ein, die eine mindestens jährliche Erneuerung der Anmeldeinformationen mit automatisierten Warnungen vor dem Ablauf vorschreibt.", "status": "machine-draft" } }, "EIDAPP-004": { "name": { "value": "Microsoft-Erstanbieter-Dienstprinzipale mit hinzugefügten Anmeldeinformationen", "status": "machine-draft" }, "description": { "value": "Angreifer fügen Anmeldeinformationen zu Microsoft-Erstanbieter-Dienstprinzipalen hinzu, um dauerhaften Hintertürzugriff einzurichten, der sich in legitime Microsoft-Dienste einfügt. Da Erstanbieter-Dienstprinzipale standardmäßig vertrauenswürdig sind und häufig umfangreiche Berechtigungen besitzen, bieten hinzugefügte Anmeldeinformationen auf diesen Objekten eine unauffällige, hochprivilegierte Persistenz, die selten geprüft wird. Jede Hinzufügung von Anmeldeinformationen zu Microsoft-Erstanbieter-Dienstprinzipalen sollte als kritischer Kompromittierungsindikator behandelt werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Anmeldeinformationen (Geheimnisse oder Zertifikate) zu Microsoft-Erstanbieter-Dienstprinzipalen hinzugefügt", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie alle Dienstprinzipale auf, bei denen die appOwnerOrganizationId der Microsoft-Mandanten-ID (f8cdef31-a31e-4b4a-93e4-5f571e91255a) entspricht, und prüfen Sie auf hinzugefügte Schlüssel- oder Kennwortanmeldeinformationen. Entfernen Sie alle auf Microsoft-Erstanbieter-Dienstprinzipalen gefundenen Anmeldeinformationen umgehend, da diese fast sicher unautorisiert sind. Untersuchen Sie die Überwachungsprotokolle, um festzustellen, wer die Anmeldeinformationen wann hinzugefügt hat, und behandeln Sie dies als potenziellen Sicherheitsvorfall.", "status": "machine-draft" } }, "EIDAPP-005": { "name": { "value": "Dienstprinzipale mit hohen Privilegien und hinzugefügten Anmeldeinformationen", "status": "machine-draft" }, "description": { "value": "Dienstprinzipale, die hochprivilegierte API-Berechtigungen oder Verzeichnisrollenzuweisungen mit hinzugefügten Clientanmeldeinformationen kombinieren, stellen die risikoreichsten Anwendungsobjekte im Mandanten dar. Ein Angreifer, der diese Anmeldeinformationen erlangt, kann sich nicht interaktiv mit erhöhten Berechtigungen authentifizieren und umgeht dabei MFA und Kontrollen des bedingten Zugriffs vollständig. Diese Kombination aus Privileg und Zugriff auf Anmeldeinformationen ist eine primäre Technik für Persistenz und laterale Bewegung bei cloudbasierten Angriffen.", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Dienstprinzipale mit sowohl hochprivilegierten Berechtigungen als auch hinzugefügten Anmeldeinformationen, sofern nicht mit verpflichtenden ausgleichenden Kontrollen dokumentiert", "status": "machine-draft" }, "remediationSteps": { "value": "Gleichen Sie Dienstprinzipale, die hochprivilegierte API-Berechtigungen oder Verzeichnisrollenzuweisungen besitzen, mit jenen ab, die hinzugefügte Schlüssel- oder Kennwortanmeldeinformationen haben. Validieren Sie für jede Übereinstimmung die geschäftliche Notwendigkeit und entfernen Sie entweder übermäßige Berechtigungen oder migrieren Sie zur Authentifizierung mit verwalteter Identität, die gespeicherte Anmeldeinformationen überflüssig macht. Implementieren Sie zertifikatbasierte Authentifizierung mit kurzlebigen Zertifikaten, wo verwaltete Identitäten nicht möglich sind.", "status": "machine-draft" } }, "EIDAPP-006": { "name": { "value": "Übermäßige Microsoft-Graph-Berechtigungen", "status": "machine-draft" }, "description": { "value": "Anwendungen, denen breite Microsoft-Graph-Anwendungsberechtigungen wie Directory.ReadWrite.All, Sites.ReadWrite.All oder Mail.ReadWrite gewährt werden, erhalten mandantenweiten Zugriff auf Daten und Konfiguration ohne Benutzerkontext. Übermäßige Graph-Berechtigungen verletzen das Prinzip der geringsten Rechte und verschaffen Angreifern, die die Anwendung kompromittieren, weitreichenden Zugriff auf Postfächer, Dateien, Verzeichnisobjekte und Mandanteneinstellungen. Berechtigungen sollten auf das für die Anwendungsfunktionalität erforderliche Minimum begrenzt werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Microsoft-Graph-Berechtigungen auf das erforderliche Minimum begrenzt, wobei Anwendungsberechtigungen nach Möglichkeit durch delegierte Berechtigungen ersetzt werden", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Microsoft-Graph-Berechtigungen aller Anwendungsregistrierungen und identifizieren Sie alle, die breite .All-Geltungsbereiche oder Berechtigungen auf Anwendungsebene verwenden, wo delegierte Berechtigungen ausreichen würden. Ersetzen Sie breite Berechtigungen durch granulare Alternativen wie Mail.Read statt Mail.ReadWrite.All oder User.Read.All statt Directory.Read.All. Verwenden Sie die Referenz für Microsoft-Graph-Berechtigungen, um für jeden API-Aufruf der Anwendung die Berechtigung mit den geringsten Rechten zu ermitteln.", "status": "machine-draft" } }, "EIDAPP-007": { "name": { "value": "App-Registrierungen mit Azure-IAM-Rollenzuweisungen", "status": "machine-draft" }, "description": { "value": "Anwendungsregistrierungen oder ihre zugehörigen Dienstprinzipale mit IAM-Rollenzuweisungen auf Azure-Ressourcenebene wie Contributor, Owner oder User Access Administrator können die Azure-Infrastruktur ändern, Ressourcen bereitstellen oder Privilegien über Abonnements hinweg ausweiten. Diese Rollenzuweisungen erweitern den Wirkungsradius der Anwendung über Entra ID hinaus in die Azure-Ressourcenebene und ermöglichen bei Diebstahl der Anwendungsanmeldeinformationen eine Kompromittierung der Infrastruktur.", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Anwendungsregistrierungen mit Azure-IAM-Rollenzuweisungen oberhalb von Reader, sofern nicht mit geschäftlicher Begründung und geringstem Rechteumfang dokumentiert", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie Azure-IAM-Rollenzuweisungen auf Ebene der Verwaltungsgruppe, des Abonnements und der Ressourcengruppe, um alle Zuweisungen an Anwendungsdienstprinzipale zu identifizieren. Entfernen Sie Owner- und User-Access-Administrator-Zuweisungen und ersetzen Sie breite Contributor-Rollen durch benutzerdefinierte Rollen, die auf bestimmte Ressourcentypen und Aktionen begrenzt sind. Beschränken Sie IAM-Zuweisungen auf den engstmöglichen Geltungsbereich und bevorzugen Sie Zuweisungen auf Ressourcengruppenebene gegenüber Abonnementebene.", "status": "machine-draft" } }, "EIDAPP-008": { "name": { "value": "Überwachung des Ablaufs von Anmeldeinformationen", "status": "machine-draft" }, "description": { "value": "Anwendungsanmeldeinformationen (Clientgeheimnisse und Zertifikate), die sich dem Ablauf nähern oder bereits abgelaufen sind, können Dienstausfälle verursachen, wenn sie nicht rechtzeitig gewechselt werden, oder Sicherheitsrisiken schaffen, wenn Ablaufrichtlinien zu weit in die Zukunft gesetzt werden. Anmeldeinformationen mit langen Gültigkeitsdauern verlängern das Zeitfenster, in dem eine kompromittierte Anmeldeinformation ausgenutzt werden kann. Proaktive Überwachung und Alarmierung beim Ablauf von Anmeldeinformationen stellt eine zeitnahe Rotation sicher und reduziert die Sicherheitsexposition.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Anwendungsanmeldeinformationen haben eine maximale Gültigkeit von 12 Monaten mit automatisierten Warnungen 30 und 60 Tage vor dem Ablauf", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie alle Anwendungsanmeldeinformationen und deren Ablaufdaten mithilfe der Microsoft-Graph-API auf. Identifizieren Sie Anmeldeinformationen, die innerhalb von 30 Tagen ablaufen, sowie solche mit Gültigkeitsdauern über 12 Monaten. Richten Sie einen automatisierten Überwachungsprozess ein, der Anwendungseigentümer und Sicherheitsteams warnt, wenn Anmeldeinformationen sich dem Ablauf nähern, und erzwingen Sie eine Richtlinie zur maximalen Lebensdauer von Anmeldeinformationen über Governance-Verfahren.", "status": "machine-draft" } }, "EIDAPP-009": { "name": { "value": "Veraltete Anwendungsregistrierungen", "status": "machine-draft" }, "description": { "value": "Anwendungsregistrierungen ohne kürzliche Anmeldeaktivität sind möglicherweise verlassen, verwaist oder nicht mehr erforderlich, behalten jedoch alle gewährten Berechtigungen und Anmeldeinformationen. Veraltete Anwendungen vergrößern die Angriffsfläche, da sie von ihren ursprünglichen Eigentümern wahrscheinlich nicht überwacht oder gepflegt werden, was sie für Angreifer attraktiv macht, die vergessene Anmeldeinformationen oder Berechtigungen ausnutzen möchten. Die regelmäßige Bereinigung ungenutzter Anwendungen reduziert die gesamte Risikoexposition des Mandanten.", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Anwendungsregistrierungen ohne Anmeldeaktivität in den letzten 90 Tagen, sofern nicht mit einer gültigen Ausnahme dokumentiert", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Anmeldeprotokolle von Anwendungen in Entra ID, um Anwendungen ohne Authentifizierungsaktivität in den letzten 90 Tagen zu identifizieren. Kontaktieren Sie die aufgeführten Anwendungseigentümer, um zu bestätigen, ob die Anwendung noch benötigt wird. Deaktivieren oder löschen Sie veraltete Anwendungsregistrierungen, nachdem Sie bestätigt haben, dass sie nicht mehr benötigt werden, und entfernen Sie alle zugehörigen Anmeldeinformationen und Berechtigungen.", "status": "machine-draft" } }, "EIDAPP-010": { "name": { "value": "Analyse mandantenübergreifender Anwendungen", "status": "machine-draft" }, "description": { "value": "Mandantenübergreifende Anwendungsregistrierungen sind so konfiguriert, dass sie Anmeldungen aus jedem Entra-ID-Mandanten akzeptieren, wodurch Benutzer aus externen Organisationen sich authentifizieren können. Obwohl dies für SaaS- und Partnerszenarien notwendig ist, schafft eine mandantenübergreifende Konfiguration bei internen Anwendungen ein unnötiges Risiko, indem externe Identitäten Token erlangen können. Jede mandantenübergreifende Anwendung sollte validiert werden, um zu bestätigen, dass die Konfiguration beabsichtigt ist und dass geeignete Autorisierungskontrollen vorhanden sind.", "status": "machine-draft" }, "recommendedValue": { "value": "Keine mandantenübergreifenden Anwendungsregistrierungen, sofern nicht aus geschäftlichem Bedarf mit dokumentierter Begründung und geeigneten Autorisierungskontrollen erforderlich", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle Anwendungsregistrierungen und identifizieren Sie jene, bei denen signInAudience auf AzureADMultipleOrgs oder AzureADandPersonalMicrosoftAccount gesetzt ist. Validieren Sie für jede mandantenübergreifende Anwendung, dass mandantenübergreifender Zugriff erforderlich ist, und dokumentieren Sie die geschäftliche Begründung. Konvertieren Sie Anwendungen, die keinen mandantenübergreifenden Zugriff benötigen, in eine Ein-Mandanten-Konfiguration und implementieren Sie eine Tokenvalidierung, um einzuschränken, welche externen Mandanten auf mandantenübergreifende Anwendungen zugreifen können.", "status": "machine-draft" } }, "EIDAPP-011": { "name": { "value": "Analyse der Einwilligungserteilungen", "status": "machine-draft" }, "description": { "value": "OAuth-Einwilligungserteilungen autorisieren Anwendungen, im Namen von Benutzern (delegiert) oder als die Anwendung selbst (auf Anwendungsebene) auf organisatorische Daten zuzugreifen. Administratoreinwilligungen gewähren mandantenweiten Zugriff für alle Benutzer, während Benutzereinwilligungen auf einzelne Benutzer begrenzt sind. Bösartige oder übermäßige Einwilligungserteilungen sind eine primäre Technik bei OAuth-Phishing-Angriffen, um dauerhaften Zugriff auf Postfächer, Dateien und Verzeichnisdaten ohne Anmeldeinformationen zu erlangen.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Administratoreinwilligungen überprüft und begründet. Keine Benutzereinwilligungen für risikoreiche Berechtigungen. Regelmäßige Überprüfungen der Einwilligungserteilungen etabliert", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie alle OAuth2-Berechtigungserteilungen im Mandanten mithilfe von Microsoft Graph auf und kategorisieren Sie sie als Administrator- oder Benutzereinwilligung. Überprüfen Sie Administratoreinwilligungen auf zu breite Berechtigungen und widerrufen Sie alle, die nicht mehr gerechtfertigt sind. Untersuchen Sie Benutzereinwilligungen auf verdächtige Anwendungen, insbesondere solche, die Mail.Read, Files.ReadWrite oder andere sensible Geltungsbereiche anfordern, und widerrufen Sie unautorisierte Erteilungen.", "status": "machine-draft" } }, "EIDAPP-012": { "name": { "value": "Richtlinie für Benutzereinwilligungseinstellungen", "status": "machine-draft" }, "description": { "value": "Die Richtlinie für Benutzereinwilligungseinstellungen steuert, ob Benutzer Anwendungen ohne Administratorgenehmigung Zugriff auf organisatorische Daten gewähren können. Freizügige Einwilligungseinstellungen erlauben Benutzern, Anwendungen eigenständig zu autorisieren, was Angreifer über Phishing-Kampagnen mit unrechtmäßigen Einwilligungserteilungen ausnutzen, um dauerhaften Zugriff zu erlangen. Das Beschränken der Benutzereinwilligung auf verifizierte Herausgeber oder das vollständige Deaktivieren erzwingt jede Einwilligung über einen Administratorgenehmigungsprozess.", "status": "machine-draft" }, "recommendedValue": { "value": "Benutzereinwilligung deaktiviert oder auf Apps von verifizierten Herausgebern mit ausschließlich risikoarmen Berechtigungen beschränkt", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Unternehmensanwendungen > Einwilligung und Berechtigungen > Benutzereinwilligungseinstellungen. Setzen Sie die Benutzereinwilligung auf „Benutzereinwilligung nicht zulassen“ oder „Benutzereinwilligung für Apps von verifizierten Herausgebern zulassen, nur für ausgewählte Berechtigungen“ mit ausschließlich risikoarmen Berechtigungen. Aktivieren Sie den Administratoreinwilligungsworkflow, um einen strukturierten Prozess bereitzustellen, über den Benutzer Zugriff auf Anwendungen anfordern können, die eine Administratorgenehmigung erfordern.", "status": "machine-draft" } }, "EIDAPP-013": { "name": { "value": "Konfiguration des Administratoreinwilligungsworkflows", "status": "machine-draft" }, "description": { "value": "Der Administratoreinwilligungsworkflow bietet einen strukturierten Prozess, über den Benutzer eine Administratorgenehmigung anfordern können, bevor Anwendungen auf organisatorische Daten zugreifen. Ohne einen Administratoreinwilligungsworkflow haben Benutzer, deren Einwilligung eingeschränkt ist, keinen formalen Mechanismus, um Anwendungszugriff anzufordern, was zu Schatten-IT-Umgehungen oder Engpässen beim Helpdesk führt. Ein ordnungsgemäß konfigurierter Workflow stellt sicher, dass legitime Anwendungsanfragen von benannten Administratoren überprüft und genehmigt werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Administratoreinwilligungsworkflow aktiviert mit benannten Prüfern und definiertem SLA für den Abschluss der Überprüfung", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Unternehmensanwendungen > Einwilligung und Berechtigungen > Administratoreinwilligungseinstellungen. Aktivieren Sie den Administratoreinwilligungsworkflow und benennen Sie geeignete Prüfer aus Ihren Sicherheits- oder IT-Administrationsteams. Konfigurieren Sie Benachrichtigungseinstellungen, um Prüfer über ausstehende Anfragen zu informieren, und legen Sie ein Service-Level-Agreement für die Bearbeitungszeit fest, um Engpässe im Workflow zu vermeiden.", "status": "machine-draft" } }, "EIDAPP-014": { "name": { "value": "Inhaber der Rolle „Anwendungsidentitätswechsel“", "status": "machine-draft" }, "description": { "value": "Die Rolle ApplicationImpersonation in Exchange Online gewährt die Fähigkeit, jedes Postfach in der Organisation zu imitieren, und ermöglicht vollständigen Lese- und Schreibzugriff auf alle E-Mails ohne Wissen des Postfacheigentümers. Diese Rolle wird häufig bei Business-E-Mail-Compromise- und Datenexfiltrationsangriffen missbraucht, da ein einzelnes kompromittiertes Konto mit dieser Rolle auf die gesamte E-Mail der Organisation zugreifen kann. Zuweisungen sollten äußerst begrenzt, zeitlich befristet und kontinuierlich überwacht werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Keine dauerhaften Zuweisungen der Rolle ApplicationImpersonation. Alle erforderlichen Zuweisungen müssen auf bestimmte Postfächer begrenzt und zeitlich befristet sein", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Rollenzuweisungen in Exchange Online, um alle Prinzipale zu identifizieren, die die Rolle ApplicationImpersonation innehaben, mit Get-ManagementRoleAssignment in Exchange Online PowerShell. Entfernen Sie alle unnötigen Zuweisungen umgehend und ersetzen Sie breite Identitätswechsel-Erteilungen durch begrenzte Zuweisungen, die dort, wo erforderlich, auf bestimmte Postfächer beschränkt sind. Implementieren Sie Überwachungswarnungen für alle neuen Zuweisungen der Rolle ApplicationImpersonation und führen Sie monatliche Überprüfungen bestehender Zuweisungen durch.", "status": "machine-draft" } }, "EIDAPP-015": { "name": { "value": "Überprüfung der OAuth2-Berechtigungserteilungen", "status": "machine-draft" }, "description": { "value": "OAuth2-Berechtigungserteilungen definieren die konkreten Berechtigungen, die Anwendungen ausüben dürfen, entweder als delegierte Berechtigungen im Namen eines Benutzers oder als Anwendungsberechtigungen unabhängig davon. Über viele Anwendungen hinweg angehäufte Berechtigungserteilungen können ein komplexes Geflecht von Zugriffen schaffen, das schwer zu prüfen ist und zu breite oder unnötige Autorisierungen enthalten kann. Die regelmäßige Überprüfung stellt sicher, dass Erteilungen mit den aktuellen geschäftlichen Anforderungen im Einklang bleiben.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle OAuth2-Berechtigungserteilungen vierteljährlich überprüft, veraltete oder übermäßige Erteilungen widerrufen", "status": "machine-draft" }, "remediationSteps": { "value": "Exportieren Sie alle OAuth2-Berechtigungserteilungen mithilfe von Microsoft Graph und kategorisieren Sie sie nach Berechtigungstyp (delegiert oder Anwendung), Ressource und Geltungsbereich. Identifizieren Sie Erteilungen für Anwendungen, die nicht mehr aktiv sind, oder Berechtigungen, die über das für die aktuelle Anwendungsfunktionalität Erforderliche hinausgehen. Widerrufen Sie unnötige Erteilungen über das Entra-Admin-Center oder die Microsoft-Graph-API und etablieren Sie einen vierteljährlichen Überprüfungszyklus für alle aktiven Erteilungen.", "status": "machine-draft" } }, "EIDAPP-016": { "name": { "value": "Inventar und Berechtigungen verwalteter Identitäten", "status": "machine-draft" }, "description": { "value": "Verwaltete Identitäten stellen Azure-Ressourcen automatisch verwaltete Anmeldeinformationen für die Authentifizierung bei Diensten bereit, die die Entra-ID-Authentifizierung unterstützen. Obwohl verwaltete Identitäten gespeicherte Anmeldeinformationen überflüssig machen, können sie dennoch überberechtigt oder Ressourcen zugewiesen sein, die sie nicht mehr benötigen. Ein umfassendes Inventar der verwalteten Identitäten und ihrer Berechtigungszuweisungen stellt Zugriff nach dem Prinzip der geringsten Rechte sicher und identifiziert verwaiste Identitäten, die mit gelöschten Ressourcen verbunden sind.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle verwalteten Identitäten inventarisiert mit dokumentierten Ressourcenzuordnungen und Berechtigungszuweisungen nach dem Prinzip der geringsten Rechte", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie alle systemseitig und benutzerseitig zugewiesenen verwalteten Identitäten über alle Azure-Abonnements hinweg mithilfe von Azure Resource Graph oder dem Azure-Portal auf. Überprüfen Sie die Rollenzuweisungen und API-Berechtigungen jeder verwalteten Identität und stellen Sie sicher, dass sie dem Prinzip der geringsten Rechte folgen. Entfernen Sie Rollenzuweisungen von verwalteten Identitäten, die mit gelöschten oder außer Betrieb genommenen Ressourcen verbunden sind, und dokumentieren Sie den Zweck und die Berechtigungsanforderungen jeder aktiven verwalteten Identität.", "status": "machine-draft" } }, "EIDAPP-017": { "name": { "value": "Anmeldeaktivität von Dienstprinzipalen", "status": "machine-draft" }, "description": { "value": "Die Überwachung der Anmeldeaktivität von Dienstprinzipalen bietet Transparenz darüber, welche Anwendungen sich aktiv authentifizieren und von welchen IP-Adressen aus. Ungewöhnliche Anmeldemuster wie eine Authentifizierung von unerwarteten geografischen Standorten, abnormale Anforderungsvolumen oder Anmeldungen von Anwendungen, die eigentlich ruhen sollten, können auf eine Kompromittierung von Anmeldeinformationen oder unbefugte Nutzung hindeuten. Diese grundlegenden Aktivitätsdaten sind für die Erkennung von Anomalien und die Untersuchung von Vorfällen unerlässlich.", "status": "machine-draft" }, "recommendedValue": { "value": "Anmeldeprotokolle von Dienstprinzipalen regelmäßig überprüft, mit Baseline-Aktivitätsprofilen für kritische Anwendungen etabliert", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Anmeldeprotokolle von Dienstprinzipalen unter Entra ID > Überwachung > Anmeldeprotokolle > Dienstprinzipal-Anmeldungen. Etablieren Sie Baseline-Aktivitätsprofile für kritische Anwendungen einschließlich normaler Authentifizierungshäufigkeit, Quell-IP-Bereiche und Zielressourcen. Konfigurieren Sie Warnungen für anomale Anmeldemuster von Dienstprinzipalen wie Authentifizierung von neuen IP-Adressen, ungewöhnliche Aktivität zu bestimmten Tageszeiten oder Anmeldungen von Anwendungen, die zuvor ruhend waren.", "status": "machine-draft" } }, "EIDAPP-018": { "name": { "value": "Änderungsnachverfolgung bei App-Registrierungen und Dienstprinzipalen", "status": "machine-draft" }, "description": { "value": "Änderungen an Anwendungsregistrierungen und Dienstprinzipalen wie das Hinzufügen neuer Anmeldeinformationen, Berechtigungsänderungen oder Konfigurationsänderungen sollten nachverfolgt und überprüft werden. Angreifer ändern häufig bestehende Anwendungen, um Hintertür-Anmeldeinformationen hinzuzufügen, Berechtigungen auszuweiten oder Umleitungs-URIs zu ändern, als Teil von Persistenz- und Rechteausweitungstechniken. Ohne Änderungsnachverfolgung können diese Änderungen unbegrenzt unentdeckt bleiben.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Änderungen an Anwendungsregistrierungen und Dienstprinzipalen protokolliert, überwacht und überprüft, mit Warnungen für risikoreiche Änderungen", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie die Überwachung der Überwachungsprotokolle, um alle Änderungen an Anwendungsregistrierungen und Dienstprinzipalen zu erfassen, einschließlich Hinzufügen von Anmeldeinformationen, Berechtigungsänderungen und Konfigurationsänderungen. Erstellen Sie Warnregeln in Microsoft Sentinel oder Azure Monitor für risikoreiche Änderungen wie neue Anmeldeinformationen, die zu bestehenden Anwendungen hinzugefügt werden, Änderungen von Anwendungsberechtigungserteilungen und Änderungen von Antwort-URLs. Etablieren Sie einen Überprüfungsprozess für alle Anwendungsänderungen mit benannten Sicherheitsprüfern.", "status": "machine-draft" } }, "EIDAPP-019": { "name": { "value": "Verwaiste Antwort-URLs", "status": "machine-draft" }, "description": { "value": "Antwort-URLs, die auf abgelaufene, nicht in Besitz befindliche oder nicht beanspruchte Domänen verweisen, ermöglichen Tokendiebstahl, indem Angreifer die aufgegebene Domäne registrieren und von Entra ID umgeleitete OAuth-Autorisierungscodes und Token abfangen können. Diese als Subdomänenübernahme oder Dangling-DNS-Angriff bekannte Schwachstelle verschafft Angreifern die Möglichkeit, gültige Zugriffstoken für die Berechtigungen der Anwendung zu erlangen, ohne dass Anmeldeinformationen kompromittiert werden. Alle Antwort-URLs müssen validiert werden, um sicherzustellen, dass sie auf von der Organisation kontrollierte Infrastruktur verweisen.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Antwort-URLs verweisen auf aktive, von der Organisation besessene Domänen ohne verwaiste oder abgelaufene Domänenverweise", "status": "machine-draft" }, "remediationSteps": { "value": "Extrahieren Sie alle Antwort-URLs aus den Anwendungsregistrierungen und lösen Sie jede Domäne auf, um Eigentümerschaft und aktive DNS-Registrierung zu verifizieren. Identifizieren Sie alle Antwort-URLs, die auf Domänen verweisen, die abgelaufen, zur Registrierung verfügbar oder nicht von der Organisation kontrolliert sind. Entfernen oder aktualisieren Sie verwaiste Antwort-URLs umgehend und implementieren Sie einen regelmäßigen Überprüfungsprozess, um neue verwaiste Verweise zu erkennen, wenn Domänen ablaufen oder sich die Infrastruktur ändert.", "status": "machine-draft" } }, "EIDAPP-020": { "name": { "value": "Einwilligung von Gruppeneigentümern zu Anwendungen blockiert", "status": "machine-draft" }, "description": { "value": "Wenn die gruppenspezifische Einwilligung (Einwilligung von Gruppeneigentümern) aktiviert ist, können Eigentümer von Microsoft-365-Gruppen und Teams Anwendungen ohne Administratorüberprüfung Zugriff auf die Daten ihrer Gruppe gewähren. Angreifer nutzen dies über Phishing mit unrechtmäßigen Einwilligungserteilungen, das auf Gruppen- und Teameigentümer abzielt, um dauerhaften, begrenzten Zugriff auf organisatorische Daten zu erlangen. SCuBA verlangt, dass Gruppeneigentümer keiner Anwendung zustimmen dürfen, wodurch jede solche Einwilligung über den Administratorgenehmigungsworkflow erzwungen wird. In Entra ID wird dies durch die Einstellung EnableGroupSpecificConsent in den Verzeichniseinstellungen (Gruppe) gesteuert; sie muss false sein. Beachten Sie, dass Microsoft die Umschaltung im Admin-Center für diese Kontrolle als veraltet gekennzeichnet hat, die zugrunde liegende Verzeichniseinstellung jedoch das maßgebliche Signal bleibt.", "status": "machine-draft" }, "recommendedValue": { "value": "EnableGroupSpecificConsent in den Verzeichniseinstellungen (Gruppe) auf false gesetzt: Gruppeneigentümer können Anwendungen nicht zustimmen", "status": "machine-draft" }, "remediationSteps": { "value": "Stellen Sie sicher, dass Gruppeneigentümer Anwendungen nicht zustimmen können, um SCuBA MS.AAD.5.4 zu erfüllen. Setzen Sie die Verzeichniseinstellung (Gruppe) 'EnableGroupSpecificConsent' auf false (Group.Unified-Einstellungsvorlage). Leiten Sie jede Anwendungseinwilligung für gruppeneigene Daten über den Administratoreinwilligungsworkflow, sodass ein Prüfer den Zugriff genehmigt. Wo die veraltete Umschaltung im Admin-Center nicht mehr vorhanden ist, bestätigen Sie den Wert der Verzeichniseinstellung direkt über die Gruppeneinstellungskonfiguration.", "status": "machine-draft" } } } |