Data/Locales/checks/de/EntraCAChecks.json
|
{ "_family": "EntraCAChecks.json", "EIDCA-001": { "name": { "value": "Vollständiges Inventar der Richtlinien für bedingten Zugriff", "status": "machine-draft" }, "description": { "value": "Ein vollständiges Inventar aller Richtlinien für bedingten Zugriff mit ihren Einstellungen sollte gepflegt werden. Dies schafft Sichtbarkeit über die Sicherheitslage und ermöglicht Lückenanalysen, Änderungsverfolgung und Compliance-Audits über den gesamten Mandanten hinweg.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Richtlinien für bedingten Zugriff dokumentiert, mit Status, Bedingungen, Gewährungssteuerungen und Sitzungssteuerungen", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie im Entra Admin Center zum Bereich für bedingten Zugriff und exportieren Sie alle Richtlinien. Überprüfen Sie jede Richtlinie auf korrekte Namenskonventionen, Beschreibungen und einen angemessenen Status (aktiviert, deaktiviert oder Nur-Bericht). Führen Sie zu Prüfzwecken einen versionierten Nachweis aller Richtlinienkonfigurationen.", "status": "machine-draft" } }, "EIDCA-002": { "name": { "value": "Lückenanalyse der Abdeckung durch Richtlinien für bedingten Zugriff", "status": "machine-draft" }, "description": { "value": "Alle Benutzer und Anwendungen sollten durch mindestens eine Richtlinie für bedingten Zugriff abgedeckt sein. Abdeckungslücken lassen Benutzer oder Anwendungen ohne Sicherheitskontrollen wie MFA, Gerätekonformität oder Standortbeschränkungen zurück und schaffen Angriffsvektoren für unbefugten Zugriff.", "status": "machine-draft" }, "recommendedValue": { "value": "100 % der aktiven Benutzer und kritischen Anwendungen durch mindestens eine Richtlinie für bedingten Zugriff abgedeckt", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle Richtlinien für bedingten Zugriff, um Benutzer und Anwendungen zu identifizieren, die von keiner Richtlinie erfasst werden. Erstellen Sie Richtlinien, die nicht abgedeckte Benutzer und Anwendungen mit angemessenen Gewährungs- und Sitzungssteuerungen abdecken. Priorisieren Sie die Abdeckung für privilegierte Konten und geschäftskritische Anwendungen.", "status": "machine-draft" } }, "EIDCA-003": { "name": { "value": "Richtlinien für bedingten Zugriff im Nur-Bericht-Modus", "status": "machine-draft" }, "description": { "value": "Richtlinien für bedingten Zugriff, die im Nur-Bericht-Modus belassen werden, erzwingen keine Sicherheitskontrollen und protokollieren nur, was geschehen wäre. Richtlinien, deren Test abgeschlossen ist, sollten in den aktivierten Status überführt werden, um die Umgebung aktiv zu schützen.", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Richtlinien im Nur-Bericht-Modus, sofern sie nicht aktiv mit einem definierten Übergangszeitplan getestet werden", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle Richtlinien für bedingten Zugriff, die sich derzeit im Nur-Bericht-Modus befinden, und werten Sie deren Auswirkungsdaten aus den Anmeldeprotokollen aus. Ändern Sie bei Richtlinien, die validiert wurden und akzeptable Auswirkungen zeigen, den Status von Nur-Bericht auf aktiviert. Etablieren Sie einen Richtlinienlebenszyklusprozess, der die maximale Dauer im Nur-Bericht-Modus vor der Durchsetzung festlegt.", "status": "machine-draft" } }, "EIDCA-004": { "name": { "value": "Analyse von Ausschlussgruppen im bedingten Zugriff", "status": "machine-draft" }, "description": { "value": "Benutzer und Gruppen, die von Richtlinien für bedingten Zugriff ausgeschlossen sind, umgehen kritische Sicherheitskontrollen. Ausschlüsse sollten minimiert, mit geschäftlicher Begründung dokumentiert und regelmäßig überprüft werden, um schleichende Rechteanhäufung und unbefugten Zugriff zu verhindern.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Ausschlüsse mit geschäftlicher Begründung dokumentiert und vierteljährlich überprüft", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie alle Richtlinien für bedingten Zugriff, um ausgeschlossene Benutzer und Gruppen zu identifizieren. Dokumentieren Sie die geschäftliche Begründung für jeden Ausschluss und benennen Sie einen Verantwortlichen für die regelmäßige Überprüfung. Entfernen Sie alle Ausschlüsse, für die kein gültiger geschäftlicher Bedarf mehr besteht, und implementieren Sie kompensierende Kontrollen, wo Ausschlüsse erforderlich sind.", "status": "machine-draft" } }, "EIDCA-005": { "name": { "value": "Ungeschützte Gruppen in Ausschlüssen des bedingten Zugriffs", "status": "machine-draft" }, "description": { "value": "Gruppen, die in Ausschlüssen des bedingten Zugriffs verwendet werden und denen Eigentümerschaft, Mitgliedschaftsüberprüfungen oder Zugriffsbeschränkungen fehlen, können von Angreifern ausgenutzt werden, um Sicherheitsrichtlinien zu umgehen. Ein Angreifer, der sich selbst zu einer ungeschützten Ausschlussgruppe hinzufügt, umgeht damit faktisch alle auf diese Gruppe abzielenden Kontrollen des bedingten Zugriffs.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Ausschlussgruppen des bedingten Zugriffs verfügen über zugewiesene Eigentümer, eine eingeschränkte Verwaltung der Mitgliedschaft und aktivierte regelmäßige Zugriffsüberprüfungen", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie alle in Ausschlüssen des bedingten Zugriffs referenzierten Gruppen und überprüfen Sie, ob jede Gruppe über einen zugewiesenen Eigentümer, eingeschränkte Beitritts-/Austrittseinstellungen und einen aktiven Zeitplan für Zugriffsüberprüfungen verfügt. Aktivieren Sie die Funktionen für privilegierte Zugriffsgruppen oder beschränken Sie Änderungen der Gruppenmitgliedschaft ausschließlich auf autorisierte Administratoren. Entfernen Sie alle nicht verwalteten oder verwaisten Gruppen umgehend aus den Ausschlüssen des bedingten Zugriffs.", "status": "machine-draft" } }, "EIDCA-006": { "name": { "value": "Validierung des Ausschlusses von Break-Glass-Konten im bedingten Zugriff", "status": "machine-draft" }, "description": { "value": "Notfallzugriffskonten (Break-Glass) müssen von Richtlinien für bedingten Zugriff ausgeschlossen werden, um den Zugriff bei Ausfällen oder Fehlkonfigurationen sicherzustellen, doch diese Ausschlüsse müssen streng kontrolliert werden. Eine unsachgemäße Konfiguration der Break-Glass-Ausschlüsse kann bei kritischen Vorfällen zu einer vollständigen Aussperrung führen oder unüberwachte Backdoor-Konten schaffen.", "status": "machine-draft" }, "recommendedValue": { "value": "Genau zwei Break-Glass-Konten von allen Richtlinien für bedingten Zugriff ausgeschlossen, mit Überwachung, Warnungen und regelmäßiger Validierung", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie, ob dedizierte Break-Glass-Konten vorhanden sind, von allen Richtlinien für bedingten Zugriff ausgeschlossen sind und nicht für den täglichen Betrieb verwendet werden. Konfigurieren Sie Azure-Monitor-Warnungen, die bei jeder Anmeldeaktivität von Break-Glass-Konten ausgelöst werden. Testen Sie den Zugriff der Break-Glass-Konten vierteljährlich und bewahren Sie die Anmeldeinformationen sicher in einem physischen Tresor oder einem Hardware-Sicherheitsmodul auf.", "status": "machine-draft" } }, "EIDCA-007": { "name": { "value": "MFA-Durchsetzung über bedingten Zugriff", "status": "machine-draft" }, "description": { "value": "Die mehrstufige Authentifizierung sollte über Richtlinien für bedingten Zugriff für alle Benutzer erforderlich sein, um anmeldeinformationsbasierte Angriffe zu verhindern. Ohne MFA-Durchsetzung gewähren allein kompromittierte Kennwörter vollen Zugriff auf Organisationsressourcen, was dies zur wirkungsvollsten Einzelmaßnahme gegen Kontoübernahmen macht.", "status": "machine-draft" }, "recommendedValue": { "value": "MFA für 100 % der Benutzer über alle Cloud-Anwendungen hinweg per bedingtem Zugriff erforderlich", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen Sie eine Richtlinie für bedingten Zugriff, die alle Benutzer und alle Cloud-Anwendungen erfasst, mit einer Gewährungssteuerung, die die mehrstufige Authentifizierung erfordert. Überprüfen Sie, ob die Richtlinie alle Benutzertypen einschließlich Gästen und externen Mitarbeitern abdeckt. Überwachen Sie die Anmeldeprotokolle, um zu bestätigen, dass MFA angefordert wird, und überprüfen Sie die Erkenntnisarbeitsmappe für bedingten Zugriff auf Abdeckungslücken.", "status": "machine-draft" } }, "EIDCA-008": { "name": { "value": "Blockierung der Legacy-Authentifizierung über bedingten Zugriff", "status": "machine-draft" }, "description": { "value": "Legacy-Authentifizierungsprotokolle wie IMAP, POP3, SMTP und ActiveSync unterstützen keine moderne Authentifizierung oder MFA, was sie zu einem primären Angriffsvektor für Password-Spray- und Brute-Force-Angriffe macht. Die Blockierung der Legacy-Authentifizierung über bedingten Zugriff ist unerlässlich, um zu verhindern, dass diese Protokolle MFA-Kontrollen umgehen.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Legacy-Authentifizierungsprotokolle über bedingten Zugriff für alle Benutzer blockiert", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen Sie eine Richtlinie für bedingten Zugriff, die alle Benutzer und alle Cloud-Anwendungen erfasst, mit der Client-Apps-Bedingung, die auf Exchange-ActiveSync-Clients und andere Clients gesetzt ist, und setzen Sie die Gewährungssteuerung auf Zugriff blockieren. Überprüfen Sie, ob die Richtlinie aktiviert ist, und überwachen Sie die Anmeldeprotokolle auf verbleibende Legacy-Authentifizierungsversuche. Stimmen Sie sich mit den Anwendungsverantwortlichen ab, um verbleibende Abhängigkeiten von Legacy-Protokollen auf moderne Authentifizierung umzustellen.", "status": "machine-draft" } }, "EIDCA-009": { "name": { "value": "Anforderung der Gerätekonformität im bedingten Zugriff", "status": "machine-draft" }, "description": { "value": "Richtlinien für bedingten Zugriff sollten Gerätekonformität erfordern, um sicherzustellen, dass nur verwaltete und fehlerfreie Geräte auf Organisationsressourcen zugreifen können. Ohne Anforderungen an die Gerätekonformität können nicht verwaltete oder kompromittierte Geräte auf sensible Daten zugreifen, was das Risiko von Datenexfiltration und Malware-Verbreitung erhöht.", "status": "machine-draft" }, "recommendedValue": { "value": "Gerätekonformität oder hybrider Azure-AD-Beitritt für den Zugriff auf alle Cloud-Anwendungen erforderlich", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen oder aktualisieren Sie Richtlinien für bedingten Zugriff, um Gerätekonformität oder hybriden Azure-AD-Beitritt als Gewährungssteuerung für alle Cloud-Anwendungen zu erfordern. Stellen Sie sicher, dass Intune-Gerätekonformitätsrichtlinien mit angemessenen Sicherheitsbaselines konfiguriert sind, bevor Sie diese Anforderung durchsetzen. Verwenden Sie zunächst den Nur-Bericht-Modus, um die Auswirkungen zu bewerten, und wechseln Sie zur Durchsetzung, nachdem Sie bestätigt haben, dass die Abdeckung verwalteter Geräte ausreichend ist.", "status": "machine-draft" } }, "EIDCA-010": { "name": { "value": "Audit standortbasierter Richtlinien für bedingten Zugriff", "status": "machine-draft" }, "description": { "value": "Standortbasierte Richtlinien für bedingten Zugriff beschränken den Zugriff anhand von IP-Adressbereichen, Ländern oder benannten Standorten. Ohne Standortkontrollen können Angreifer sich von jedem geografischen Standort aus authentifizieren, was es erschwert, unbefugten Zugriff aus verdächtigen oder risikoreichen Regionen zu erkennen und zu verhindern.", "status": "machine-draft" }, "recommendedValue": { "value": "Standortbasierte Richtlinien so konfiguriert, dass sie den Zugriff aus nicht vertrauenswürdigen Standorten blockieren oder zusätzliche Kontrollen erfordern", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die vorhandenen benannten Standorte und stellen Sie sicher, dass vertrauenswürdige Unternehmens-IP-Bereiche und Länder korrekt definiert sind. Erstellen Sie Richtlinien für bedingten Zugriff, die MFA erfordern oder den Zugriff aus nicht vertrauenswürdigen Standorten blockieren, insbesondere für privilegierte Konten und sensible Anwendungen. Aktualisieren Sie die Definitionen der benannten Standorte regelmäßig, wenn sich die Netzwerkinfrastruktur des Unternehmens ändert.", "status": "machine-draft" } }, "EIDCA-011": { "name": { "value": "Überprüfung der Konfiguration benannter Standorte", "status": "machine-draft" }, "description": { "value": "Benannte Standorte definieren vertrauenswürdige und nicht vertrauenswürdige Netzwerkgrenzen, die von Richtlinien für bedingten Zugriff verwendet werden. Fehlkonfigurierte benannte Standorte können zu einem übermäßig freizügigen Zugriff aus nicht vertrauenswürdigen Netzwerken oder zu einem unnötig eingeschränkten Zugriff aus legitimen Unternehmensstandorten führen.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle benannten Standorte spiegeln die aktuellen Netzwerkgrenzen des Unternehmens korrekt wider, mit angemessen als vertrauenswürdig markierten Standorten", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie im Entra Admin Center zum Bereich Benannte Standorte und überprüfen Sie alle konfigurierten Standorte auf Richtigkeit. Stellen Sie sicher, dass vertrauenswürdige Unternehmens-IP-Bereiche aktuell sind und dass länderbasierte Standorte mit der organisatorischen Präsenz übereinstimmen. Entfernen Sie alle veralteten oder ungenutzten benannten Standorte und stellen Sie sicher, dass die Kennzeichnung als vertrauenswürdiger Standort nur auf verifizierte Unternehmensnetzwerke angewendet wird.", "status": "machine-draft" } }, "EIDCA-012": { "name": { "value": "Anmelderisikobasierte Richtlinien für bedingten Zugriff", "status": "machine-draft" }, "description": { "value": "Anmelderisikobasierte Richtlinien für bedingten Zugriff nutzen Signale von Azure AD Identity Protection, um anomales Anmeldeverhalten wie unmögliche Ortswechsel, die Nutzung anonymer IP-Adressen und die Erkennung geleakter Anmeldeinformationen zu erkennen. Ohne risikobasierte Richtlinien können kompromittierte Anmeldeinformationen von verdächtigen Standorten oder Mustern aus verwendet werden, ohne eine zusätzliche Überprüfung auszulösen.", "status": "machine-draft" }, "recommendedValue": { "value": "Richtlinien für bedingten Zugriff so konfiguriert, dass sie bei mittlerem und hohem Anmelderisiko MFA erfordern oder den Zugriff blockieren", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen Sie Richtlinien für bedingten Zugriff, die alle Benutzer mit der Anmelderisikobedingung auf mittel und hoch gesetzt erfassen und die mehrstufige Authentifizierung als Gewährungssteuerung erfordern. Stellen Sie sicher, dass Azure AD Identity Protection aktiviert und ordnungsgemäß lizenziert ist (erfordert Entra ID P2). Überwachen Sie den Bericht über riskante Anmeldungen regelmäßig und passen Sie die Empfindlichkeit der Risikoerkennung an die organisatorischen Muster an.", "status": "machine-draft" } }, "EIDCA-013": { "name": { "value": "Benutzerrisikobasierte Richtlinien für bedingten Zugriff", "status": "machine-draft" }, "description": { "value": "Benutzerrisikobasierte Richtlinien für bedingten Zugriff reagieren auf kumulative Risikosignale, die darauf hindeuten, dass ein Benutzerkonto kompromittiert sein könnte, etwa geleakte Anmeldeinformationen oder anomale Aktivitätsmuster. Ohne Benutzerrisikorichtlinien arbeiten Konten, die von Identity Protection als kompromittiert markiert wurden, weiterhin normal, ohne dass Kennwortänderungen oder zusätzliche Überprüfungen erforderlich sind.", "status": "machine-draft" }, "recommendedValue": { "value": "Richtlinien für bedingten Zugriff so konfiguriert, dass sie bei hohem Benutzerrisiko eine Kennwortänderung und bei mittlerem Benutzerrisiko MFA erfordern", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen Sie Richtlinien für bedingten Zugriff, die alle Benutzer mit der Benutzerrisikobedingung auf mittel und hoch gesetzt erfassen und bei hohem Risiko eine sichere Kennwortänderung als Gewährungssteuerung und bei mittlerem Risiko MFA erfordern. Stellen Sie sicher, dass die Self-Service-Kennwortzurücksetzung (SSPR) für alle Benutzer aktiviert und registriert ist, um eine automatisierte Behebung zu ermöglichen. Überprüfen Sie den Bericht über riskante Benutzer regelmäßig und untersuchen Sie Konten, die auf einem erhöhten Risikoniveau verbleiben.", "status": "machine-draft" } }, "EIDCA-014": { "name": { "value": "Audit der Sitzungssteuerungen", "status": "machine-draft" }, "description": { "value": "Sitzungssteuerungen des bedingten Zugriffs regeln die Anmeldehäufigkeit und die Persistenz von Browsersitzungen. Ohne geeignete Sitzungssteuerungen können Benutzer unbegrenzt authentifiziert bleiben, was das Zeitfenster für Sitzungsübernahmen und Tokendiebstahlangriffe vergrößert.", "status": "machine-draft" }, "recommendedValue": { "value": "Anmeldehäufigkeit auf höchstens 24 Stunden für sensible Anwendungen gesetzt, mit deaktivierten persistenten Browsersitzungen", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie Richtlinien für bedingten Zugriff auf Konfigurationen der Sitzungssteuerung, einschließlich Anmeldehäufigkeit und Einstellungen für persistente Browsersitzungen. Konfigurieren Sie die Anmeldehäufigkeit auf angemessene Intervalle je nach Sensibilität der Anwendung, mit kürzeren Intervallen für privilegierten Zugriff. Deaktivieren Sie persistente Browsersitzungen für sensible Anwendungen, damit Token ablaufen und eine erneute Authentifizierung erfordern.", "status": "machine-draft" } }, "EIDCA-015": { "name": { "value": "What-If-Simulation des bedingten Zugriffs für Angriffsszenarien", "status": "machine-draft" }, "description": { "value": "Das What-If-Werkzeug für bedingten Zugriff ermöglicht die Simulation von Anmeldeszenarien, um das Richtlinienverhalten gegenüber gängigen Angriffsmustern zu validieren. Ohne regelmäßige What-If-Tests können Fehlkonfigurationen oder Lücken in Richtlinien unentdeckt bleiben, bis sie von einem Angreifer ausgenutzt werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Vierteljährliche What-If-Simulationen, die gängige Angriffsszenarien abdecken, einschließlich externem Angreifer, kompromittiertem Gerät und Legacy-Authentifizierungsversuchen", "status": "machine-draft" }, "remediationSteps": { "value": "Verwenden Sie das What-If-Werkzeug für bedingten Zugriff, um Anmeldeszenarien für gängige Angriffsmuster wie externe MFA-Umgehung, Legacy-Authentifizierungsversuche, Zugriff über nicht verwaltete Geräte und Nutzung kompromittierter Anmeldeinformationen zu simulieren. Dokumentieren Sie die Ergebnisse jeder Simulation und beheben Sie alle Richtlinien, die den simulierten Angriff nicht blockieren. Nehmen Sie What-If-Tests in den Änderungsmanagementprozess für alle Änderungen an Richtlinien für bedingten Zugriff auf.", "status": "machine-draft" } }, "EIDCA-016": { "name": { "value": "Export der Dokumentation von Richtlinien für bedingten Zugriff", "status": "machine-draft" }, "description": { "value": "Ein vollständiger Export aller Richtlinien für bedingten Zugriff sollte zu Zwecken der Dokumentation, Notfallwiederherstellung und Compliance-Prüfung erzeugt werden. Ohne dokumentierte Richtlinienexporte erfordert der Wiederaufbau von Richtlinien für bedingten Zugriff nach einer Mandantenkompromittierung oder versehentlichen Löschung erheblichen Aufwand und kann zu Sicherheitslücken führen.", "status": "machine-draft" }, "recommendedValue": { "value": "Vollständiger Export der Richtlinien für bedingten Zugriff erzeugt und in einem sicheren, versionierten Repository gespeichert, das nach jeder Richtlinienänderung aktualisiert wird", "status": "machine-draft" }, "remediationSteps": { "value": "Exportieren Sie alle Richtlinien für bedingten Zugriff über die Microsoft Graph API oder das Entra Admin Center und speichern Sie die Ausgabe in einem sicheren, versionsgesteuerten Repository. Etablieren Sie einen automatisierten Prozess, um Momentaufnahmen der Richtlinien nach einem regelmäßigen Zeitplan oder ausgelöst durch Richtlinienänderungen zu erfassen. Nehmen Sie den Export in Ihren Notfallwiederherstellungsplan für den Mandanten auf und validieren Sie, dass die Richtlinien aus dem Export wiederhergestellt werden können.", "status": "machine-draft" } }, "EIDCA-017": { "name": { "value": "Benachrichtigung von Administratoren über Benutzer mit hohem Risiko", "status": "machine-draft" }, "description": { "value": "Identity Protection kann Administratoren per E-Mail benachrichtigen, wenn Benutzer als hochriskant markiert werden, und ermöglicht so eine proaktive Untersuchung und Eindämmung einer wahrscheinlichen Kontokompromittierung, während sie auftritt. SCuBA empfiehlt, dass eine solche Benachrichtigung bei der Erkennung von Benutzern mit hohem Risiko an Administratoren gesendet wird. Die Konfiguration der Empfänger der Identity-Protection-Benachrichtigung „Benutzer mit erkanntem Risiko“ ist nicht über einen stabilen, schreibgeschützten Microsoft-Graph-Endpunkt verfügbar, sodass eine agentenlose Bewertung sie nicht positiv bestätigen kann; diese Prüfung benennt die Anforderung ehrlich und meldet, ob die zugrunde liegende Telemetrie zur Risikoerkennung im Mandanten überhaupt verfügbar ist, anstatt eine Compliance zu behaupten, die sie nicht verifizieren kann.", "status": "machine-draft" }, "recommendedValue": { "value": "Identity Protection so konfiguriert, dass Administratoren per E-Mail benachrichtigt werden, wenn Benutzer mit hohem Risiko erkannt werden", "status": "machine-draft" }, "remediationSteps": { "value": "Konfigurieren Sie die Benachrichtigung über Benutzer mit hohem Risiko, um SCuBA MS.AAD.2.2 zu erfüllen. Gehen Sie in Entra ID zu Schutz > Identity Protection > Benachrichtigungen und stellen Sie die Warnungen „Benutzer mit erkanntem Risiko“ so ein, dass sie den zuständigen Sicherheitsadministratoren oder einer überwachten Verteilerliste des Sicherheitsbetriebs eine E-Mail senden. Diese Kontrolle erfordert Entra ID P2 (Identity Protection). Da die Empfängerliste der Benachrichtigung nicht agentenlos über Microsoft Graph auslesbar ist, überprüfen Sie die Einstellung manuell im Portal.", "status": "machine-draft" } }, "EIDCA-018": { "name": { "value": "Verwaltetes Gerät für MFA-Registrierung erforderlich", "status": "machine-draft" }, "description": { "value": "Das Erfordernis eines von der Behörde verwalteten (konformen oder hybrid mit Entra verbundenen) Geräts für die Aktion zur Registrierung von Sicherheitsinformationen verringert das Risiko, dass ein Angreifer gestohlene Anmeldeinformationen nutzt, um seine eigene MFA-Methode zu registrieren und Persistenz herzustellen. SCuBA empfiehlt, dass für die MFA-Registrierung verwaltete Geräte erforderlich sind. Dies wird als Richtlinie für bedingten Zugriff umgesetzt, die auf die Benutzeraktion „Sicherheitsinformationen registrieren“ abzielt und ein konformes Gerät oder ein hybrid mit Entra ID verbundenes Gerät als Gewährungssteuerung erfordert. Diese Prüfung untersucht aktivierte Richtlinien für bedingten Zugriff auf diese Konfiguration.", "status": "machine-draft" }, "recommendedValue": { "value": "Eine aktivierte Richtlinie für bedingten Zugriff zielt auf die Benutzeraktion zur Registrierung von Sicherheitsinformationen ab und erfordert ein konformes oder hybrid mit Entra ID verbundenes Gerät", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen Sie eine Richtlinie für bedingten Zugriff, die für die MFA-Registrierung ein verwaltetes Gerät erfordert, um SCuBA MS.AAD.3.8 zu erfüllen. Zielen Sie auf die Benutzeraktion „Sicherheitsinformationen registrieren“ ab, wenden Sie sie auf alle Benutzer an (mit Ausnahme der Break-Glass-Konten) und setzen Sie die Gewährungssteuerung so, dass ein konformes Gerät oder ein hybrid mit Entra ID verbundenes Gerät erforderlich ist. Führen Sie einen Pilotversuch im Nur-Bericht-Modus durch, stellen Sie sicher, dass ein Bootstrap-Pfad für neue Geräte vorhanden ist (zum Beispiel ein Temporary Access Pass), und aktivieren Sie anschließend die Durchsetzung.", "status": "machine-draft" } } } |