Data/Locales/checks/de/EntraPIMChecks.json
|
{ "_family": "EntraPIMChecks.json", "EIDPIM-001": { "name": { "value": "Aufzählung der globalen Administratoren", "status": "machine-draft" }, "description": { "value": "Die Rolle „Globaler Administrator“ gewährt uneingeschränkten Zugriff auf alle Dienste von Microsoft 365 und Entra ID und ist damit die Rolle mit den höchsten Berechtigungen im Mandanten. Organisationen sollten mindestens 2 und höchstens 4 globale Administratoren vorhalten, um betriebliche Ausfallsicherheit mit dem Prinzip der geringsten Rechte in Einklang zu bringen. Übermäßig viele Zuweisungen der Rolle „Globaler Administrator“ vergrößern die Angriffsfläche für den Diebstahl von Anmeldeinformationen und die mandantenweite Kompromittierung dramatisch", "status": "machine-draft" }, "recommendedValue": { "value": "Maximal 2 bis 4 globale Administratoren", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Rollen und Administratoren > Globaler Administrator und überprüfen Sie alle zugewiesenen Benutzer. Entfernen Sie unnötige dauerhafte Zuweisungen und stellen Sie sicher, dass nicht mehr als 4 Konten diese Rolle innehaben. Wandeln Sie dauerhafte Zuweisungen nach Möglichkeit in berechtigte PIM-Zuweisungen um", "status": "machine-draft" } }, "EIDPIM-002": { "name": { "value": "Alle Zuweisungen privilegierter Rollen", "status": "machine-draft" }, "description": { "value": "Ein umfassendes Inventar aller Zuweisungen privilegierter Rollen, das sowohl dauerhafte (aktive) als auch berechtigte (Just-in-Time-)Zuweisungen umfasst, ist entscheidend für das Verständnis der Landschaft des privilegierten Zugriffs. Diese Aufzählung schafft Sichtbarkeit darüber, wie viele Benutzer erhöhte Berechtigungen innehaben und ob die Zuweisungen dem Prinzip der geringsten Rechte folgen. Eine regelmäßige Überprüfung dieses Inventars hilft, Rollenwildwuchs und überprivilegierte Konten zu erkennen", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Zuweisungen privilegierter Rollen dokumentiert und vierteljährlich überprüft. Berechtigte Zuweisungen sind dauerhaften vorzuziehen", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle Rollenzuweisungen in Entra ID > Rollen und Administratoren für jede privilegierte Rolle. Dokumentieren Sie alle dauerhaften und berechtigten Zuweisungen mit geschäftlicher Begründung. Etablieren Sie einen vierteljährlichen Zugriffsüberprüfungsprozess, um den fortbestehenden Bedarf jeder Zuweisung zu validieren", "status": "machine-draft" } }, "EIDPIM-003": { "name": { "value": "Dauerhafte Zuweisungen privilegierter Rollen", "status": "machine-draft" }, "description": { "value": "Dauerhafte (aktive) Zuweisungen privilegierter Rollen bieten ständigen administrativen Zugriff ohne zeitliche Begrenzung oder Aktivierungsanforderungen. Diese dauerhaften Zuweisungen sollten über PIM in berechtigte (Just-in-Time-)Zuweisungen umgewandelt werden, die eine ausdrückliche Aktivierung mit Begründung, Genehmigung und zeitlich begrenzten Zugriffsfenstern erfordern. Ständiger privilegierter Zugriff erhöht das Risiko und die Auswirkungen einer Kompromittierung von Anmeldeinformationen, da der Angreifer ohne zusätzliche Kontrollen sofort erhöhten Zugriff erhält", "status": "machine-draft" }, "recommendedValue": { "value": "Keine dauerhaften Zuweisungen privilegierter Rollen mit Ausnahme von Break-Glass-Konten. Alle anderen privilegierten Zuweisungen sollten PIM-berechtigt sein", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Rollen und Administratoren und identifizieren Sie alle dauerhaften Rollenzuweisungen. Wandeln Sie jede dauerhafte Zuweisung über PIM in eine berechtigte Zuweisung um, indem Sie die aktive Zuweisung entfernen und eine entsprechende berechtigte Zuweisung erstellen. Nur Break-Glass-Konten sollten dauerhafte Zuweisungen der Rolle „Globaler Administrator“ behalten", "status": "machine-draft" } }, "EIDPIM-004": { "name": { "value": "Zuweisungen privilegierter Rollen an Gastbenutzer", "status": "machine-draft" }, "description": { "value": "Gast- oder externe Benutzer mit privilegierten Entra-ID-Rollenzuweisungen stellen ein erhebliches Lieferketten- und Drittanbieterrisiko dar. Diese Konten stammen aus externen Organisationen und unterliegen nicht denselben Sicherheitskontrollen, Kennwortrichtlinien oder Überwachungen wie interne Konten. Ein kompromittiertes Gastkonto mit administrativen Berechtigungen kann zur vollständigen Mandantenkompromittierung führen und ist zugleich durch die normale interne Sicherheitsüberwachung schwer zu erkennen", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Gast- oder externen Benutzer, die privilegierten Entra-ID-Rollen zugewiesen sind", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle Zuweisungen privilegierter Rollen und identifizieren Sie alle Mitglieder mit dem userType „Guest“. Entfernen Sie umgehend die Zuweisungen privilegierter Rollen von allen Gastkonten. Ist externer administrativer Zugriff erforderlich, stellen Sie dedizierte, ausschließlich in der Cloud vorhandene Konten innerhalb des Mandanten unter vollständiger organisatorischer Kontrolle bereit, anstatt Gasteinladungen zu verwenden", "status": "machine-draft" } }, "EIDPIM-005": { "name": { "value": "Zuweisungen privilegierter Rollen an synchronisierte Konten", "status": "machine-draft" }, "description": { "value": "Konten, die über Entra Connect aus dem lokalen Active Directory synchronisiert werden und privilegierte Cloud-Rollen innehaben, schaffen einen gefährlichen hybriden Angriffspfad. Wird die lokale Umgebung kompromittiert, kann ein Angreifer die Anmeldeinformationen oder Attribute synchronisierter Konten manipulieren, um administrativen Zugriff auf den Cloud-Mandanten zu erlangen. Privilegierte Cloud-Rollen sollten nur reinen Cloud-Konten zugewiesen werden, um eine Sicherheitsgrenze zwischen lokaler und Cloud-Umgebung aufrechtzuerhalten", "status": "machine-draft" }, "recommendedValue": { "value": "Keine synchronisierten (hybriden) Konten, die privilegierten Entra-ID-Rollen zugewiesen sind. Alle privilegierten Konten sollten reine Cloud-Konten sein", "status": "machine-draft" }, "remediationSteps": { "value": "Identifizieren Sie alle Mitglieder privilegierter Rollen, deren Eigenschaft onPremisesSyncEnabled auf true gesetzt ist. Erstellen Sie für jeden Administrator dedizierte, ausschließlich in der Cloud vorhandene administrative Konten und weisen Sie diesen neuen Konten die erforderlichen privilegierten Rollen zu. Entfernen Sie die Zuweisungen privilegierter Rollen von allen synchronisierten Konten, um den Eskalationspfad von der lokalen Umgebung in die Cloud zu beseitigen", "status": "machine-draft" } }, "EIDPIM-006": { "name": { "value": "Privilegierte Benutzer ohne MFA", "status": "machine-draft" }, "description": { "value": "Privilegierte Konten ohne registrierte mehrstufige Authentifizierung sind anmeldeinformationsbasierten Angriffen ausgesetzt, darunter Password-Spraying, Phishing und Brute Force. Ein kompromittiertes privilegiertes Konto ohne MFA verschafft einem Angreifer allein mit einem gestohlenen Kennwort sofortigen administrativen Zugriff. Alle Konten mit privilegierten Rollenzuweisungen müssen über starke MFA-Methoden verfügen, die registriert und über Richtlinien für bedingten Zugriff durchgesetzt werden", "status": "machine-draft" }, "recommendedValue": { "value": "100 % der privilegierten Benutzer mit registrierter und per bedingtem Zugriff durchgesetzter MFA", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie den MFA-Registrierungsstatus aller privilegierten Benutzer über Entra ID > Benutzer > Pro-Benutzer-MFA oder den Aktivitätsbericht zu Authentifizierungsmethoden. Stellen Sie sicher, dass eine Richtlinie für bedingten Zugriff MFA für alle Verzeichnisrollenzuweisungen erfordert. Kontaktieren Sie alle privilegierten Benutzer ohne MFA-Registrierung und erzwingen Sie die Registrierung innerhalb einer definierten Frist", "status": "machine-draft" } }, "EIDPIM-007": { "name": { "value": "Privilegierte Benutzer mit schwachen Authentifizierungsmethoden", "status": "machine-draft" }, "description": { "value": "Privilegierte Konten, die sich auf schwache Authentifizierungsmethoden wie SMS, Sprachanruf oder E-Mail-OTP stützen, sind anfällig für SIM-Swapping, das Abfangen von Anrufen und E-Mail-Kompromittierung. Diese veralteten MFA-Methoden bieten nicht dasselbe Maß an Sicherheit wie phishing-resistente Methoden wie FIDO2-Sicherheitsschlüssel, Windows Hello for Business oder zertifikatsbasierte Authentifizierung. Für privilegierte Konten sollte ausschließlich die Verwendung phishing-resistenter Authentifizierungsmethoden vorgeschrieben sein", "status": "machine-draft" }, "recommendedValue": { "value": "Alle privilegierten Benutzer verwenden phishing-resistente MFA-Methoden (FIDO2, Windows Hello for Business oder zertifikatsbasierte Authentifizierung). Keine SMS, keine Sprachanrufe, kein E-Mail-OTP", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die für jeden privilegierten Benutzer registrierten Authentifizierungsmethoden über Entra ID > Authentifizierungsmethoden > Aktivität. Erstellen Sie eine Richtlinie für bedingten Zugriff, die auf privilegierte Rollen abzielt und eine Authentifizierungsstärke von phishing-resistenter MFA erfordert. Stellen Sie FIDO2-Sicherheitsschlüssel bereit oder konfigurieren Sie Windows Hello for Business für alle privilegierten Benutzer und entfernen Sie schwache Methoden", "status": "machine-draft" } }, "EIDPIM-008": { "name": { "value": "Deaktivierte Konten in privilegierten Rollen", "status": "machine-draft" }, "description": { "value": "Deaktivierte Benutzerkonten, die Zuweisungen privilegierter Rollen behalten, schaffen ein latentes Sicherheitsrisiko. Wird das Konto durch administrative Maßnahmen oder Kompromittierung erneut aktiviert, erhält es sofort wieder vollen privilegierten Zugriff. Deaktivierte Konten sollten im Rahmen des Offboarding- oder Kontodeprovisionierungsprozesses umgehend aus allen privilegierten Rollen entfernt werden, um dieses Reaktivierungsrisiko zu beseitigen", "status": "machine-draft" }, "recommendedValue": { "value": "Keine deaktivierten Konten mit aktiven oder berechtigten Zuweisungen privilegierter Rollen", "status": "machine-draft" }, "remediationSteps": { "value": "Zählen Sie alle Mitglieder privilegierter Rollen auf und filtern Sie nach Konten, bei denen accountEnabled auf false gesetzt ist. Entfernen Sie umgehend alle Zuweisungen privilegierter Rollen von deaktivierten Konten. Implementieren Sie einen automatisierten Prozess oder eine Zugriffsüberprüfung, der bzw. die Rollenzuweisungen erkennt und entfernt, sobald Konten deaktiviert werden", "status": "machine-draft" } }, "EIDPIM-009": { "name": { "value": "Nie angemeldete Konten mit aktiver privilegierter Rolle", "status": "machine-draft" }, "description": { "value": "Konten, die Zuweisungen privilegierter Rollen innehaben, sich aber noch nie angemeldet haben, können bereitgestellte, aber nicht in Anspruch genommene Konten, Testkonten oder Migrationsartefakte darstellen. Diese ruhenden privilegierten Konten sind hochriskante Ziele, da sie möglicherweise über Standard- oder schwache Anmeldeinformationen verfügen und von ihren vorgesehenen Eigentümern wahrscheinlich nicht überwacht werden. Ein Angreifer, der eines dieser Konten entdeckt und sich damit authentifiziert, erhält sofortigen privilegierten Zugriff", "status": "machine-draft" }, "recommendedValue": { "value": "Keine Zuweisungen privilegierter Rollen an Konten, die sich noch nie angemeldet haben", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle Mitglieder privilegierter Rollen und identifizieren Sie Konten mit einem leeren oder nicht vorhandenen lastSignInDateTime. Untersuchen Sie jedes Konto, um festzustellen, ob es noch benötigt wird. Entfernen Sie die Zuweisungen privilegierter Rollen von ruhenden Konten und deaktivieren Sie alle Konten ohne gültigen geschäftlichen Zweck", "status": "machine-draft" } }, "EIDPIM-010": { "name": { "value": "Audit der PIM-Konfiguration", "status": "machine-draft" }, "description": { "value": "Die Rolleneinstellungen von Privileged Identity Management steuern den Aktivierungsworkflow, einschließlich der Frage, ob eine Genehmigung erforderlich ist, ob eine Begründung angegeben werden muss, der maximalen Aktivierungsdauer und der Benachrichtigungsempfänger. Fehlkonfigurierte PIM-Einstellungen können die Aktivierung privilegierter Rollen ohne Aufsicht ermöglichen und damit die Sicherheitsvorteile des Just-in-Time-Zugriffs faktisch aufheben. Jede privilegierte Rolle sollte eine Genehmigung durch einen benannten Genehmiger erfordern, eine Aktivierungsbegründung vorschreiben und Benachrichtigungen an Sicherheitspersonal senden", "status": "machine-draft" }, "recommendedValue": { "value": "Alle privilegierten Rollen konfiguriert mit: erforderlicher Genehmigung, erforderlicher Begründung, maximaler Aktivierungsdauer von 8 Stunden oder weniger und aktivierten Benachrichtigungen bei Rollenaktivierung", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Rollen und Administratoren > Einstellungen und überprüfen Sie die Konfiguration jeder privilegierten Rolle. Aktivieren Sie die Genehmigungsanforderung mit benannten Genehmigern, verlangen Sie eine Aktivierungsbegründung, setzen Sie die maximale Aktivierungsdauer auf 8 Stunden oder weniger und konfigurieren Sie Benachrichtigungsempfänger für Aktivierungsereignisse. Achten Sie besonders auf die Rollen „Globaler Administrator“, „Administrator für privilegierte Rollen“ und „Exchange-Administrator“", "status": "machine-draft" } }, "EIDPIM-011": { "name": { "value": "Aktivierungsverlauf berechtigter PIM-Rollen", "status": "machine-draft" }, "description": { "value": "Die Überprüfung des PIM-Aktivierungsverlaufs gibt Aufschluss darüber, wie häufig privilegierte Rollen aktiviert werden, von wem, mit welcher Begründung und für welche Dauer. Dieser Prüfpfad ist entscheidend, um anomale Muster des privilegierten Zugriffs zu erkennen, etwa Aktivierungen außerhalb der Geschäftszeiten, Aktivierungen ohne gültige Begründung oder eine übermäßige Aktivierungshäufigkeit, die auf ein kompromittiertes Konto oder eine Insider-Bedrohung hindeuten kann", "status": "machine-draft" }, "recommendedValue": { "value": "PIM-Aktivierungsprotokolle regelmäßig überprüft. Alle Aktivierungen mit gültiger geschäftlicher Begründung dokumentiert", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie den PIM-Aktivierungsverlauf über Entra ID > Rollen und Administratoren > Überwachungsprotokolle, gefiltert nach PIM-Vorgängen. Untersuchen Sie alle Aktivierungen mit ungewöhnlichen Mustern, einschließlich Aktivierungen außerhalb der Geschäftszeiten, Aktivierungen durch unbekannte Konten oder Aktivierungen mit vagen Begründungen. Etablieren Sie einen regelmäßigen Überprüfungsrhythmus für PIM-Überwachungsprotokolle als Teil des Sicherheitsbetriebs", "status": "machine-draft" } }, "EIDPIM-012": { "name": { "value": "Validierung der Notfallzugriffskonten", "status": "machine-draft" }, "description": { "value": "Notfallzugriffskonten (Break-Glass) sind kritische Schutzvorkehrungen, die administrativen Zugriff auf den Mandanten sicherstellen, wenn normale Authentifizierungsmechanismen ausfallen, etwa bei MFA-Ausfällen, Fehlkonfigurationen des bedingten Zugriffs oder Ausfällen des Identitätsanbieters. Es sollten mindestens 2 Break-Glass-Konten vorhanden sein, die reine Cloud-Konten sind, von allen Richtlinien für bedingten Zugriff ausgeschlossen sind und mit starker Authentifizierung wie sicher aufbewahrten FIDO2-Schlüsseln geschützt sind. Ohne ordnungsgemäß konfigurierte Break-Glass-Konten riskiert eine Organisation die dauerhafte Aussperrung aus ihrem eigenen Mandanten", "status": "machine-draft" }, "recommendedValue": { "value": "Mindestens 2 Notfallzugriffskonten, die reine Cloud-Konten sind, dauerhaft die Rolle „Globaler Administrator“ zugewiesen haben, von allen Richtlinien für bedingten Zugriff ausgeschlossen sind und mit FIDO2 oder langen, komplexen und sicher aufbewahrten Kennwörtern geschützt sind", "status": "machine-draft" }, "remediationSteps": { "value": "Erstellen Sie mindestens 2 dedizierte Notfallzugriffskonten, die reine Cloud-Konten sind (nicht synchronisiert), weisen Sie ihnen dauerhaft die Rolle „Globaler Administrator“ zu, schließen Sie sie von allen Richtlinien für bedingten Zugriff aus und konfigurieren Sie sie mit FIDO2-Sicherheitsschlüsseln oder sehr langen, komplexen Kennwörtern, die in einem physischen Tresor aufbewahrt werden. Konfigurieren Sie Überwachungswarnungen für jede Anmeldeaktivität dieser Konten und testen Sie das Break-Glass-Verfahren vierteljährlich", "status": "machine-draft" } }, "EIDPIM-013": { "name": { "value": "Erzwingung getrennter Administratorkonten", "status": "machine-draft" }, "description": { "value": "Administrative Aktionen sollten über dedizierte administrative Konten ausgeführt werden und nicht über dieselben Konten, die für tägliche Aktivitäten wie E-Mail, Websurfen und Zusammenarbeit genutzt werden. Die Verwendung eines einzigen Kontos für sowohl administrative als auch tägliche Aufgaben setzt privilegierte Anmeldeinformationen Phishing, Drive-by-Downloads und anderen Bedrohungen aus, denen man bei der Routinearbeit begegnet. Getrennte Administratorkonten verringern die Wahrscheinlichkeit einer Kompromittierung privilegierter Anmeldeinformationen durch normale Benutzeraktivität erheblich", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Administratoren verwenden dedizierte Administratorkonten, die von ihren täglich genutzten Konten getrennt sind. Administratorkonten sollten keine Postfächer oder Produktivitätslizenzen zugewiesen haben", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle Mitglieder privilegierter Rollen und identifizieren Sie Konten, denen ebenfalls Produktivitätslizenzen (Exchange Online, SharePoint, Teams) zugewiesen sind, was auf eine Doppelnutzung hindeutet. Erstellen Sie für jeden Administrator dedizierte Administratorkonten nach einer Namenskonvention wie adm-benutzername. Weisen Sie privilegierte Rollen ausschließlich den dedizierten Administratorkonten zu und entfernen Sie privilegierte Rollen von täglich genutzten Konten", "status": "machine-draft" } }, "EIDPIM-014": { "name": { "value": "Benachrichtigungseinstellungen für Zuweisungen privilegierter Rollen", "status": "machine-draft" }, "description": { "value": "Benachrichtigungen sollten so konfiguriert werden, dass sie Sicherheitspersonal alarmieren, wenn privilegierte Rollen aktiviert oder dauerhaft zugewiesen werden. Ohne geeignete Benachrichtigungseinstellungen kann eine unbefugte Rechteausweitung oder Rollenaktivierung unentdeckt bleiben, sodass Angreifer oder böswillige Insider mit erhöhten Berechtigungen agieren können, ohne Warnungen auszulösen. Benachrichtigungseinstellungen sind eine kritische detektive Kontrolle, die präventive PIM-Konfigurationen ergänzt", "status": "machine-draft" }, "recommendedValue": { "value": "Benachrichtigungen für alle Aktivierungen privilegierter Rollen und neue dauerhafte Zuweisungen aktiviert, gesendet an benannte Kontakte des Sicherheitsbetriebs", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Rollen und Administratoren > Einstellungen für jede privilegierte Rolle. Stellen Sie auf der Registerkarte „Benachrichtigung“ sicher, dass Benachrichtigungen für Ereignisse der Rollenaktivierung, der dauerhaften Zuweisung und der berechtigten Zuweisung aktiviert sind. Konfigurieren Sie die Benachrichtigungsempfänger so, dass die Verteilerliste des Sicherheitsbetriebsteams einbezogen ist. Überprüfen Sie durch eine Testaktivierung, ob Benachrichtigungen eingehen", "status": "machine-draft" } } } |