Data/Locales/checks/nl/EntraFedChecks.json
|
{ "_family": "EntraFedChecks.json", "EIDFED-001": { "name": { "value": "Inventarisatie van gefedereerde domeinen", "status": "machine-draft" }, "description": { "value": "Een volledige inventaris van alle gefedereerde domeinen in de tenant biedt inzicht in hoe de authenticatie voor elk domein is geconfigureerd. Gefedereerde domeinen leiden de authenticatie om naar externe identiteitsproviders, die goed beveiligd en bewaakt moeten zijn. Deze basisinventaris maakt beoordeling van het aanvalsoppervlak van de federatie mogelijk en identificeert domeinen die door aanvallers kunnen zijn geconfigureerd als onderdeel van een Golden SAML- of achterdeurfederatieaanval.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle gefedereerde domeinen geinventariseerd met gedocumenteerde eindpunten van de identiteitsprovider, ondertekeningscertificaten en zakelijke rechtvaardiging", "status": "machine-draft" }, "remediationSteps": { "value": "Inventariseer alle domeinen in de tenant met Microsoft Graph en identificeer de domeinen waarvoor federatieauthenticatie is geconfigureerd. Documenteer voor elk gefedereerd domein het eindpunt van de identiteitsprovider, de details van het ondertekeningscertificaat en het federatieprotocol. Controleer of elke federatievertrouwensrelatie is geautoriseerd en overeenkomt met een bekende, legitieme identiteitsprovider onder beheer van de organisatie.", "status": "machine-draft" } }, "EIDFED-002": { "name": { "value": "Geldigheidsduur van het ondertekeningscertificaat voor federatie", "status": "machine-draft" }, "description": { "value": "Ondertekeningscertificaten voor federatie met een buitensporig lange geldigheidsduur bieden een verlengd venster voor aanvallers die de privesleutel bemachtigen om SAML-tokens te vervalsen en permanente ongeautoriseerde toegang te behouden. Certificaten met een geldigheidsduur van meer dan 3 jaar wijken af van de beste beveiligingspraktijken en kunnen wijzen op een gecompromitteerd of door een aanvaller gemaakt certificaat. Kortlevende certificaten beperken de duur van mogelijk misbruik als de privesleutel wordt gecompromitteerd.", "status": "machine-draft" }, "recommendedValue": { "value": "Ondertekeningscertificaten voor federatie met een geldigheidsduur van niet meer dan 1 jaar en geautomatiseerde rotatieprocedures aanwezig", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel de ondertekeningscertificaten voor alle gefedereerde domeinen en controleer de datums NotBefore en NotAfter om de geldigheidsduur te bepalen. Vervang certificaten met een geldigheidsduur van meer dan 3 jaar door nieuwe certificaten met een kortere levensduur die aansluit bij het certificaatbeleid van de organisatie. Implementeer geautomatiseerde procedures voor certificaatrotatie en configureer bewakingswaarschuwingen voor certificaten die hun verloopdatum naderen.", "status": "machine-draft" } }, "EIDFED-003": { "name": { "value": "Verschil tussen uitgever en onderwerp van ondertekeningscertificaat voor federatie", "status": "machine-draft" }, "description": { "value": "Een verschil tussen de velden uitgever en onderwerp van een ondertekeningscertificaat voor federatie is een sterke aanwijzing voor een mogelijke Golden SAML-aanval, waarbij een aanvaller het legitieme ondertekeningscertificaat heeft vervangen door een certificaat dat hij beheert. Bij een Golden SAML-aanval genereert de aanvaller een zelfondertekend certificaat met willekeurige waarden voor uitgever en onderwerp en configureert dit als het ondertekeningscertificaat van de federatievertrouwensrelatie, waardoor hij SAML-tokens voor elke gebruiker kan vervalsen. Elk verschil tussen uitgever en onderwerp dat niet aansluit bij de verwachte certificeringsketen vereist onmiddellijk onderzoek.", "status": "machine-draft" }, "recommendedValue": { "value": "De velden uitgever en onderwerp van het ondertekeningscertificaat voor federatie komen overeen met de verwachte PKI-keten van de organisatie, zonder onverwachte zelfondertekende certificaten", "status": "machine-draft" }, "remediationSteps": { "value": "Extraheer het ondertekeningscertificaat uit elke federatievertrouwensrelatie van een gefedereerd domein en vergelijk de velden uitgever en onderwerp met de verwachte PKI-hierarchie van uw organisatie. Onderzoek certificaten waarvan de uitgever niet overeenkomt met uw bekende certificeringsinstantie of waarvan het onderwerp onverwachte waarden bevat. Als een verschil wordt gedetecteerd, behandel dit dan als een mogelijk beveiligingsincident, roteer het ondertekeningscertificaat voor federatie onmiddellijk en beoordeel de auditlogboeken op ongeautoriseerde wijzigingen in de federatieconfiguratie.", "status": "machine-draft" } }, "EIDFED-004": { "name": { "value": "Analyse van metagegevens van federatievertrouwensrelaties", "status": "machine-draft" }, "description": { "value": "De metagegevens van een federatievertrouwensrelatie definieren de eindpunten van de identiteitsprovider, de ondersteunde protocollen en de configuratie voor tokenondertekening die worden gebruikt voor gefedereerde authenticatie. Gemanipuleerde metagegevens kunnen authenticatiestromen omleiden naar door aanvallers beheerde eindpunten of frauduleuze ondertekeningscertificaten introduceren, waardoor tokenvervalsing en imitatieaanvallen mogelijk worden. De URL van het metagegevenseindpunt, de passieve en actieve eindpunten en de configuraties voor het ondertekeningsalgoritme moeten worden gevalideerd tegen bekende, goede waarden.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle metagegevens van federatievertrouwensrelaties gevalideerd tegen een bekende, goede basislijn, met URL's voor het vernieuwen van metagegevens die verwijzen naar door de organisatie beheerde eindpunten", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel de federatieconfiguratie voor elk gefedereerd domein, waaronder de URI voor het uitwisselen van metagegevens, het passieve aanmeldingseindpunt, de uitgever-URI en de details van het ondertekeningscertificaat. Vergelijk de huidige waarden met een gedocumenteerde basisconfiguratie om ongeautoriseerde wijzigingen te identificeren. Zorg dat de eindpunten voor het vernieuwen van metagegevens HTTPS gebruiken en verwijzen naar door de organisatie beheerde infrastructuur, en valideer dat de ondertekeningsalgoritmen SHA-256 of sterker gebruiken.", "status": "machine-draft" } }, "EIDFED-005": { "name": { "value": "Beoordeling van de configuratie van Azure AD Connect", "status": "machine-draft" }, "description": { "value": "Azure AD Connect synchroniseert on-premises Active Directory-objecten met Entra ID en is een kritiek onderdeel van de hybride identiteitsarchitectuur. Onjuist geconfigureerde Azure AD Connect-instellingen kunnen gevoelige kenmerken blootstellen aan de cloud, onbedoelde paden voor rechtenescalatie creeren of aanvallers met on-premises toegang in staat stellen cloudidentiteiten te manipuleren. De machtigingen van het connectoraccount, de synchronisatieregels en de functieconfiguratie moeten worden getoetst aan de beste beveiligingspraktijken.", "status": "machine-draft" }, "recommendedValue": { "value": "Azure AD Connect geconfigureerd met connectoraccounts met minimale bevoegdheden, verstevigde synchronisatieregels en alle beveiligingsfuncties ingeschakeld", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel de configuratie van Azure AD Connect, waaronder de machtigingen van het connectoraccount, de synchronisatieregels en de ingeschakelde functies. Zorg dat het AD DS-connectoraccount de minimaal vereiste machtigingen gebruikt en dat het Entra ID-connectoraccount een speciaal, uitsluitend in de cloud aanwezig serviceaccount is. Controleer of de Azure AD Connect-server wordt behandeld als een Tier 0-asset met beperkte beheerderstoegang en uitgebreide bewaking.", "status": "machine-draft" } }, "EIDFED-006": { "name": { "value": "Audit van het synchronisatiebereik van Azure AD Connect", "status": "machine-draft" }, "description": { "value": "Het synchronisatiebereik in Azure AD Connect bepaalt welke on-premises organisatie-eenheden, groepen en kenmerken worden gerepliceerd naar Entra ID. Een te ruim synchronisatiebereik kan gevoelige serviceaccounts, beheerdersaccounts of beveiligingsgroepen repliceren die uitsluitend on-premises moeten blijven. Omgekeerd kan een onjuist beperkt bereik ertoe leiden dat accounts die cloudtoegang nodig hebben niet worden gesynchroniseerd, wat authenticatiefouten veroorzaakt.", "status": "machine-draft" }, "recommendedValue": { "value": "Synchronisatiebereik beperkt tot uitsluitend de vereiste organisatie-eenheden en objecten, waarbij gevoelige serviceaccounts en beheerdersobjecten zijn uitgesloten", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel het synchronisatiebereik van Azure AD Connect, waaronder de filterregels op OU-niveau, op groepsniveau en op kenmerkniveau. Controleer of alleen OU's die gebruikersaccounts bevatten die cloudtoegang nodig hebben, in het synchronisatiebereik zijn opgenomen. Sluit gevoelige on-premises serviceaccounts, beheerdersaccounts en beveiligingsgroepen uit die geen cloudrepresentatie nodig hebben, en documenteer de reden voor elke opgenomen OU.", "status": "machine-draft" } }, "EIDFED-007": { "name": { "value": "Ingeschakelde status van Password Hash Sync", "status": "machine-draft" }, "description": { "value": "Password Hash Synchronization (PHS) repliceert een hash van on-premises wachtwoordhashes naar Entra ID, waardoor cloudauthenticatie mogelijk wordt als back-up wanneer federatie of pass-through-authenticatie niet beschikbaar is. Hoewel PHS veerkracht biedt en detectie van gelekte referenties via Entra ID Identity Protection mogelijk maakt, moeten organisaties de beveiligingsimplicaties begrijpen van het opslaan van wachtwoordderivaten in de cloud. PHS moet worden getoetst aan de beveiligingsvereisten en risicobereidheid van de organisatie.", "status": "machine-draft" }, "recommendedValue": { "value": "PHS ingeschakeld als back-upauthenticatiemethode met actieve detectie van gelekte referenties via Entra ID Identity Protection", "status": "machine-draft" }, "remediationSteps": { "value": "Controleer de configuratie van Azure AD Connect om te bepalen of Password Hash Synchronization is ingeschakeld. Als PHS is uitgeschakeld, overweeg dan het in te schakelen als back-upauthenticatiemethode en ter ondersteuning van detectie van gelekte referenties in Entra ID Identity Protection. Als PHS al is ingeschakeld, controleer dan of Entra ID Identity Protection is geconfigureerd om de wachtwoordhashes te gebruiken voor risicogebaseerde detectie van gecompromitteerde referenties.", "status": "machine-draft" } }, "EIDFED-008": { "name": { "value": "Status van Pass-Through Authentication-agent", "status": "machine-draft" }, "description": { "value": "Pass-Through Authentication (PTA) valideert gebruikerswachtwoorden in realtime tegen on-premises Active Directory zonder wachtwoordhashes in de cloud op te slaan. PTA-agents die op on-premises servers draaien, moeten goed worden beveiligd, bewaakt en actueel gehouden, aangezien een gecompromitteerde PTA-agent kan worden gemanipuleerd om elk wachtwoord te accepteren of om referenties tijdens de authenticatie te onderscheppen. De gezondheid van de agent, de actualiteit van de versie en de beveiligingshouding van de server zijn cruciaal voor het behoud van de integriteit van de authenticatie.", "status": "machine-draft" }, "recommendedValue": { "value": "Ten minste 2 PTA-agents geimplementeerd op verstevigde servers met actuele agentversies en ingeschakelde gezondheidsbewaking", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel de status van de PTA-agents in Entra ID > Hybrid management > Azure AD Connect > Pass-through authentication. Controleer of er ten minste twee agents zijn geimplementeerd voor redundantie en of alle agents een gezonde status met actuele softwareversies tonen. Zorg dat de servers met PTA-agents worden behandeld als Tier 0-assets met beperkte beheerderstoegang, actuele beveiligingsupdates en uitgebreide bewaking van gebeurtenislogboeken.", "status": "machine-draft" } }, "EIDFED-009": { "name": { "value": "Beoordeling van de configuratie van AD FS-servers", "status": "machine-draft" }, "description": { "value": "Active Directory Federation Services (AD FS)-servers verzorgen de authenticatie voor gefedereerde domeinen en verwerken beveiligingsgevoelige SAML-tokens. Onjuist geconfigureerde AD FS-instellingen, zoals zwakke tokenondertekeningsalgoritmen, uitgeschakelde auditregistratie, te ruime extranettoegang of verouderde claimregels, kunnen worden misbruikt voor tokenvervalsing, het verzamelen van referenties of ongeautoriseerde toegang. De AD FS-configuratie moet regelmatig worden getoetst aan de beveiligingsbaselines en verstevigingsrichtlijnen van Microsoft.", "status": "machine-draft" }, "recommendedValue": { "value": "AD FS-servers geconfigureerd volgens de beveiligingsbaseline van Microsoft met SHA-256-ondertekening, uitgebreide auditregistratie en actuele Windows Server-updates", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel de configuratie van de AD FS-server, waaronder het tokenondertekeningsalgoritme (moet SHA-256 zijn), de auditlogboekinstellingen (moeten succes- en foutgebeurtenissen vastleggen), de extranettoegangsbeleidsregels en de complexiteit van de claimregels. Zorg dat de AD FS-servers de nieuwste Windows Server-updates draaien en dat de AD FS-farm is geconfigureerd met redundante servers. Controleer of het AD FS-serviceaccount het principe van minimale bevoegdheden volgt en of de privesleutel van het tokenondertekeningscertificaat goed is beschermd.", "status": "machine-draft" } }, "EIDFED-010": { "name": { "value": "Instellingen voor extranetvergrendeling van AD FS", "status": "machine-draft" }, "description": { "value": "AD FS-extranetvergrendeling beschermt tegen brute-force- en password spray-aanvallen gericht op het AD FS-eindpunt dat aan het internet is blootgesteld. Zonder correcte configuratie van extranetvergrendeling kunnen aanvallers via de AD FS-proxy onbeperkt wachtwoorden raden tegen elk gefedereerd account, wat mogelijk accounts met zwakke of veelgebruikte wachtwoorden compromitteert. De functie voor slimme vergrendeling in AD FS biedt bescherming en beperkt tegelijkertijd de impact van vergrendeling op legitieme gebruikers.", "status": "machine-draft" }, "recommendedValue": { "value": "Slimme extranetvergrendeling ingeschakeld met een passende drempelwaarde en een geconfigureerd observatievenster om brute-force-aanvallen te voorkomen", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel de configuratie van de AD FS-extranetvergrendeling met Get-AdfsProperties in PowerShell op de AD FS-server. Schakel slimme extranetvergrendeling in als deze nog niet actief is en configureer een passende vergrendelingsdrempel en observatievenster op basis van de authenticatiepatronen van uw organisatie. Bewaak de AD FS-beveiligingslogboeken op extranetvergrendelingsgebeurtenissen en pas de drempelwaarden aan als legitieme gebruikers worden vergrendeld of als brute-force-pogingen slagen.", "status": "machine-draft" } }, "EIDFED-011": { "name": { "value": "Configuratie van hybride koppeling", "status": "machine-draft" }, "description": { "value": "Hybrid Azure AD join registreert on-premises aan een domein gekoppelde apparaten bij Entra ID, waardoor beleidsregels voor voorwaardelijke toegang mogelijk worden die apparaatnaleving of domeinkoppelingsstatus vereisen. Onjuist geconfigureerde hybride-koppelingsinstellingen kunnen ertoe leiden dat apparaten zich niet registreren, waardoor gebruikers niet kunnen voldoen aan apparaatgebaseerde vereisten voor voorwaardelijke toegang, of kunnen ongeautoriseerde apparaten laten registreren als het servicekoppelpunt niet goed is beveiligd. De configuratie moet end-to-end worden gevalideerd.", "status": "machine-draft" }, "recommendedValue": { "value": "Hybrid Azure AD join geconfigureerd en functioneel met een goed beveiligd servicekoppelpunt en geverifieerde apparaatregistratie voor alle doel-OU's", "status": "machine-draft" }, "remediationSteps": { "value": "Controleer de configuratie van het servicekoppelpunt (SCP) in Active Directory en zorg dat dit verwijst naar de juiste Entra ID-tenant. Controleer of de hybride-koppelingsconfiguratie in Azure AD Connect de juiste domeinen bevat en of de vereiste eindpunten voor bedrijfsregistratie toegankelijk zijn vanaf clientapparaten. Valideer dat apparaten zich met succes registreren door de apparaatlijst in Entra ID te beoordelen en apparaten met de status in behandeling op te lossen.", "status": "machine-draft" } }, "EIDFED-012": { "name": { "value": "Analyse van uitsluitend-cloud- versus gesynchroniseerde accounts", "status": "machine-draft" }, "description": { "value": "Inzicht in de verdeling tussen uitsluitend in de cloud aanwezige accounts en vanuit on-premises gesynchroniseerde accounts biedt zicht op het hybride identiteitslandschap en helpt bij het identificeren van mogelijke beveiligingshiaten. Uitsluitend-cloud-accounts worden volledig beheerd in Entra ID, terwijl gesynchroniseerde accounts afkomstig zijn uit on-premises Active Directory en de bijbehorende beveiligingshouding overnemen. Deze analyse helpt bij het identificeren van accounts die uitsluitend in de cloud zouden moeten bestaan maar toch worden gesynchroniseerd, of omgekeerd, en ondersteunt beslissingen over de keuze van authenticatiemethoden en de plaatsing van beveiligingsmaatregelen.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle accounts gecategoriseerd als uitsluitend-cloud of gesynchroniseerd, met documentatie van de verwachte status voor elk accounttype en elke rol", "status": "machine-draft" }, "remediationSteps": { "value": "Exporteer alle gebruikersaccounts uit Entra ID en categoriseer ze op basis van het kenmerk onPremisesSyncEnabled om te bepalen welke accounts vanuit on-premises worden gesynchroniseerd en welke uitsluitend in de cloud bestaan. Controleer of bevoorrechte beheerdersaccounts uitsluitend in de cloud bestaan om te voorkomen dat een on-premises compromittering het cloudbeheer beinvloedt. Documenteer de verwachte identiteitsbron voor elk accounttype en onderzoek accounts waarvan de werkelijke bron niet overeenkomt met de verwachte configuratie.", "status": "machine-draft" } }, "EIDFED-013": { "name": { "value": "Actualiteit van de Entra Connect-synchronisatieclientversie", "status": "machine-draft" }, "description": { "value": "Microsoft Entra Connect (voorheen Azure AD Connect) is de synchronisatieclient die on-premises Active Directory-identiteiten repliceert naar Entra ID en is een Tier 0-hybridecomponent: een compromittering van de Connect-server kan leiden tot vervalste of gemanipuleerde cloudidentiteiten en tenantbrede impact. Microsoft brengt periodiek Entra Connect-builds uit die niet-openbaar gemaakte beveiligingsoplossingen bevatten, vergezeld van versnelde richtlijnen om 'onmiddellijk bij te werken'. Een Connect-server die een build onder de minimaal veilige basislijn draait, is een niet-gepatchte Tier 0-asset die is blootgesteld aan bekende maar niet-openbaar gemaakte kwetsbaarheden. Aangezien de versie een kenmerk van de on-premises Connect-server is en geen eigenschap van de clouddirectory, moet de actualiteit van de versie gezaghebbend worden bevestigd op de Connect-host; als deze niet kan worden gelezen, moet dit ter handmatige verificatie worden aangeboden en niet als nalevend worden verondersteld.", "status": "machine-draft" }, "recommendedValue": { "value": "Entra Connect bijgewerkt naar de nieuwste beschikbare build (op of boven de minimaal veilige basislijn), met automatische upgrade ingeschakeld waar dit wordt ondersteund en de Connect-server beheerd als een Tier 0-asset", "status": "machine-draft" }, "remediationSteps": { "value": "Bepaal de geinstalleerde Entra Connect-build op de synchronisatieserver met de registersleutel HKLM\\SOFTWARE\\Microsoft\\Azure AD Connect of Get-ADSyncGlobalSettings, en vergelijk deze met de nieuwste build die door Microsoft is gepubliceerd. Werk Entra Connect bij naar de nieuwste release om beveiligingsoplossingen toe te passen en schakel automatische upgrade in waar de implementatie dit ondersteunt. Behandel de Entra Connect-server als een Tier 0-asset: beperk de beheerderstoegang, pas actuele besturingssysteemupdates toe en schakel uitgebreide bewaking in. Documenteer een terugkerend proces om de releaseopmerkingen van Microsoft Entra Connect te volgen en beveiligingsbuilds tijdig toe te passen.", "status": "machine-draft" } } } |