Data/Locales/checks/de/EntraAuthChecks.json
|
{ "_family": "EntraAuthChecks.json", "EIDAUTH-001": { "name": { "value": "Audit der Richtlinie für Authentifizierungsmethoden", "status": "machine-draft" }, "description": { "value": "Die Richtlinie für Authentifizierungsmethoden legt fest, welche Methoden Benutzern für Anmeldung und MFA zur Verfügung stehen. Eine fehlkonfigurierte Richtlinie kann schwache oder veraltete Methoden zulassen und so die Angriffsfläche vergrößern. Diese Prüfung auditiert den aktuellen Richtlinienzustand gegen anerkannte Entra-ID-Sicherheitsbaselines.", "status": "machine-draft" }, "recommendedValue": { "value": "Richtlinie für Authentifizierungsmethoden überprüft und an der Sicherheitsbaseline der Organisation ausgerichtet", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Schutz > Authentifizierungsmethoden > Richtlinien. Überprüfen Sie jede aktivierte Methode und deaktivieren Sie alle, die von Ihrer Organisation nicht benötigt werden. Stellen Sie sicher, dass phishing-resistente Methoden wie FIDO2 und Microsoft Authenticator gegenüber SMS und Sprachanruf priorisiert werden.", "status": "machine-draft" } }, "EIDAUTH-002": { "name": { "value": "Status der MFA-Registrierung für alle Benutzer", "status": "machine-draft" }, "description": { "value": "Alle Benutzer sollten für die mehrstufige Authentifizierung registriert sein, um eine Kontokompromittierung durch gestohlene oder erratene Anmeldeinformationen zu verhindern. Konten ohne MFA-Registrierung sind das primäre Ziel für anmeldeinformationsbasierte Angriffe einschließlich Password-Spraying und Phishing. Nicht registrierte Benutzer stellen kritische Lücken in Ihrer Identitätssicherheitslage dar.", "status": "machine-draft" }, "recommendedValue": { "value": "100 % der aktiven Benutzer für MFA registriert", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie den Status der MFA-Registrierung über Entra ID > Schutz > Authentifizierungsmethoden > Details zur Benutzerregistrierung. Erzwingen Sie die MFA-Registrierung über Richtlinien für bedingten Zugriff, die MFA für alle Benutzer verlangen. Legen Sie eine Registrierungsfrist fest und kommunizieren Sie die Anforderungen an nicht registrierte Benutzer.", "status": "machine-draft" } }, "EIDAUTH-003": { "name": { "value": "Analyse der Verteilung von MFA-Methoden", "status": "machine-draft" }, "description": { "value": "Das Verständnis der Verteilung von MFA-Methoden über die Benutzer hinweg hilft, die Gesamtstärke der Authentifizierungskontrollen zu bewerten. Organisationen sollten die Verbreitung phishing-resistenter Methoden wie FIDO2 und Authenticator-Push gegenüber schwächeren Methoden wie SMS verfolgen. Diese Transparenz ermöglicht gezielte Kampagnen zur Migration von Benutzern zu stärkeren Methoden.", "status": "machine-draft" }, "recommendedValue": { "value": "Mehrheit der Benutzer mit phishing-resistenten MFA-Methoden registriert (FIDO2, Microsoft Authenticator, Windows Hello)", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Methodenverteilung über Entra ID > Schutz > Authentifizierungsmethoden > Details zur Benutzerregistrierung. Identifizieren Sie Benutzer, die sich ausschließlich auf schwächere Methoden verlassen, und erstellen Sie Migrationspläne. Verwenden Sie Aktivitätsberichte zu Authentifizierungsmethoden, um den Fortschritt der Verbreitung zu verfolgen.", "status": "machine-draft" } }, "EIDAUTH-004": { "name": { "value": "Benutzer mit ausschließlich SMS-/Sprach-MFA-Methoden", "status": "machine-draft" }, "description": { "value": "Benutzer, die sich ausschließlich auf SMS- oder sprachbasierte MFA verlassen, sind anfällig für SIM-Swap-Angriffe, bei denen Angreifer Mobilfunkanbieter per Social Engineering dazu bringen, die Rufnummer eines Opfers zu übertragen, sowie für Angriffe auf das SS7-Signalisierungsprotokoll, die SMS-Nachrichten während der Übertragung abfangen. Diese Methoden bieten deutlich schwächeren Schutz als app- oder hardware-token-basierte Authentifizierung. Organisationen sollten diese Benutzer identifizieren und zu phishing-resistenten Methoden migrieren.", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Benutzer, die sich ausschließlich auf SMS oder Sprachanruf als ihre einzige MFA-Methode verlassen", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie Benutzer mit ausschließlich SMS-/Sprach-MFA über Entra ID > Schutz > Authentifizierungsmethoden > Details zur Benutzerregistrierung. Erstellen Sie einen Migrationsplan, um diese Benutzer zu Microsoft Authenticator oder FIDO2-Sicherheitsschlüsseln zu verschieben. Erwägen Sie, SMS/Sprachanruf nach Abschluss der Migration als zulässige Methoden in der Richtlinie für Authentifizierungsmethoden zu deaktivieren.", "status": "machine-draft" } }, "EIDAUTH-005": { "name": { "value": "Benutzer ohne registrierte MFA-Methoden", "status": "machine-draft" }, "description": { "value": "Benutzer ohne registrierte MFA-Methoden können MFA-Aufforderungen nicht erfüllen und stellen kritische Sicherheitslücken dar. Diese Konten sind vollständig anmeldeinformationsbasierten Angriffen ausgesetzt, einschließlich Password-Spraying, Phishing und Brute-Force-Angriffen. Eine sofortige Behebung ist erforderlich, um sicherzustellen, dass alle aktiven Konten über mindestens eine registrierte MFA-Methode verfügen.", "status": "machine-draft" }, "recommendedValue": { "value": "Null aktive Benutzer ohne mindestens eine registrierte MFA-Methode", "status": "machine-draft" }, "remediationSteps": { "value": "Fragen Sie die Details zur Benutzerregistrierung über Entra ID > Schutz > Authentifizierungsmethoden > Details zur Benutzerregistrierung ab, um Benutzer ohne Methoden zu identifizieren. Erzwingen Sie die MFA-Registrierung über eine Richtlinie für bedingten Zugriff, die auf nicht registrierte Benutzer abzielt. Verwenden Sie einen temporären Zugriffspass, um Benutzern zu helfen, die ihre MFA-Registrierung initialisieren müssen.", "status": "machine-draft" } }, "EIDAUTH-006": { "name": { "value": "Inventar und Audit von FIDO2-Sicherheitsschlüsseln", "status": "machine-draft" }, "description": { "value": "FIDO2-Sicherheitsschlüssel bieten phishing-resistente Authentifizierung, müssen jedoch über ihren gesamten Lebenszyklus inventarisiert und verwaltet werden. Nicht nachverfolgte Schlüssel können ausgeschiedenen Mitarbeitenden zugeordnet bleiben oder unbemerkt verloren gehen. Regelmäßige Audits stellen sicher, dass nur autorisierte Schlüssel aktiv und ordnungsgemäß aktuellen Benutzern zugewiesen sind.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle registrierten FIDO2-Schlüssel inventarisiert mit dokumentierten Eigentümerzuordnungen und regelmäßigen Attestierungsüberprüfungen", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die FIDO2-Schlüsselregistrierungen über Entra ID > Schutz > Authentifizierungsmethoden > FIDO2-Sicherheitsschlüssel. Gleichen Sie registrierte Schlüssel mit Ihrem Hardware-Bestandsinventar ab und entfernen Sie Schlüssel für ausgeschiedene Benutzer. Implementieren Sie Schlüsselregistrierungsrichtlinien, die zulässige AAGUID-Werte auf genehmigte Herstellermodelle beschränken.", "status": "machine-draft" } }, "EIDAUTH-007": { "name": { "value": "Prüfung von FIDO2-Schlüsseln auf die ROCA-Schwachstelle", "status": "machine-draft" }, "description": { "value": "Die ROCA-Schwachstelle (Return of Coppersmith's Attack, CVE-2017-15361) betrifft die RSA-Schlüsselgenerierung in der Infineon-TPM-Firmware, die in bestimmten FIDO2-Sicherheitsschlüsseln verwendet wird, und ermöglicht die Wiederherstellung privater Schlüssel aus öffentlichen Schlüsseln. Betroffene Schlüssel erzeugen schwache RSA-Schlüsselpaare, die faktorisiert werden können, wodurch die Sicherheit der Authentifizierungsanmeldeinformation vollständig untergraben wird. Schlüssel mit anfälliger Firmware müssen umgehend identifiziert und ersetzt werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Keine FIDO2-Schlüssel mit ROCA-anfälliger Infineon-TPM-Firmware im Einsatz", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie FIDO2-Schlüssel, die Infineon-TPMs verwenden, indem Sie die AAGUID-Werte mit bekannten anfälligen Modellen abgleichen. Testen Sie registrierte Schlüssel mit ROCA-Erkennungswerkzeugen, um den Anfälligkeitsstatus zu bestätigen. Ersetzen Sie alle betroffenen Schlüssel durch gepatchte Firmwareversionen oder alternative Hardware und widerrufen Sie die alten Schlüsselregistrierungen in Entra ID.", "status": "machine-draft" } }, "EIDAUTH-008": { "name": { "value": "Bereitschaft für kennwortlose Authentifizierung", "status": "machine-draft" }, "description": { "value": "Kennwortlose Authentifizierung eliminiert Kennwörter als Angriffsvektor und beseitigt das Risiko von Anmeldeinformationsdiebstahl, Phishing und Password-Spraying. Organisationen sollten ihre Bereitschaft bewerten, kennwortlose Methoden wie FIDO2, Windows Hello for Business und die Telefon-Anmeldung von Microsoft Authenticator einzuführen. Diese Prüfung bewertet die aktuelle Methodennutzung und identifiziert Lücken, die eine kennwortlose Einführung verhindern.", "status": "machine-draft" }, "recommendedValue": { "value": "Die Organisation verfügt über einen Einführungsplan für kennwortlose Authentifizierung, bei dem mindestens 50 % der Benutzer zur kennwortlosen Anmeldung fähig sind", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Registrierungen von Authentifizierungsmethoden, um festzustellen, wie viele Benutzer über kennwortlos-fähige Methoden verfügen. Aktivieren Sie die kennwortlose Anmeldung mit FIDO2 und Microsoft Authenticator in der Richtlinie für Authentifizierungsmethoden. Erstellen Sie einen stufenweisen Einführungsplan, der mit privilegierten Benutzern und IT-Personal beginnt, bevor er auf die breitere Organisation ausgeweitet wird.", "status": "machine-draft" } }, "EIDAUTH-009": { "name": { "value": "Konfiguration von Windows Hello for Business", "status": "machine-draft" }, "description": { "value": "Windows Hello for Business bietet phishing-resistente, hardware-gestützte Authentifizierung mittels Biometrie oder PIN, die an das TPM des Geräts gebunden ist. Fehlkonfigurierte WHfB-Bereitstellungen können ohne ordnungsgemäße TPM-Attestierung auf eine schwächere Komfort-PIN zurückfallen und so die Sicherheitsgarantien verringern. Die Konfiguration sollte TPM-gestützte Schlüssel und angemessene biometrische Richtlinien erzwingen.", "status": "machine-draft" }, "recommendedValue": { "value": "Windows Hello for Business aktiviert mit erzwungener TPM-Anforderung und für sensible Rollen konfigurierter mehrstufiger Entsperrung", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Schutz > Authentifizierungsmethoden > Windows Hello for Business. Aktivieren Sie die Methode und konfigurieren Sie Schlüsselbeschränkungen, um TPM-gestützte Schlüssel zu verlangen. Stellen Sie WHfB-Konfigurationsprofile über Intune bereit, um TPM-Attestierung und Anforderungen an die PIN-Komplexität auf verwalteten Geräten zu erzwingen.", "status": "machine-draft" } }, "EIDAUTH-010": { "name": { "value": "Audit der Richtlinie für temporäre Zugriffspässe (TAP)", "status": "machine-draft" }, "description": { "value": "Der temporäre Zugriffspass ermöglicht zeitlich begrenzte Kennungscodes für das Onboarding von Benutzern zu kennwortlosen Anmeldeinformationen, kann jedoch als Hintertür dienen, wenn er nicht ordnungsgemäß eingeschränkt wird. TAPs, die mit langen Lebensdauern oder wiederverwendbaren Einstellungen konfiguriert sind, können von Angreifern ausgenutzt werden, die den Ausstellungsprozess kompromittieren. Die TAP-Richtlinie sollte kurze Lebensdauern, Einmalverwendungsbeschränkungen und die Beschränkung der Ausstellung auf autorisierte Administratoren erzwingen.", "status": "machine-draft" }, "recommendedValue": { "value": "TAP aktiviert mit einer maximalen Lebensdauer von 1 Stunde, ausschließlich Einmalverwendung, beschränkt auf autorisierte Onboarding-Administratoren", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die TAP-Richtlinie unter Entra ID > Schutz > Authentifizierungsmethoden > Temporärer Zugriffspass. Setzen Sie die minimale und maximale Lebensdauer auf die kürzeste praktikable Dauer und aktivieren Sie die Einmalverwendung. Beschränken Sie die Berechtigungen zur TAP-Ausstellung über rollenbasierte Zugriffssteuerungen auf einen begrenzten Kreis von Administratoren.", "status": "machine-draft" } }, "EIDAUTH-011": { "name": { "value": "Konfiguration des Self-Service-Kennwortresets (SSPR)", "status": "machine-draft" }, "description": { "value": "SSPR ermöglicht Benutzern, ihre eigenen Kennwörter ohne Eingreifen des Helpdesks zurückzusetzen, muss jedoch ordnungsgemäß konfiguriert werden, um eine Kontoübernahme zu verhindern. Fehlkonfiguriertes SSPR mit schwachen Verifizierungsmethoden oder unzureichenden erforderlichen Methoden ermöglicht es Angreifern, Kennwörter mithilfe kompromittierter persönlicher Informationen zurückzusetzen. SSPR sollte mehrere starke Verifizierungsmethoden verlangen und für alle Benutzer aktiviert sein.", "status": "machine-draft" }, "recommendedValue": { "value": "SSPR für alle Benutzer aktiviert, wobei mindestens zwei Authentifizierungsmethoden für das Zurücksetzen erforderlich sind", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Schutz > Kennwortzurücksetzung > Eigenschaften und aktivieren Sie SSPR für alle Benutzer. Setzen Sie die Anzahl der zum Zurücksetzen erforderlichen Methoden auf 2. Stellen Sie unter Authentifizierungsmethoden sicher, dass nur starke Methoden wie mobile App-Benachrichtigung, mobiler App-Code und E-Mail zugelassen sind, während Sicherheitsfragen deaktiviert werden.", "status": "machine-draft" } }, "EIDAUTH-012": { "name": { "value": "SSPR-Methoden und -Anforderungen", "status": "machine-draft" }, "description": { "value": "Die konkreten für SSPR zugelassenen Methoden und die erforderliche Anzahl wirken sich direkt auf die Sicherheit des Kennwortzurücksetzungsprozesses aus. Das Zulassen schwacher Methoden wie Sicherheitsfragen oder das Verlangen nur einer einzigen Methode schafft Gelegenheiten für Angreifer, Kennwörter durch Social Engineering oder OSINT zurückzusetzen. Organisationen sollten für alle Kennwortzurücksetzungen mindestens zwei starke Methoden verlangen.", "status": "machine-draft" }, "recommendedValue": { "value": "Zwei oder mehr starke Authentifizierungsmethoden für die Kennwortzurücksetzung erforderlich, Sicherheitsfragen deaktiviert", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Schutz > Kennwortzurücksetzung > Authentifizierungsmethoden. Setzen Sie die Anzahl der erforderlichen Methoden auf 2 und entfernen Sie Sicherheitsfragen aus der Liste der zugelassenen Methoden. Priorisieren Sie mobile App-Benachrichtigung und mobilen App-Code als primäre SSPR-Methoden, um eine starke Verifizierung sicherzustellen.", "status": "machine-draft" } }, "EIDAUTH-013": { "name": { "value": "Konfiguration des Kennwortschutzes (gesperrte Kennwörter)", "status": "machine-draft" }, "description": { "value": "Der Entra-ID-Kennwortschutz verhindert, dass Benutzer häufig kompromittierte Kennwörter wählen, indem er sie gegen eine von Microsoft gepflegte globale Sperrliste für Kennwörter abgleicht. Ohne aktivierten Kennwortschutz können Benutzer Kennwörter wählen, die in bekannten Datenlecks vorkommen, wodurch Konten anfällig für Password-Spraying und Wörterbuchangriffe werden. Die Funktion sollte im erzwungenen Modus sowohl für Cloud- als auch für lokale Umgebungen aktiviert sein.", "status": "machine-draft" }, "recommendedValue": { "value": "Kennwortschutz im erzwungenen Modus aktiviert, mit aktiver globaler Sperrliste für Kennwörter", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Schutz > Authentifizierungsmethoden > Kennwortschutz. Setzen Sie den Modus auf Erzwungen und stellen Sie sicher, dass die globale Sperrliste für Kennwörter aktiviert ist. Wenn Sie hybride Identität mit lokalem Active Directory verwenden, stellen Sie den Entra-ID-Kennwortschutz-Proxy und die DC-Agenten bereit, um den Schutz auf lokale Kennwortänderungen auszuweiten.", "status": "machine-draft" } }, "EIDAUTH-014": { "name": { "value": "Status der benutzerdefinierten Sperrliste für Kennwörter", "status": "machine-draft" }, "description": { "value": "Zusätzlich zur globalen Sperrliste für Kennwörter sollten Organisationen eine benutzerdefinierte Sperrliste für Kennwörter pflegen, die firmenspezifische Begriffe, Produktnamen, Standorte und andere leicht zu erratende Varianten enthält. Ohne eine benutzerdefinierte Liste können Benutzer Kennwörter wählen, die auf organisatorischem Kontext basieren und von Angreifern durch gezielte Angriffe leicht zu erraten sind. Die benutzerdefinierte Liste unterstützt bis zu 1000 Einträge und sollte regelmäßig aktualisiert werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Benutzerdefinierte Sperrliste für Kennwörter aktiviert, mit organisationsspezifischen Begriffen einschließlich Firmenname, Produkten, Standorten und gängigen Varianten", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Schutz > Authentifizierungsmethoden > Kennwortschutz. Aktivieren Sie die benutzerdefinierte Sperrliste für Kennwörter und fügen Sie Einträge für Ihren Organisationsnamen, Produktnamen, Bürostandorte und häufig verwendete interne Begriffe hinzu. Überprüfen und aktualisieren Sie die Liste vierteljährlich, um neue Begriffe und Muster aufzunehmen, die bei Kennwort-Audits identifiziert wurden.", "status": "machine-draft" } }, "EIDAUTH-015": { "name": { "value": "Nutzung veralteter Authentifizierungsprotokolle", "status": "machine-draft" }, "description": { "value": "Veraltete Authentifizierungsprotokolle einschließlich POP3, IMAP4, SMTP AUTH und Exchange ActiveSync mit Standardauthentifizierung unterstützen keine moderne Authentifizierung oder MFA und ermöglichen es Angreifern, MFA mit gestohlenen Anmeldeinformationen vollständig zu umgehen. Diese Protokolle übertragen Anmeldeinformationen auf eine Weise, die anfällig für Abfangen ist, und sind der primäre Vektor für Password-Spray-Angriffe gegen Microsoft-365-Mandanten. Jede veraltete Authentifizierung sollte über Richtlinien für bedingten Zugriff blockiert werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle veralteten Authentifizierungsprotokolle über bedingten Zugriff blockiert, ohne in den Anmeldeprotokollen erkannte aktive Nutzung", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Nutzung veralteter Authentifizierung unter Entra ID > Überwachung > Anmeldeprotokolle > Filtern nach Client-App (veraltete Protokolle). Erstellen Sie eine Richtlinie für bedingten Zugriff, um veraltete Authentifizierung für alle Benutzer und alle Cloud-Apps zu blockieren. Überwachen Sie blockierte Anmeldeversuche und arbeiten Sie mit betroffenen Benutzern zusammen, um zu modernen Authentifizierungsclients zu migrieren.", "status": "machine-draft" } }, "EIDAUTH-016": { "name": { "value": "ROPC-Fluss (Resource Owner Password Credentials) aktiviert", "status": "machine-draft" }, "description": { "value": "Der Authentifizierungsfluss Resource Owner Password Credentials (ROPC) sendet Benutzername und Kennwort direkt an den Tokenendpunkt und umgeht dabei die mehrstufige Authentifizierung und Richtlinien für bedingten Zugriff vollständig. Anwendungen, die den ROPC-Grant-Typ verwenden, legen Anmeldeinformationen auf eine Weise offen, die durch moderne Sicherheitskontrollen nicht geschützt werden kann, und stellen eine erhebliche Sicherheitslücke dar. ROPC sollte für alle Anwendungen deaktiviert werden, sofern keine absolute technische Anforderung mit ausgleichenden Kontrollen besteht.", "status": "machine-draft" }, "recommendedValue": { "value": "ROPC-Fluss für alle Anwendungsregistrierungen deaktiviert, keine Anwendungen, die den Kennwort-Grant-Typ verwenden", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Anwendungsregistrierungen unter Entra ID > Anwendungen > App-Registrierungen auf Apps, die zum Zulassen öffentlicher Clientflüsse konfiguriert sind. Deaktivieren Sie die Einstellung „Öffentliche Clientflüsse zulassen“ für Anwendungen, die ROPC nicht benötigen. Migrieren Sie Anwendungen, die ROPC verwenden, zu unterstützten interaktiven Flüssen wie Authorization Code mit PKCE oder Device-Code-Fluss.", "status": "machine-draft" } }, "EIDAUTH-017": { "name": { "value": "Erkennung von Konflikten zwischen benutzerbezogener MFA und MFA über bedingten Zugriff", "status": "machine-draft" }, "description": { "value": "Veraltete benutzerbezogene MFA-Einstellungen (aktiviert/erzwungen auf Ebene des einzelnen Benutzers) können mit MFA-Richtlinien auf Basis des bedingten Zugriffs kollidieren und ein unvorhersehbares Authentifizierungsverhalten erzeugen. Wenn beide aktiv sind, können Benutzer doppelte MFA-Aufforderungen, Authentifizierungsfehler oder eine inkonsistente Richtliniendurchsetzung erleben, je nachdem, welcher Mechanismus zuerst ausgewertet wird. Organisationen sollten vollständig auf MFA über bedingten Zugriff migrieren und benutzerbezogene MFA-Einstellungen deaktivieren, um eine konsistente Richtlinienanwendung sicherzustellen.", "status": "machine-draft" }, "recommendedValue": { "value": "Benutzerbezogene MFA für alle Benutzer deaktiviert, wobei MFA ausschließlich über Richtlinien für bedingten Zugriff erzwungen wird", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie den Status der benutzerbezogenen MFA über Entra ID > Benutzer > Benutzerbezogene MFA und identifizieren Sie Benutzer mit aktivierter oder erzwungener benutzerbezogener MFA. Erstellen Sie gleichwertige Richtlinien für bedingten Zugriff, die MFA für alle Benutzer erzwingen, bevor Sie die benutzerbezogene MFA deaktivieren. Deaktivieren Sie die benutzerbezogene MFA, indem Sie den Status jedes Benutzers auf Deaktiviert setzen, nachdem Sie bestätigt haben, dass die MFA-Abdeckung über bedingten Zugriff vollständig ist.", "status": "machine-draft" } }, "EIDAUTH-018": { "name": { "value": "Anmeldekontext von Microsoft Authenticator (Anwendungsname und Standort)", "status": "machine-draft" }, "description": { "value": "Wenn die Authentifizierungsmethode Microsoft Authenticator aktiviert ist, verschafft das Anzeigen von Anmeldekontextinformationen (Anwendungsname und geografischer Standort) in Push- und kennwortlosen Benachrichtigungen dem Benutzer das Situationsbewusstsein, das erforderlich ist, um MFA-Aufforderungen zu erkennen und abzulehnen, die er nicht selbst ausgelöst hat. Ohne diesen Kontext ist die Wahrscheinlichkeit weit höher, dass Benutzer während MFA-Ermüdung oder Echtzeit-Phishing-Angriffen vom Angreifer ausgelöste Push-Anforderungen genehmigen. Diese Einstellung wird durch die Feature-Einstellungen displayAppInformationRequiredState und displayLocationInformationRequiredState in der Konfiguration der MicrosoftAuthenticator-Methode gesteuert.", "status": "machine-draft" }, "recommendedValue": { "value": "Wenn Microsoft Authenticator aktiviert ist, ist displayAppInformationRequiredState aktiviert (Anwendungsname wird angezeigt); displayLocationInformationRequiredState wird ebenfalls empfohlen", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Schutz > Authentifizierungsmethoden > Richtlinien > Microsoft Authenticator. Setzen Sie auf der Registerkarte „Konfigurieren“ die Option „Anwendungsnamen in Push- und kennwortlosen Benachrichtigungen anzeigen“ für alle Benutzer auf Aktiviert und aktivieren Sie „Geografischen Standort in Push- und kennwortlosen Benachrichtigungen anzeigen“. Dies erfüllt SCuBA MS.AAD.3.3, das verlangt, dass Microsoft Authenticator so konfiguriert ist, dass der Anmeldekontext angezeigt wird, wenn es aktiviert ist.", "status": "machine-draft" } } } |