Data/Locales/checks/de/EntraFedChecks.json
|
{ "_family": "EntraFedChecks.json", "EIDFED-001": { "name": { "value": "Aufzählung föderierter Domänen", "status": "machine-draft" }, "description": { "value": "Ein vollständiges Inventar aller föderierten Domänen im Mandanten schafft Sichtbarkeit darüber, wie die Authentifizierung für jede Domäne konfiguriert ist. Föderierte Domänen leiten die Authentifizierung an externe Identitätsanbieter um, die ordnungsgemäß abgesichert und überwacht werden müssen. Dieses grundlegende Inventar ermöglicht die Bewertung der Föderations-Angriffsfläche und identifiziert Domänen, die von Angreifern im Rahmen eines Golden-SAML- oder Backdoor-Föderationsangriffs konfiguriert worden sein könnten.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle föderierten Domänen inventarisiert, mit dokumentierten Identitätsanbieter-Endpunkten, Signaturzertifikaten und geschäftlicher Begründung", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie mit Microsoft Graph alle Domänen im Mandanten auf und identifizieren Sie diejenigen, für die eine Föderationsauthentifizierung konfiguriert ist. Dokumentieren Sie für jede föderierte Domäne den Identitätsanbieter-Endpunkt, die Details des Signaturzertifikats und das Föderationsprotokoll. Überprüfen Sie, ob jede Föderationsvertrauensstellung autorisiert ist und einem bekannten, legitimen Identitätsanbieter unter organisatorischer Kontrolle entspricht.", "status": "machine-draft" } }, "EIDFED-002": { "name": { "value": "Gültigkeitsdauer des Föderations-Signaturzertifikats", "status": "machine-draft" }, "description": { "value": "Föderations-Signaturzertifikate mit übermäßig langen Gültigkeitsdauern bieten Angreifern, die den privaten Schlüssel erlangen, ein erweitertes Zeitfenster, um SAML-Token zu fälschen und dauerhaften unbefugten Zugriff aufrechtzuerhalten. Zertifikate mit einer Gültigkeitsdauer von mehr als 3 Jahren weichen von den Best Practices der Sicherheit ab und können auf ein kompromittiertes oder von Angreifern erstelltes Zertifikat hindeuten. Kurzlebige Zertifikate begrenzen die Dauer eines möglichen Missbrauchs, falls der private Schlüssel kompromittiert wird.", "status": "machine-draft" }, "recommendedValue": { "value": "Föderations-Signaturzertifikate mit Gültigkeitsdauern von höchstens 1 Jahr und vorhandenen automatisierten Rotationsverfahren", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Signaturzertifikate aller föderierten Domänen und prüfen Sie deren Daten NotBefore und NotAfter, um die Gültigkeitsdauer zu bestimmen. Ersetzen Sie alle Zertifikate mit einer Gültigkeitsdauer von mehr als 3 Jahren durch neue Zertifikate mit kürzerer Lebensdauer im Einklang mit der Zertifikatsrichtlinie der Organisation. Implementieren Sie automatisierte Verfahren zur Zertifikatsrotation und konfigurieren Sie Überwachungswarnungen für Zertifikate, die sich dem Ablauf nähern.", "status": "machine-draft" } }, "EIDFED-003": { "name": { "value": "Nichtübereinstimmung von Aussteller und Antragsteller im Föderations-Signaturzertifikat", "status": "machine-draft" }, "description": { "value": "Eine Nichtübereinstimmung zwischen den Feldern für Aussteller und Antragsteller (Issuer/Subject) eines Föderations-Signaturzertifikats ist ein starker Hinweis auf einen möglichen Golden-SAML-Angriff, bei dem ein Angreifer das legitime Signaturzertifikat durch ein von ihm kontrolliertes ersetzt hat. Bei einem Golden-SAML-Angriff erzeugt der Angreifer ein selbstsigniertes Zertifikat mit beliebigen Aussteller-/Antragstellerwerten und konfiguriert es als Signaturzertifikat der Föderationsvertrauensstellung, wodurch er SAML-Token für jeden beliebigen Benutzer fälschen kann. Jede Nichtübereinstimmung von Aussteller und Antragsteller, die nicht der erwarteten Zertifizierungsstellenkette entspricht, erfordert eine sofortige Untersuchung.", "status": "machine-draft" }, "recommendedValue": { "value": "Die Felder für Aussteller und Antragsteller des Föderations-Signaturzertifikats stimmen mit der erwarteten PKI-Kette der Organisation überein, ohne unerwartete selbstsignierte Zertifikate", "status": "machine-draft" }, "remediationSteps": { "value": "Extrahieren Sie das Signaturzertifikat aus jeder föderierten Domänenvertrauensstellung und vergleichen Sie die Felder für Aussteller und Antragsteller mit Ihrer erwarteten PKI-Hierarchie der Organisation. Untersuchen Sie alle Zertifikate, bei denen der Aussteller nicht Ihrer bekannten Zertifizierungsstelle entspricht oder bei denen der Antragsteller unerwartete Werte enthält. Wird eine Nichtübereinstimmung festgestellt, behandeln Sie dies als möglichen Sicherheitsvorfall, rotieren Sie das Föderations-Signaturzertifikat umgehend und überprüfen Sie die Überwachungsprotokolle auf unbefugte Änderungen der Föderationskonfiguration.", "status": "machine-draft" } }, "EIDFED-004": { "name": { "value": "Analyse der Metadaten von Föderationsvertrauensstellungen", "status": "machine-draft" }, "description": { "value": "Die Metadaten einer Föderationsvertrauensstellung definieren die Identitätsanbieter-Endpunkte, unterstützten Protokolle und die Konfiguration der Tokensignierung, die für die föderierte Authentifizierung verwendet werden. Manipulierte Metadaten können Authentifizierungsflüsse zu von Angreifern kontrollierten Endpunkten umleiten oder betrügerische Signaturzertifikate einführen und damit Tokenfälschung und Identitätsdiebstahl ermöglichen. Die URL des Metadaten-Endpunkts, die passiven und aktiven Endpunkte sowie die Konfigurationen des Signaturalgorithmus sollten anhand bekannter, vertrauenswürdiger Werte validiert werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Metadaten von Föderationsvertrauensstellungen anhand einer bekannten, vertrauenswürdigen Ausgangsbasis validiert; Metadaten-Aktualisierungs-URLs verweisen auf von der Organisation kontrollierte Endpunkte", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Föderationskonfiguration jeder föderierten Domäne, einschließlich der Metadaten-Austausch-URI, des passiven Anmeldeendpunkts, der Aussteller-URI und der Details des Signaturzertifikats. Vergleichen Sie die aktuellen Werte mit einer dokumentierten Ausgangskonfiguration, um unbefugte Änderungen zu erkennen. Stellen Sie sicher, dass Metadaten-Aktualisierungsendpunkte HTTPS verwenden und auf von der Organisation kontrollierte Infrastruktur verweisen, und validieren Sie, dass Signaturalgorithmen SHA-256 oder stärker verwenden.", "status": "machine-draft" } }, "EIDFED-005": { "name": { "value": "Überprüfung der Azure-AD-Connect-Konfiguration", "status": "machine-draft" }, "description": { "value": "Azure AD Connect synchronisiert lokale Active-Directory-Objekte mit Entra ID und ist eine kritische Komponente der Architektur hybrider Identitäten. Fehlkonfigurierte Azure-AD-Connect-Einstellungen können sensible Attribute in der Cloud offenlegen, unbeabsichtigte Pfade zur Rechteausweitung schaffen oder Angreifern mit lokalem Zugriff erlauben, Cloud-Identitäten zu manipulieren. Die Berechtigungen des Connector-Kontos, die Synchronisierungsregeln und die Funktionskonfiguration sollten anhand von Sicherheits-Best-Practices überprüft werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Azure AD Connect mit Connector-Konten nach dem Prinzip der geringsten Rechte, gehärteten Synchronisierungsregeln und allen aktivierten Sicherheitsfunktionen konfiguriert", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Azure-AD-Connect-Konfiguration, einschließlich der Berechtigungen des Connector-Kontos, der Synchronisierungsregeln und der aktivierten Funktionen. Stellen Sie sicher, dass das AD-DS-Connector-Konto die minimal erforderlichen Berechtigungen verwendet und dass das Entra-ID-Connector-Konto ein dediziertes, ausschließlich in der Cloud vorhandenes Dienstkonto ist. Überprüfen Sie, ob der Azure-AD-Connect-Server als Tier-0-Ressource mit eingeschränktem administrativem Zugriff und umfassender Überwachung behandelt wird.", "status": "machine-draft" } }, "EIDFED-006": { "name": { "value": "Audit des Azure-AD-Connect-Synchronisierungsbereichs", "status": "machine-draft" }, "description": { "value": "Der Synchronisierungsbereich in Azure AD Connect bestimmt, welche lokalen Organisationseinheiten, Gruppen und Attribute nach Entra ID repliziert werden. Ein zu breit gefasster Synchronisierungsbereich kann sensible Dienstkonten, administrative Konten oder Sicherheitsgruppen replizieren, die ausschließlich lokal verbleiben sollten. Umgekehrt kann ein unsachgemäß eingeschränkter Bereich dazu führen, dass Konten, die Cloud-Zugriff benötigen, nicht synchronisiert werden, was Authentifizierungsfehler verursacht.", "status": "machine-draft" }, "recommendedValue": { "value": "Synchronisierungsbereich ausschließlich auf erforderliche Organisationseinheiten und Objekte beschränkt, mit ausgeschlossenen sensiblen Dienstkonten und administrativen Objekten", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie den Azure-AD-Connect-Synchronisierungsbereich, einschließlich der OU-Filterung, der gruppenbasierten Filterung und der Filterregeln auf Attributebene. Stellen Sie sicher, dass nur OUs mit Benutzerkonten, die Cloud-Zugriff benötigen, im Synchronisierungsbereich enthalten sind. Schließen Sie sensible lokale Dienstkonten, administrative Konten und Sicherheitsgruppen aus, die keine Cloud-Repräsentation benötigen, und dokumentieren Sie die Begründung für jede einbezogene OU.", "status": "machine-draft" } }, "EIDFED-007": { "name": { "value": "Aktivierungsstatus der Kennworthashsynchronisierung", "status": "machine-draft" }, "description": { "value": "Die Kennworthashsynchronisierung (Password Hash Synchronization, PHS) repliziert einen Hash der lokalen Kennworthashes nach Entra ID und ermöglicht die Cloud-Authentifizierung als Ausfallsicherung, wenn Föderation oder Pass-Through-Authentifizierung nicht verfügbar sind. Zwar bietet PHS Ausfallsicherheit und ermöglicht über Entra ID Identity Protection die Erkennung geleakter Anmeldeinformationen, doch müssen Organisationen die Sicherheitsimplikationen des Speicherns von Kennwortableitungen in der Cloud verstehen. PHS sollte anhand der Sicherheitsanforderungen und der Risikobereitschaft der Organisation bewertet werden.", "status": "machine-draft" }, "recommendedValue": { "value": "PHS als Ausfallsicherungs-Authentifizierungsmethode aktiviert, mit aktiver Erkennung geleakter Anmeldeinformationen über Entra ID Identity Protection", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie die Azure-AD-Connect-Konfiguration, um festzustellen, ob die Kennworthashsynchronisierung aktiviert ist. Ist PHS deaktiviert, prüfen Sie die Aktivierung als Ausfallsicherungs-Authentifizierungsmethode und zur Unterstützung der Erkennung geleakter Anmeldeinformationen durch Entra ID Identity Protection. Ist PHS bereits aktiviert, überprüfen Sie, ob Entra ID Identity Protection so konfiguriert ist, dass die Kennworthashes für eine risikobasierte Erkennung kompromittierter Anmeldeinformationen genutzt werden.", "status": "machine-draft" } }, "EIDFED-008": { "name": { "value": "Status der Pass-Through-Authentifizierungs-Agents", "status": "machine-draft" }, "description": { "value": "Die Pass-Through-Authentifizierung (PTA) validiert Benutzerkennwörter in Echtzeit gegen das lokale Active Directory, ohne Kennworthashes in der Cloud zu speichern. PTA-Agents, die auf lokalen Servern ausgeführt werden, müssen ordnungsgemäß abgesichert, überwacht und aktuell gehalten werden, da ein kompromittierter PTA-Agent so manipuliert werden könnte, dass er jedes Kennwort akzeptiert oder während der Authentifizierung Anmeldeinformationen abfängt. Agent-Zustand, Versionsaktualität und Sicherheitslage des Servers sind entscheidend für die Wahrung der Authentifizierungsintegrität.", "status": "machine-draft" }, "recommendedValue": { "value": "Mindestens 2 PTA-Agents auf gehärteten Servern mit aktuellen Agent-Versionen und aktivierter Zustandsüberwachung bereitgestellt", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie den PTA-Agent-Status unter Entra ID > Hybridverwaltung > Azure AD Connect > Pass-Through-Authentifizierung. Stellen Sie sicher, dass zur Redundanz mindestens zwei Agents bereitgestellt sind und alle Agents einen fehlerfreien Status mit aktuellen Softwareversionen aufweisen. Stellen Sie sicher, dass PTA-Agent-Server als Tier-0-Ressourcen mit eingeschränktem administrativem Zugriff, aktuellen Sicherheitspatches und umfassender Überwachung des Ereignisprotokolls behandelt werden.", "status": "machine-draft" } }, "EIDFED-009": { "name": { "value": "Bewertung der AD-FS-Serverkonfiguration", "status": "machine-draft" }, "description": { "value": "Active Directory Federation Services (AD FS)-Server wickeln die Authentifizierung für föderierte Domänen ab und verarbeiten sicherheitskritische SAML-Token. Fehlkonfigurierte AD-FS-Einstellungen wie schwache Algorithmen zur Tokensignierung, deaktivierte Überwachungsprotokollierung, zu freizügiger Extranetzugriff oder veraltete Anspruchsregeln können für Tokenfälschung, das Sammeln von Anmeldeinformationen oder unbefugten Zugriff ausgenutzt werden. Die AD-FS-Konfiguration sollte regelmäßig anhand der Sicherheitsbaselines und Härtungsleitfäden von Microsoft bewertet werden.", "status": "machine-draft" }, "recommendedValue": { "value": "AD-FS-Server gemäß Microsoft-Sicherheitsbaseline mit SHA-256-Signierung, umfassender Überwachungsprotokollierung und aktuellen Windows-Server-Patches konfiguriert", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die AD-FS-Serverkonfiguration, einschließlich des Algorithmus zur Tokensignierung (sollte SHA-256 sein), der Überwachungsprotokolleinstellungen (sollten Erfolgs- und Fehlerereignisse erfassen), der Extranet-Zugriffsrichtlinien und der Komplexität der Anspruchsregeln. Stellen Sie sicher, dass auf den AD-FS-Servern die neuesten Windows-Server-Patches ausgeführt werden und dass die AD-FS-Farm mit redundanten Servern konfiguriert ist. Validieren Sie, dass das AD-FS-Dienstkonto dem Prinzip der geringsten Rechte folgt und dass der private Schlüssel des Tokensignaturzertifikats ordnungsgemäß geschützt ist.", "status": "machine-draft" } }, "EIDFED-010": { "name": { "value": "AD-FS-Extranet-Sperreinstellungen", "status": "machine-draft" }, "description": { "value": "Die AD-FS-Extranet-Sperre schützt vor Brute-Force- und Password-Spray-Angriffen auf den dem Internet ausgesetzten AD-FS-Endpunkt. Ohne eine ordnungsgemäße Konfiguration der Extranet-Sperre können Angreifer über den AD-FS-Proxy unbegrenzt Kennwörter für jedes föderierte Konto erraten und dabei möglicherweise Konten mit schwachen oder häufig verwendeten Kennwörtern kompromittieren. Die Smart-Lockout-Funktion in AD FS bietet Schutz und minimiert zugleich die Auswirkungen von Sperren auf legitime Benutzer.", "status": "machine-draft" }, "recommendedValue": { "value": "Extranet-Smart-Lockout aktiviert, mit angemessenem Schwellenwert und konfiguriertem Beobachtungszeitraum zur Verhinderung von Brute-Force-Angriffen", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Konfiguration der AD-FS-Extranet-Sperre mit Get-AdfsProperties in PowerShell auf dem AD-FS-Server. Aktivieren Sie den Extranet-Smart-Lockout, falls noch nicht aktiv, und konfigurieren Sie einen angemessenen Sperrschwellenwert und Beobachtungszeitraum auf Grundlage der Authentifizierungsmuster Ihrer Organisation. Überwachen Sie die AD-FS-Sicherheitsprotokolle auf Extranet-Sperrereignisse und passen Sie die Schwellenwerte an, falls legitime Benutzer gesperrt werden oder Brute-Force-Versuche erfolgreich sind.", "status": "machine-draft" } }, "EIDFED-011": { "name": { "value": "Konfiguration des hybriden Beitritts (Hybrid Join)", "status": "machine-draft" }, "description": { "value": "Der hybride Azure-AD-Beitritt registriert lokale, in eine Domäne eingebundene Geräte bei Entra ID und ermöglicht Richtlinien für bedingten Zugriff, die Gerätekonformität oder Domänenbeitrittsstatus erfordern. Fehlkonfigurierte Hybrid-Join-Einstellungen können dazu führen, dass Geräte sich nicht registrieren, wodurch Benutzer gerätebasierte Anforderungen des bedingten Zugriffs nicht erfüllen können, oder sie können die Registrierung nicht autorisierter Geräte zulassen, falls der Dienstverbindungspunkt nicht ordnungsgemäß abgesichert ist. Die Konfiguration sollte durchgängig validiert werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Hybrider Azure-AD-Beitritt konfiguriert und funktionsfähig, mit ordnungsgemäß abgesichertem Dienstverbindungspunkt und überprüfter Geräteregistrierung für alle Ziel-OUs", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Konfiguration des Dienstverbindungspunkts (Service Connection Point, SCP) in Active Directory und stellen Sie sicher, dass er auf den richtigen Entra-ID-Mandanten verweist. Prüfen Sie, ob die Hybrid-Join-Konfiguration in Azure AD Connect die richtigen Domänen enthält und ob die erforderlichen Endpunkte für die Unternehmensregistrierung von Clientgeräten aus erreichbar sind. Validieren Sie, dass sich Geräte erfolgreich registrieren, indem Sie die Geräteliste in Entra ID überprüfen und alle Geräte mit ausstehendem Status untersuchen und beheben.", "status": "machine-draft" } }, "EIDFED-012": { "name": { "value": "Analyse von reinen Cloud-Konten gegenüber synchronisierten Konten", "status": "machine-draft" }, "description": { "value": "Das Verständnis der Verteilung von reinen Cloud-Konten gegenüber lokal synchronisierten Konten schafft Sichtbarkeit über die Landschaft hybrider Identitäten und hilft, mögliche Sicherheitslücken zu erkennen. Reine Cloud-Konten werden vollständig in Entra ID verwaltet, während synchronisierte Konten aus dem lokalen Active Directory stammen und dessen Sicherheitslage erben. Diese Analyse hilft, Konten zu identifizieren, die reine Cloud-Konten sein sollten, aber synchronisiert werden, oder umgekehrt, und unterstützt Entscheidungen über die Auswahl der Authentifizierungsmethode und die Platzierung von Sicherheitskontrollen.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Konten als reines Cloud-Konto oder synchronisiert kategorisiert, mit Dokumentation des erwarteten Zustands je Kontotyp und Rolle", "status": "machine-draft" }, "remediationSteps": { "value": "Exportieren Sie alle Benutzerkonten aus Entra ID und kategorisieren Sie sie anhand der Eigenschaft onPremisesSyncEnabled, um zu bestimmen, welche Konten aus der lokalen Umgebung synchronisiert werden und welche reine Cloud-Konten sind. Stellen Sie sicher, dass privilegierte administrative Konten reine Cloud-Konten sind, um zu verhindern, dass eine lokale Kompromittierung die Cloud-Administration beeinträchtigt. Dokumentieren Sie die erwartete Identitätsquelle für jeden Kontotyp und untersuchen Sie alle Konten, deren tatsächliche Quelle nicht der erwarteten Konfiguration entspricht.", "status": "machine-draft" } }, "EIDFED-013": { "name": { "value": "Versionsaktualität des Entra-Connect-Synchronisierungsclients", "status": "machine-draft" }, "description": { "value": "Microsoft Entra Connect (früher Azure AD Connect) ist der Synchronisierungsclient, der lokale Active-Directory-Identitäten in Entra ID repliziert, und eine hybride Tier-0-Komponente: Eine Kompromittierung des Connect-Servers kann zu gefälschten oder manipulierten Cloud-Identitäten und mandantenweiten Auswirkungen führen. Microsoft veröffentlicht regelmäßig Entra-Connect-Builds, die nicht offengelegte Sicherheitskorrekturen enthalten und von einer beschleunigten Anweisung „sofort aktualisieren“ begleitet werden. Ein Connect-Server, der einen Build unterhalb der minimal sicheren Ausgangsbasis ausführt, ist eine ungepatchte Tier-0-Ressource, die bekannten, aber nicht offengelegten Schwachstellen ausgesetzt ist. Da die Version ein Attribut des lokalen Connect-Servers und keine Eigenschaft des Cloud-Verzeichnisses ist, muss die Versionsaktualität verbindlich auf dem Connect-Host bestätigt werden; kann sie nicht gelesen werden, muss sie zur manuellen Überprüfung gemeldet werden, anstatt als konform angenommen zu werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Entra Connect auf den neuesten verfügbaren Build aktualisiert (auf oder über der minimal sicheren Ausgangsbasis), mit aktiviertem automatischem Upgrade, wo unterstützt, und dem Connect-Server, der als Tier-0-Ressource verwaltet wird", "status": "machine-draft" }, "remediationSteps": { "value": "Ermitteln Sie den installierten Entra-Connect-Build auf dem Synchronisierungsserver über den Registrierungsschlüssel HKLM\\SOFTWARE\\Microsoft\\Azure AD Connect oder mit Get-ADSyncGlobalSettings und vergleichen Sie ihn mit dem neuesten von Microsoft veröffentlichten Build. Aktualisieren Sie Entra Connect auf die neueste Version, um Sicherheitskorrekturen anzuwenden, und aktivieren Sie das automatische Upgrade, sofern die Bereitstellung dies unterstützt. Behandeln Sie den Entra-Connect-Server als Tier-0-Ressource: Beschränken Sie den administrativen Zugriff, wenden Sie aktuelle Betriebssystempatches an und aktivieren Sie eine umfassende Überwachung. Dokumentieren Sie einen wiederkehrenden Prozess, um die Versionshinweise von Microsoft Entra Connect zu verfolgen und Sicherheitsbuilds zeitnah anzuwenden.", "status": "machine-draft" } } } |