Data/Locales/checks/de/EntraTenantChecks.json
|
{ "_family": "EntraTenantChecks.json", "EIDTNT-001": { "name": { "value": "Export der mandantenweiten Einstellungen", "status": "machine-draft" }, "description": { "value": "Ein umfassender Export aller mandantenweiten Konfigurationseinstellungen schafft eine bekannte, vertrauenswürdige Ausgangsbasis für Änderungserkennung und Notfallwiederherstellung. Ohne eine dokumentierte Ausgangsbasis lässt sich nicht feststellen, ob die aktuellen Einstellungen von ihrem vorgesehenen Zustand abgewichen sind oder ob ein Angreifer die Mandantenkonfiguration geändert hat, um Sicherheitskontrollen zu schwächen. Diese Ausgangsbasis sollte bei der Erstkonfiguration erfasst und bei jeder autorisierten Änderung aktualisiert werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Vollständige Ausgangsbasis der Mandantenkonfiguration exportiert und in einem versionsgesteuerten Repository mit regelmäßigen Momentaufnahmen gespeichert", "status": "machine-draft" }, "remediationSteps": { "value": "Exportieren Sie alle mandantenweiten Einstellungen über die Microsoft Graph API, einschließlich Autorisierungsrichtlinien, Authentifizierungsmethodenrichtlinien, Zustimmungsrichtlinien, mandantenübergreifender Zugriffseinstellungen und Verzeichniseinstellungen. Speichern Sie den Export in einem sicheren, versionsgesteuerten Repository und etablieren Sie einen geplanten Prozess zur Erfassung periodischer Momentaufnahmen. Vergleichen Sie die aktuellen Einstellungen regelmäßig mit der Ausgangsbasis, um unbefugte oder unbeabsichtigte Konfigurationsabweichungen zu erkennen.", "status": "machine-draft" } }, "EIDTNT-002": { "name": { "value": "Überprüfung der Benutzereinstellungen", "status": "machine-draft" }, "description": { "value": "Mandantenweite Benutzereinstellungen steuern, ob Standardbenutzer Anwendungen registrieren, Anwendungen den Zugriff auf Unternehmensdaten zustimmen, Sicherheitsgruppen erstellen und die Verzeichnisinformationen anderer Benutzer lesen können. Zu freizügige Benutzereinstellungen ermöglichen Schatten-IT, unbefugte Anwendungsintegrationen und Gruppenwildwuchs, die die Angriffsfläche vergrößern. Diese Einstellungen sollten eingeschränkt werden, um zu verhindern, dass Standardbenutzer Aktionen durchführen, die eine administrative Aufsicht erfordern sollten.", "status": "machine-draft" }, "recommendedValue": { "value": "Benutzer können keine Anwendungen registrieren, Benutzerzustimmung auf verifizierte Herausgeber beschränkt, Gruppenerstellung auf autorisierte Benutzer begrenzt", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Benutzereinstellungen und überprüfen Sie jede Einstellung. Deaktivieren Sie „Benutzer können Anwendungen registrieren“, um unkontrollierten Wildwuchs bei App-Registrierungen zu verhindern. Beschränken Sie die Einstellungen zur Benutzerzustimmung so, dass die Zustimmung nur für Apps von verifizierten Herausgebern mit risikoarmen Berechtigungen zulässig ist. Begrenzen Sie den Kreis derer, die Microsoft-365-Gruppen und Sicherheitsgruppen erstellen können, auf benannte Administratoren oder Gruppeneigentümer.", "status": "machine-draft" } }, "EIDTNT-003": { "name": { "value": "Beschränkungen des Gastbenutzerzugriffs", "status": "machine-draft" }, "description": { "value": "Gastbenutzer sind externe Identitäten, die zur Zusammenarbeit mit der Organisation eingeladen wurden. Standardmäßig verfügen Gastbenutzer möglicherweise über eine zu breite Sichtbarkeit im Verzeichnis, einschließlich der Möglichkeit, Benutzer, Gruppen und Anwendungen aufzuzählen. Ein uneingeschränkter Gastzugriff erlaubt externen Parteien, die Identitätsstruktur der Organisation abzubilden, hochwertige Ziele zu identifizieren und Informationen für nachfolgende Angriffe zu sammeln. Gastberechtigungen sollten auf das für die Zusammenarbeit erforderliche Minimum beschränkt werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Gastbenutzerzugriff ausschließlich auf Eigenschaften und Mitgliedschaften ihrer eigenen Verzeichnisobjekte beschränkt", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Externe Identitäten > Einstellungen für die externe Zusammenarbeit und überprüfen Sie die Beschränkungen des Gastbenutzerzugriffs. Setzen Sie den Gastbenutzerzugriff auf die restriktivste Option, die Gäste auf Eigenschaften und Mitgliedschaften ihrer eigenen Verzeichnisobjekte begrenzt. Überprüfen Sie mit einem Gastkonto, dass Gäste die vollständige Benutzerliste, Gruppenmitgliedschaften oder App-Registrierungen nicht aufzählen können.", "status": "machine-draft" } }, "EIDTNT-004": { "name": { "value": "Beschränkungen für Gasteinladungen", "status": "machine-draft" }, "description": { "value": "Die Einstellungen für Gasteinladungen steuern, wer externe Benutzer in den Mandanten einladen kann, von der Erlaubnis für jeden Benutzer, Gäste einzuladen, bis zur Beschränkung von Einladungen ausschließlich auf Administratoren. Freizügige Einladungseinstellungen erlauben Standardbenutzern, externe Parteien ohne Aufsicht einzuladen, wodurch möglicherweise ungeprüfte externe Identitäten mit Zugriff auf Organisationsressourcen eingeführt werden. Einladungsbeschränkungen sollten mit den Governance-Anforderungen der Organisation für die externe Zusammenarbeit übereinstimmen.", "status": "machine-draft" }, "recommendedValue": { "value": "Gasteinladungen auf Benutzer mit bestimmten Administratorrollen oder der Rolle „Gasteinlader“ beschränkt, ohne aktivierten Selbstbedienungs-Gastzugriff", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Externe Identitäten > Einstellungen für die externe Zusammenarbeit und überprüfen Sie die Einstellungen für Gasteinladungen. Beschränken Sie Gasteinladungen auf Benutzer, denen die Rolle „Gasteinlader“ oder bestimmte Administratorrollen zugewiesen sind, anstatt allen Mitgliedern das Einladen zu erlauben. Deaktivieren Sie die Option, dass Gäste andere Gäste einladen, um unkontrollierte Einladungsketten zu verhindern, und etablieren Sie einen Genehmigungsworkflow für Anfragen zu Gasteinladungen.", "status": "machine-draft" } }, "EIDTNT-005": { "name": { "value": "Einstellungen für die externe Zusammenarbeit", "status": "machine-draft" }, "description": { "value": "Die Einstellungen für die externe Zusammenarbeit definieren den Umfang der Domänen, aus denen Gastbenutzer eingeladen werden können, und welche externen Organisationen mit dem Mandanten zusammenarbeiten dürfen. Ohne Domänenbeschränkungen können Gäste aus jeder externen Organisation eingeladen werden, einschließlich Wettbewerbern, sanktionierten Einrichtungen oder von Angreifern kontrollierten Mandanten. Domänen-Zulassungs- oder -Sperrlisten sollten konfiguriert werden, um die Zusammenarbeit auf genehmigte Partnerorganisationen zu begrenzen und unbefugten externen Zugriff zu verhindern.", "status": "machine-draft" }, "recommendedValue": { "value": "Externe Zusammenarbeit auf bestimmte zugelassene Domänen beschränkt, mit einer Sperrliste für bekannte risikoreiche Domänen", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Externe Identitäten > Einstellungen für die externe Zusammenarbeit und konfigurieren Sie die Beschränkungen der Zusammenarbeit. Implementieren Sie je nach Ihrem Kollaborationsmodell entweder eine Zulassungsliste genehmigter Partnerdomänen oder eine Sperrliste bekannter risikoreicher und Wettbewerberdomänen. Überprüfen und aktualisieren Sie die Domänenliste vierteljährlich, um Änderungen in den Partnerbeziehungen widerzuspiegeln, und stellen Sie sicher, dass die Kollaborationsbeschränkungen mit den Richtlinien zur Datenklassifizierung und zum Informationsaustausch übereinstimmen.", "status": "machine-draft" } }, "EIDTNT-006": { "name": { "value": "Azure-B2B-Richtlinien für mandantenübergreifenden Zugriff", "status": "machine-draft" }, "description": { "value": "Richtlinien für mandantenübergreifenden Zugriff bieten eine granulare Kontrolle darüber, wie Benutzer sich bei der Zusammenarbeit mit externen Entra-ID-Mandanten authentifizieren und auf Ressourcen zugreifen. Die standardmäßigen Einstellungen für mandantenübergreifenden Zugriff können einen breiten eingehenden und ausgehenden Zugriff erlauben, der nicht mit den Sicherheitsanforderungen der Organisation übereinstimmt. Ordnungsgemäß konfigurierte Richtlinien für mandantenübergreifenden Zugriff ermöglichen eine vertrauenswürdige B2B-Zusammenarbeit und verhindern zugleich unbefugten Zugriff aus nicht vertrauenswürdigen Mandanten und steuern, welche Benutzer auf externe Ressourcen zugreifen können.", "status": "machine-draft" }, "recommendedValue": { "value": "Standardrichtlinie für mandantenübergreifenden Zugriff auf Blockieren gesetzt, mit ausdrücklichen Zulassungsregeln ausschließlich für genehmigte Partnermandanten", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Externe Identitäten > Einstellungen für mandantenübergreifenden Zugriff und überprüfen Sie die standardmäßigen Einstellungen für eingehenden und ausgehenden Zugriff. Konfigurieren Sie die Standardrichtlinie so, dass sowohl eingehender als auch ausgehender Zugriff beschränkt wird, und erstellen Sie dann organisationsspezifische Richtlinien für genehmigte Partnermandanten mit angemessenen Zugriffskontrollen. Aktivieren Sie Vertrauenseinstellungen für Partnermandanten, um deren MFA-Ansprüche und Gerätekonformität dort zu akzeptieren, wo dies angemessen ist, und so die Authentifizierungsreibung bei vertrauenswürdigen Kooperationen zu verringern.", "status": "machine-draft" } }, "EIDTNT-007": { "name": { "value": "Status der Sicherheitsstandards (aktiviert/deaktiviert)", "status": "machine-draft" }, "description": { "value": "Sicherheitsstandards (Security Defaults) bieten einen grundlegenden Satz von Identitätssicherheitsmechanismen, einschließlich Anforderungen zur MFA-Registrierung, MFA-Aufforderungen für Administratoren und der Blockierung der Legacy-Authentifizierung. Organisationen, die Richtlinien für bedingten Zugriff verwenden, sollten die Sicherheitsstandards deaktiviert haben, um Konflikte zu vermeiden, doch Mandanten ohne bedingten Zugriff, die zugleich die Sicherheitsstandards deaktiviert haben, verfügen über keinen grundlegenden Schutz gegen gängige Identitätsangriffe. Diese Prüfung überprüft, ob entweder die Sicherheitsstandards oder gleichwertige Richtlinien für bedingten Zugriff den Mandanten aktiv schützen.", "status": "machine-draft" }, "recommendedValue": { "value": "Sicherheitsstandards für Mandanten ohne bedingten Zugriff aktiviert. Für Mandanten mit bedingtem Zugriff Sicherheitsstandards deaktiviert, mit gleichwertigen oder stärkeren Richtlinien für bedingten Zugriff", "status": "machine-draft" }, "remediationSteps": { "value": "Prüfen Sie unter Entra ID > Eigenschaften > Sicherheitsstandards verwalten, ob die Sicherheitsstandards aktiviert sind. Sind die Sicherheitsstandards deaktiviert, überprüfen Sie, ob Richtlinien für bedingten Zugriff einen gleichwertigen oder stärkeren Schutz bieten, einschließlich MFA für alle Benutzer, Blockierung der Legacy-Authentifizierung und MFA für administrative Aktionen. Sind weder Sicherheitsstandards noch gleichwertige Richtlinien für bedingten Zugriff vorhanden, aktivieren Sie die Sicherheitsstandards umgehend als grundlegende Schutzmaßnahme.", "status": "machine-draft" } }, "EIDTNT-008": { "name": { "value": "Lizenzinventar und -nutzung", "status": "machine-draft" }, "description": { "value": "Ein umfassendes Inventar der zugewiesenen Lizenzen und ihrer Nutzungsraten schafft Sichtbarkeit über verfügbare Sicherheitsfunktionen und identifiziert mögliche Lücken, in denen lizenzierte Fähigkeiten nicht genutzt werden. Organisationen zahlen möglicherweise für erweiterte Sicherheitsfunktionen wie Entra ID P2, Microsoft Defender for Identity oder Microsoft Sentinel, die nicht vollständig bereitgestellt oder konfiguriert sind. Das Verständnis der Lizenzlandschaft stellt sicher, dass alle erworbenen Sicherheitsfähigkeiten aktiviert und genutzt werden.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Lizenzen inventarisiert, mit Nutzungsverfolgung, und alle sicherheitsrelevanten lizenzierten Funktionen vollständig bereitgestellt und konfiguriert", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Zusammenfassung der Lizenzzuweisungen im Microsoft 365 Admin Center oder unter Entra ID > Lizenzen > Übersicht. Identifizieren Sie sicherheitsrelevante Lizenzen wie Entra ID P1/P2, Microsoft Defender for Identity und Microsoft 365 E5 Security. Überprüfen Sie, ob die in jeder Lizenz enthaltenen Funktionen aktiv konfiguriert und bereitgestellt sind, und erstellen Sie einen Plan zur Aktivierung ungenutzter, bereits lizenzierter Sicherheitsfähigkeiten.", "status": "machine-draft" } }, "EIDTNT-009": { "name": { "value": "Konfiguration von Verwaltungseinheiten", "status": "machine-draft" }, "description": { "value": "Verwaltungseinheiten (Administrative Units) bieten einen delegierten administrativen Geltungsbereich, indem sie Benutzer, Gruppen und Geräte in logische Container gruppieren, denen bestimmte Administratoren zugewiesen sind, die nur diese Objekte verwalten. Ohne Verwaltungseinheiten verfügen delegierte Administratoren möglicherweise über einen breiteren Zugriff als vorgesehen, oder administrative Grenzen stimmen nicht mit der Organisationsstruktur überein. Ordnungsgemäß konfigurierte Verwaltungseinheiten erzwingen eine Delegierung nach dem Prinzip der geringsten Rechte und verhindern administrative Grenzüberschreitungen.", "status": "machine-draft" }, "recommendedValue": { "value": "Verwaltungseinheiten so konfiguriert, dass sie mit dem Delegierungsmodell der Organisation übereinstimmen, mit Verwaltungseinheiten mit eingeschränkter Verwaltung für sensible Objekte", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die vorhandene Konfiguration der Verwaltungseinheiten unter Entra ID > Rollen und Administratoren > Verwaltungseinheiten. Bewerten Sie, ob die aktuelle Struktur mit Ihren organisatorischen Delegierungsanforderungen übereinstimmt und ob sensible Objekte wie privilegierte Konten durch Verwaltungseinheiten mit eingeschränkter Verwaltung geschützt sind. Erstellen oder ändern Sie Verwaltungseinheiten nach Bedarf, um sicherzustellen, dass Administratoren nur Objekte innerhalb ihres zugewiesenen Geltungsbereichs verwalten können.", "status": "machine-draft" } }, "EIDTNT-010": { "name": { "value": "Konfiguration benutzerdefinierter Domänen", "status": "machine-draft" }, "description": { "value": "Im Mandanten registrierte benutzerdefinierte Domänen definieren die von der Organisation verwendeten E-Mail-Adressen und Anmeldesuffixe. Unverifizierte oder nicht autorisierte Domänen können auf eine Fehlkonfiguration oder einen Angreifer hindeuten, der versucht, eine Präsenz im Mandanten aufzubauen. Jede benutzerdefinierte Domäne sollte über DNS-Einträge verifiziert und regelmäßig überprüft werden, um sicherzustellen, dass alle Domänen weiterhin im Besitz der Organisation sind und dass die DNS-Verifizierungseinträge intakt bleiben.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle benutzerdefinierten Domänen verifiziert, aktiv verwaltet und mit intakten DNS-Verifizierungseinträgen", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie alle unter Entra ID > Benutzerdefinierte Domänennamen registrierten benutzerdefinierten Domänen und stellen Sie sicher, dass jede Domäne weiterhin im Besitz der Organisation ist und dass die DNS-Verifizierungseinträge ordnungsgemäß konfiguriert sind. Entfernen Sie alle Domänen, die nicht mehr verwendet werden oder nicht als organisationseigen verifiziert werden können. Stellen Sie sicher, dass die DNS-Registrierungen der Domänen mit Registrar-Sperren geschützt sind und dass die Ablaufdaten der Domänen überwacht werden, um einen unbeabsichtigten Domänenverlust zu verhindern.", "status": "machine-draft" } }, "EIDTNT-011": { "name": { "value": "Diagnoseeinstellungen für Überwachungs- und Anmeldeprotokolle", "status": "machine-draft" }, "description": { "value": "Entra ID erzeugt Überwachungsprotokolle und Anmeldeprotokolle, die für Sicherheitsüberwachung, Vorfalluntersuchung und Compliance-Berichterstattung entscheidend sind. Ohne konfigurierte Diagnoseeinstellungen, die diese Protokolle an einen dauerhaften Speicherort wie einen Log-Analytics-Arbeitsbereich, ein Azure-Speicherkonto oder ein SIEM exportieren, werden Protokolle innerhalb von Entra ID nur für einen begrenzten Zeitraum aufbewahrt und stehen während einer Vorfalluntersuchung möglicherweise nicht zur Verfügung. Angreifer nehmen die Protokollierungskonfiguration aktiv ins Visier, um Erkennung zu deaktivieren oder zu umgehen.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Entra-ID-Protokollkategorien (Überwachung, Anmeldung, nicht interaktive Anmeldung, Dienstprinzipal-Anmeldung, Anmeldung verwalteter Identitäten, Bereitstellung) in einen Log-Analytics-Arbeitsbereich oder ein SIEM exportiert", "status": "machine-draft" }, "remediationSteps": { "value": "Navigieren Sie zu Entra ID > Überwachung > Diagnoseeinstellungen und erstellen oder überprüfen Sie eine Diagnoseeinstellung, die alle Protokollkategorien zur SIEM-Aufnahme in einen Log-Analytics-Arbeitsbereich, ein Azure-Speicherkonto oder ein Event Hub exportiert. Stellen Sie sicher, dass alle verfügbaren Protokollkategorien ausgewählt sind, einschließlich Überwachungsprotokollen, Anmeldeprotokollen, Protokollen nicht interaktiver Anmeldungen, Protokollen der Dienstprinzipal-Anmeldung, Protokollen der Anmeldung verwalteter Identitäten und Bereitstellungsprotokollen. Überprüfen Sie, ob der Zielspeicher über angemessene Aufbewahrungsrichtlinien und Zugriffskontrollen verfügt.", "status": "machine-draft" } }, "EIDTNT-012": { "name": { "value": "Aufbewahrungseinstellungen für Überwachungsprotokolle", "status": "machine-draft" }, "description": { "value": "Die Aufbewahrung von Überwachungsprotokollen bestimmt, wie lange historische Sicherheitsereignisse für Untersuchungen, Compliance-Berichterstattung und forensische Analysen verfügbar sind. Unzureichende Aufbewahrungszeiträume können dazu führen, dass kritische Beweise bei der Untersuchung von Vorfällen, die Wochen oder Monate nach der ursprünglichen Kompromittierung entdeckt werden, nicht mehr verfügbar sind. Organisationen sollten Überwachungsprotokolle mindestens 1 Jahr aufbewahren, um Zeitrahmen der Vorfallreaktion zu unterstützen und gängige regulatorische Anforderungen zu erfüllen.", "status": "machine-draft" }, "recommendedValue": { "value": "Überwachungsprotokolle mindestens 1 Jahr an einem unveränderlichen Speicherort aufbewahrt, davon mindestens 90 Tage unmittelbar abfragbar", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Aufbewahrungseinstellungen des Log-Analytics-Arbeitsbereichs, des Azure-Speicherkontos oder des SIEM-Ziels, in das Entra-ID-Protokolle exportiert werden. Konfigurieren Sie die Aufbewahrung für alle Entra-ID-Protokollkategorien auf mindestens 365 Tage, um Vorfalluntersuchungen und Compliance-Anforderungen zu unterstützen. Stellen Sie sicher, dass mindestens 90 Tage an Protokollen ohne Wiederherstellungsvorgänge unmittelbar abfragbar sind, und implementieren Sie unveränderlichen Speicher oder Write-Once-Richtlinien, um Manipulationen an historischen Protokolldaten zu verhindern.", "status": "machine-draft" } }, "EIDTNT-013": { "name": { "value": "Audit der Benachrichtigungseinstellungen", "status": "machine-draft" }, "description": { "value": "Die Benachrichtigungseinstellungen von Entra ID steuern, wer Warnungen für kritische Sicherheitsereignisse erhält, etwa Benutzer mit Risiko, wöchentliche Zusammenfassungsberichte und administrative Benachrichtigungen. Fehlkonfigurierte Benachrichtigungseinstellungen können dazu führen, dass Sicherheitswarnungen an inaktive Postfächer oder ehemalige Mitarbeiter gesendet oder gar nicht zugestellt werden. Ein ordnungsgemäßes Benachrichtigungs-Routing stellt sicher, dass sicherheitsrelevante Ereignisse das zuständige Personal für eine zeitnahe Untersuchung und Reaktion erreichen.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Sicherheitsbenachrichtigungen an aktive, überwachte Postfächer des aktuellen Sicherheitsbetriebspersonals weitergeleitet", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie die Benachrichtigungseinstellungen in Entra ID, einschließlich der Identity-Protection-Benachrichtigungsempfänger, der Benachrichtigungseinstellungen für die Kennwortzurücksetzung und der technischen Benachrichtigungskontakte. Überprüfen Sie, ob alle Benachrichtigungsempfänger aktuelle Mitarbeiter mit aktiv überwachten Postfächern sind, und aktualisieren Sie alle Verweise auf ehemalige Mitarbeiter oder inaktive Verteilerlisten. Konfigurieren Sie Benachrichtigungen so, dass sie an eine Verteilerliste des Sicherheitsbetriebs statt an einzelne Benutzer gesendet werden, um die Kontinuität bei Personalwechseln zu gewährleisten.", "status": "machine-draft" } }, "EIDTNT-014": { "name": { "value": "Kennwortablauf für Benutzer deaktiviert (Kennwörter laufen nie ab)", "status": "machine-draft" }, "description": { "value": "Eine verpflichtende regelmäßige Kennwortrotation treibt Benutzer zu vorhersehbaren, schwächeren und wiederverwendeten Kennwörtern und bietet nur geringen Schutzwert, wenn MFA und moderne Schutzmechanismen für Anmeldeinformationen vorhanden sind. Im Einklang mit den Leitlinien von NIST SP 800-63B und OMB M-22-09 sollten Benutzerkennwörter so konfiguriert werden, dass sie nie ablaufen. In Entra ID wird dies je verifizierter Domäne über die Eigenschaft passwordValidityPeriodInDays geregelt; der Wert 2147483647 gibt an, dass Kennwörter so eingestellt sind, dass sie nie ablaufen. Diese Prüfung untersucht jede verwaltete Domäne und kennzeichnet jede Domäne, die weiterhin einen endlichen Kennwortablaufzeitraum erzwingt.", "status": "machine-draft" }, "recommendedValue": { "value": "passwordValidityPeriodInDays auf allen verwalteten Domänen auf 2147483647 (nie ablaufen) gesetzt", "status": "machine-draft" }, "remediationSteps": { "value": "Stellen Sie die Kennwortablaufrichtlinie so ein, dass Kennwörter nie ablaufen, um SCuBA MS.AAD.6.1 zu erfüllen. Gehen Sie im Microsoft 365 Admin Center zu Einstellungen > Organisationseinstellungen > Sicherheit und Datenschutz > Kennwortablaufrichtlinie und wählen Sie „Kennwörter so einstellen, dass sie nie ablaufen“. Gleichwertig setzen Sie für jede verwaltete Domäne passwordValidityPeriodInDays auf 2147483647 (nie ablaufen). Stellen Sie sicher, dass kompensierende Kontrollen vorhanden bleiben: erzwungene MFA, Schutz vor gesperrten Kennwörtern und risikobasierte Behebung von Anmeldeinformationen.", "status": "machine-draft" } }, "EIDTNT-015": { "name": { "value": "Privilegierter delegierter Administratorzugriff für Partner (GDAP)", "status": "machine-draft" }, "description": { "value": "Granulare delegierte Administratorberechtigungen (GDAP) erlauben einem CSP- oder Managed-Services-Partner, ständige administrative Rollen in Ihrem Mandanten innezuhaben. Diese Beziehung ist in den meisten alltäglichen Administratoransichten unsichtbar, wird selten überprüft und ist ein Ausbreitungspfad der Kaseya-Klasse: Ein Angreifer, der einen Partner kompromittiert, erbt in einem Zug die delegierte Administration in jedem nachgelagerten Kundenmandanten. Eine Partnerbeziehung, die eine Tier-0- bzw. wirkungsstarke Verzeichnisrolle trägt (Globaler Administrator, Administrator für privilegierte Rollen, Administrator für privilegierte Authentifizierung/Authentifizierung, Sicherheitsadministrator, Administrator für Benutzer/Kennwort/Anwendung/Cloud-Anwendung), ist faktisch ein externer Schlüssel zum Königreich. Diese Prüfung inventarisiert aktive delegatedAdminRelationships und schlägt FEHL, wenn eine aktive Beziehung eine dieser privilegierten Rollen gewährt; sie warnt, wenn nicht privilegierter Partnerzugriff besteht, damit er bestätigt und eingegrenzt werden kann, und besteht nur, wenn keine aktive delegierte Partneradministration vorhanden ist. Leere Ergebnisse werden nur dann als „keine Beziehungen“ gewertet, wenn die Erfassung erfolgreich war; ein fehlgeschlagener Aufruf erscheint als „Nicht bewertet“, niemals als sauberes Bestehen.", "status": "machine-draft" }, "recommendedValue": { "value": "Keine aktive GDAP-Beziehung gewährt eine privilegierte Verzeichnisrolle; Partnerzugriff folgt dem Prinzip der geringsten Rechte, ist zeitlich begrenzt und wird überprüft", "status": "machine-draft" }, "remediationSteps": { "value": "Überprüfen Sie jede aktive Beziehung der delegierten Partneradministration (GDAP) im Microsoft Entra Admin Center > Identität > Externe Identitäten > Mandantenübergreifender Zugriff (partnergesteuert) und im Microsoft 365 Admin Center > Einstellungen > Partnerbeziehungen. Entfernen Sie für jede Beziehung Tier-0- bzw. wirkungsstarke Rollen (Globaler Administrator, Administrator für privilegierte Rollen, Administrator für privilegierte Authentifizierung, Sicherheitsadministrator, Administrator für Benutzer/Kennwort/Anwendung/Cloud-Anwendung), sofern kein dokumentierter, zeitlich begrenzter Bedarf besteht. Ersetzen Sie ständige privilegierte Delegierung durch Rollen nach dem Prinzip der geringsten Rechte, fordern Sie nach Möglichkeit eine Just-in-Time-Erhöhung über das eigene PIM des Partners an und beenden Sie jede nicht mehr erforderliche Beziehung. Bestätigen Sie, dass der eigene Mandant des Partners phishing-resistente MFA für die Administratoren erzwingt, die diesen Zugriff ausüben.", "status": "machine-draft" } }, "EIDTNT-016": { "name": { "value": "Hygiene der delegierten Partneradministrationsberechtigungen (langlebiges GDAP)", "status": "machine-draft" }, "description": { "value": "Die Dauer einer GDAP-Beziehung ist ihr Fenster für die automatische Verlängerung: Läuft sie aus, verlängert sie sich ohne jede menschliche Überprüfung selbst um diesen Zeitraum. Eine lange automatische Verlängerung (über ein Jahr hinaus) ist daher eine ständige, sich selbst erneuernde Gewährung von administrativem Partnerzugriff, das Gegenteil von Just-in-Time, und genau die Art vergessener Beziehung, die das Engagement überdauert, das sie geschaffen hat. Diese Prüfung untersucht aktive delegatedAdminRelationships und warnt, wenn sich eine Beziehung über 365 Tage hinaus automatisch verlängert; eine Beziehung, deren Dauer nicht bestimmt werden kann, wird konservativ als langlebig behandelt, anstatt als unbedenklich angenommen zu werden. Sie besteht nur, wenn sich alle aktiven Beziehungen innerhalb eines Jahres automatisch verlängern. Dies ist ein Hygiene-/Governance-Signal, das EIDTNT-015 ergänzt (welches die Berechtigung bewertet, die der Partner innehat); hier gilt die Sorge, wie lange die Gewährung unüberprüft fortbesteht.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle aktiven GDAP-Beziehungen verlängern sich innerhalb von 365 Tagen automatisch und werden bei jeder Verlängerung überprüft", "status": "machine-draft" }, "remediationSteps": { "value": "Legen Sie für jede aktive Beziehung der delegierten Partneradministration (GDAP) die kürzeste automatische Verlängerungsdauer fest, die zum Engagement passt (vermeiden Sie mehrjährige ständige Gewährungen), und planen Sie bei jeder Verlängerung eine Überprüfung. Bestätigen Sie im Microsoft 365 Admin Center unter Einstellungen > Partnerbeziehungen, dass jede Beziehung noch erforderlich ist, und beenden Sie veraltete. Bevorzugen Sie kurze, erneuerbare Delegierungen gegenüber langlebigem, sich automatisch verlängerndem Zugriff, damit die Partneradministration bewusst und nicht standardmäßig erneut autorisiert wird.", "status": "machine-draft" } } } |