Data/Locales/checks/nl/EntraTenantChecks.json
|
{ "_family": "EntraTenantChecks.json", "EIDTNT-001": { "name": { "value": "Export van tenantbrede instellingen", "status": "machine-draft" }, "description": { "value": "Een volledige export van alle tenantbrede configuratie-instellingen legt een bekende, goede basislijn vast voor wijzigingsdetectie en noodherstel. Zonder een gedocumenteerde basislijn is het onmogelijk te bepalen of de huidige instellingen zijn afgeweken van hun beoogde status of dat een aanvaller de tenantconfiguratie heeft gewijzigd om beveiligingsmaatregelen te verzwakken. Deze basislijn moet worden vastgelegd bij de eerste configuratie en worden bijgewerkt telkens wanneer geautoriseerde wijzigingen worden aangebracht.", "status": "machine-draft" }, "recommendedValue": { "value": "Volledige tenantconfiguratiebasislijn geexporteerd en opgeslagen in een versiebeheerde opslagplaats met regelmatige momentopnamen", "status": "machine-draft" }, "remediationSteps": { "value": "Exporteer alle tenantbrede instellingen met de Microsoft Graph API, waaronder autorisatiebeleid, beleid voor authenticatiemethoden, toestemmingsbeleid, cross-tenant-toegangsinstellingen en directory-instellingen. Sla de export op in een beveiligde, versiebeheerde opslagplaats en stel een gepland proces in om periodieke momentopnamen vast te leggen. Vergelijk de huidige instellingen regelmatig met de basislijn om ongeautoriseerde of onbedoelde configuratieafwijking te detecteren.", "status": "machine-draft" } }, "EIDTNT-002": { "name": { "value": "Beoordeling van gebruikersinstellingen", "status": "machine-draft" }, "description": { "value": "Tenantbrede gebruikersinstellingen bepalen of standaardgebruikers toepassingen kunnen registreren, toestemming kunnen geven aan toepassingen om bedrijfsgegevens te benaderen, beveiligingsgroepen kunnen maken en directorygegevens van andere gebruikers kunnen lezen. Te ruime gebruikersinstellingen maken schaduw-IT, ongeautoriseerde toepassingsintegraties en groepswildgroei mogelijk die het aanvalsoppervlak vergroten. Deze instellingen moeten worden beperkt om te voorkomen dat standaardgebruikers acties uitvoeren die beheerderstoezicht zouden moeten vereisen.", "status": "machine-draft" }, "recommendedValue": { "value": "Gebruikers kunnen geen toepassingen registreren, gebruikerstoestemming beperkt tot geverifieerde uitgevers, aanmaken van groepen beperkt tot geautoriseerde gebruikers", "status": "machine-draft" }, "remediationSteps": { "value": "Ga naar Entra ID > User settings en beoordeel elke instelling. Schakel 'Users can register applications' uit om ongecontroleerde wildgroei aan app-registraties te voorkomen. Beperk de instellingen voor gebruikerstoestemming zodat toestemming alleen is toegestaan voor apps van geverifieerde uitgevers met laag-risicomachtigingen. Beperk wie Microsoft 365-groepen en beveiligingsgroepen kan maken tot aangewezen beheerders of groepseigenaren.", "status": "machine-draft" } }, "EIDTNT-003": { "name": { "value": "Toegangsbeperkingen voor gastgebruikers", "status": "machine-draft" }, "description": { "value": "Gastgebruikers zijn externe identiteiten die worden uitgenodigd om met de organisatie samen te werken. Standaard kunnen gastgebruikers een te ruim inzicht in de directory hebben, waaronder de mogelijkheid om gebruikers, groepen en toepassingen te inventariseren. Onbeperkte gasttoegang stelt externe partijen in staat de identiteitsstructuur van de organisatie in kaart te brengen, waardevolle doelen te identificeren en inlichtingen te verzamelen voor latere aanvallen. Gastmachtigingen moeten worden beperkt tot het minimum dat voor samenwerking vereist is.", "status": "machine-draft" }, "recommendedValue": { "value": "Toegang van gastgebruikers beperkt tot uitsluitend de eigenschappen en lidmaatschappen van hun eigen directory-objecten", "status": "machine-draft" }, "remediationSteps": { "value": "Ga naar Entra ID > External Identities > External collaboration settings en beoordeel de toegangsbeperkingen voor gastgebruikers. Stel de toegang van gastgebruikers in op de meest restrictieve optie die gasten beperkt tot de eigenschappen en lidmaatschappen van hun eigen directory-objecten. Controleer of gasten de volledige gebruikerslijst, groepslidmaatschappen of app-registraties niet kunnen inventariseren door dit met een gastaccount te testen.", "status": "machine-draft" } }, "EIDTNT-004": { "name": { "value": "Beperkingen op gastuitnodigingen", "status": "machine-draft" }, "description": { "value": "Instellingen voor gastuitnodigingen bepalen wie externe gebruikers voor de tenant kan uitnodigen, varierend van het toestaan dat elke gebruiker gasten uitnodigt tot het beperken van uitnodigingen tot uitsluitend beheerders. Ruime uitnodigingsinstellingen stellen standaardgebruikers in staat externe partijen zonder toezicht uit te nodigen, waardoor mogelijk niet-gecontroleerde externe identiteiten met toegang tot organisatieresources worden geintroduceerd. Uitnodigingsbeperkingen moeten aansluiten bij de governancevereisten van de organisatie voor externe samenwerking.", "status": "machine-draft" }, "recommendedValue": { "value": "Gastuitnodigingen beperkt tot gebruikers met specifieke beheerdersrollen of de rol gastuitnodiger, zonder ingeschakelde selfservicegasttoegang", "status": "machine-draft" }, "remediationSteps": { "value": "Ga naar Entra ID > External Identities > External collaboration settings en beoordeel de instellingen voor gastuitnodigingen. Beperk gastuitnodigingen tot gebruikers met de rol Guest Inviter of specifieke beheerdersrollen in plaats van alle leden te laten uitnodigen. Schakel de optie voor gasten om andere gasten uit te nodigen uit om ongecontroleerde uitnodigingsketens te voorkomen en stel een goedkeuringsworkflow in voor aanvragen van gastuitnodigingen.", "status": "machine-draft" } }, "EIDTNT-005": { "name": { "value": "Instellingen voor externe samenwerking", "status": "machine-draft" }, "description": { "value": "Instellingen voor externe samenwerking definieren het bereik van domeinen waaruit gastgebruikers kunnen worden uitgenodigd en welke externe organisaties met de tenant kunnen samenwerken. Zonder domeinbeperkingen kunnen gasten worden uitgenodigd vanuit elke externe organisatie, waaronder concurrenten, gesanctioneerde entiteiten of door aanvallers beheerde tenants. Er moeten domeinlijsten met toegestane of geblokkeerde domeinen worden geconfigureerd om samenwerking te beperken tot goedgekeurde partnerorganisaties en ongeautoriseerde externe toegang te voorkomen.", "status": "machine-draft" }, "recommendedValue": { "value": "Externe samenwerking beperkt tot specifiek toegestane domeinen met een blokkeerlijst voor bekende hoog-risicodomeinen", "status": "machine-draft" }, "remediationSteps": { "value": "Ga naar Entra ID > External Identities > External collaboration settings en configureer de samenwerkingsbeperkingen. Implementeer op basis van het samenwerkingsmodel van uw organisatie een toestemmingslijst met goedgekeurde partnerdomeinen of een blokkeerlijst met bekende hoog-risico- en concurrentendomeinen. Beoordeel en werk de domeinlijst elk kwartaal bij om veranderingen in partnerrelaties weer te geven en zorg dat de samenwerkingsbeperkingen aansluiten bij het beleid voor gegevensclassificatie en informatiedeling.", "status": "machine-draft" } }, "EIDTNT-006": { "name": { "value": "Azure B2B-beleid voor cross-tenant-toegang", "status": "machine-draft" }, "description": { "value": "Beleid voor cross-tenant-toegang biedt gedetailleerde controle over hoe gebruikers zich authenticeren en toegang krijgen tot resources bij samenwerking met externe Entra ID-tenants. Standaardinstellingen voor cross-tenant-toegang kunnen ruime inkomende en uitgaande toegang toestaan die niet aansluit bij de beveiligingsvereisten van de organisatie. Correct geconfigureerd beleid voor cross-tenant-toegang maakt vertrouwde B2B-samenwerking mogelijk en voorkomt tegelijkertijd ongeautoriseerde toegang vanuit niet-vertrouwde tenants en bepaalt welke gebruikers toegang hebben tot externe resources.", "status": "machine-draft" }, "recommendedValue": { "value": "Standaardbeleid voor cross-tenant-toegang ingesteld op blokkeren, met expliciete toestemmingsregels voor uitsluitend goedgekeurde partnertenants", "status": "machine-draft" }, "remediationSteps": { "value": "Ga naar Entra ID > External Identities > Cross-tenant access settings en beoordeel de standaardinstellingen voor inkomende en uitgaande toegang. Configureer het standaardbeleid zo dat zowel inkomende als uitgaande toegang wordt beperkt en maak vervolgens organisatiespecifiek beleid voor goedgekeurde partnertenants met passende toegangsmaatregelen. Schakel vertrouwensinstellingen voor partnertenants in om hun MFA-claims en apparaatnaleving waar passend te accepteren, waardoor de authenticatiewrijving voor vertrouwde samenwerkingen wordt verminderd.", "status": "machine-draft" } }, "EIDTNT-007": { "name": { "value": "Status ingeschakeld/uitgeschakeld van beveiligingsstandaarden", "status": "machine-draft" }, "description": { "value": "Beveiligingsstandaarden bieden een basisset identiteitsbeveiligingsmechanismen, waaronder MFA-registratievereisten, MFA-uitdagingen voor beheerders en het blokkeren van verouderde authenticatie. Organisaties die beleidsregels voor voorwaardelijke toegang gebruiken, moeten beveiligingsstandaarden uitgeschakeld hebben om conflicten te voorkomen, maar tenants zonder voorwaardelijke toegang die ook beveiligingsstandaarden uitgeschakeld hebben, beschikken over geen enkele basisbescherming tegen veelvoorkomende identiteitsaanvallen. Deze controle verifieert dat beveiligingsstandaarden of gelijkwaardige beleidsregels voor voorwaardelijke toegang de tenant actief beschermen.", "status": "machine-draft" }, "recommendedValue": { "value": "Beveiligingsstandaarden ingeschakeld voor tenants zonder voorwaardelijke toegang. Voor tenants met voorwaardelijke toegang beveiligingsstandaarden uitgeschakeld met gelijkwaardig of sterker CA-beleid aanwezig", "status": "machine-draft" }, "remediationSteps": { "value": "Controleer of beveiligingsstandaarden zijn ingeschakeld in Entra ID > Properties > Manage security defaults. Als beveiligingsstandaarden zijn uitgeschakeld, controleer dan of beleidsregels voor voorwaardelijke toegang gelijkwaardige of sterkere bescherming bieden, waaronder MFA voor alle gebruikers, het blokkeren van verouderde authenticatie en MFA voor beheerhandelingen. Als beveiligingsstandaarden noch gelijkwaardige beleidsregels voor voorwaardelijke toegang aanwezig zijn, schakel dan beveiligingsstandaarden onmiddellijk in als basisbeschermingsmaatregel.", "status": "machine-draft" } }, "EIDTNT-008": { "name": { "value": "Licentie-inventaris en -gebruik", "status": "machine-draft" }, "description": { "value": "Een volledige inventaris van toegewezen licenties en hun gebruikspercentages biedt inzicht in de beschikbare beveiligingsfuncties en identificeert mogelijke hiaten waar gelicentieerde mogelijkheden niet worden gebruikt. Organisaties betalen mogelijk voor geavanceerde beveiligingsfuncties zoals Entra ID P2, Microsoft Defender for Identity of Microsoft Sentinel die niet volledig zijn geimplementeerd of geconfigureerd. Inzicht in het licentielandschap zorgt ervoor dat alle aangeschafte beveiligingsmogelijkheden zijn geactiveerd en gebruikt.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle licenties geinventariseerd met gebruiksregistratie en alle beveiligingsgerelateerde gelicentieerde functies volledig geimplementeerd en geconfigureerd", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel het overzicht van licentietoewijzingen in het Microsoft 365-beheercentrum of Entra ID > Licenses > Overview. Identificeer beveiligingsrelevante licenties zoals Entra ID P1/P2, Microsoft Defender for Identity en Microsoft 365 E5 Security. Controleer of de functies die in elke licentie zijn opgenomen actief zijn geconfigureerd en geimplementeerd, en maak een plan om ongebruikte beveiligingsmogelijkheden die al zijn gelicentieerd te activeren.", "status": "machine-draft" } }, "EIDTNT-009": { "name": { "value": "Configuratie van administratieve eenheden", "status": "machine-draft" }, "description": { "value": "Administratieve eenheden bieden een gedelegeerd beheerbereik door gebruikers, groepen en apparaten te groeperen in logische containers met specifieke beheerders die zijn aangewezen om uitsluitend die objecten te beheren. Zonder administratieve eenheden kunnen gedelegeerde beheerders ruimere toegang hebben dan bedoeld, of sluiten beheergrenzen mogelijk niet aan bij de organisatiestructuur. Correct geconfigureerde administratieve eenheden dwingen delegatie met minimale bevoegdheden af en voorkomen dat beheerders hun bevoegdheden overschrijden.", "status": "machine-draft" }, "recommendedValue": { "value": "Administratieve eenheden geconfigureerd om aan te sluiten bij het delegatiemodel van de organisatie, met administratieve eenheden met beperkt beheer gebruikt voor gevoelige objecten", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel de bestaande configuratie van administratieve eenheden in Entra ID > Roles and administrators > Administrative units. Evalueer of de huidige structuur aansluit bij de delegatievereisten van uw organisatie en of gevoelige objecten zoals bevoorrechte accounts worden beschermd door administratieve eenheden met beperkt beheer. Maak of wijzig administratieve eenheden waar nodig zodat beheerders uitsluitend objecten binnen hun aangewezen bereik kunnen beheren.", "status": "machine-draft" } }, "EIDTNT-010": { "name": { "value": "Configuratie van aangepaste domeinen", "status": "machine-draft" }, "description": { "value": "Aangepaste domeinen die in de tenant zijn geregistreerd, definieren de e-mailadres- en aanmeldingssuffixen die de organisatie gebruikt. Niet-geverifieerde of ongeautoriseerde domeinen kunnen wijzen op een onjuiste configuratie of op een aanvaller die probeert een aanwezigheid in de tenant te vestigen. Elk aangepast domein moet worden geverifieerd via DNS-records en periodiek worden beoordeeld om te garanderen dat alle domeinen nog eigendom van de organisatie zijn en dat de DNS-verificatierecords intact blijven.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle aangepaste domeinen geverifieerd, actief beheerd en met intacte DNS-verificatierecords", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel alle aangepaste domeinen die zijn geregistreerd in Entra ID > Custom domain names en controleer of elk domein nog eigendom van de organisatie is en of de DNS-verificatierecords correct zijn geconfigureerd. Verwijder domeinen die niet meer in gebruik zijn of waarvan niet kan worden geverifieerd dat ze eigendom van de organisatie zijn. Zorg dat de DNS-registraties van domeinen worden beschermd met registrarvergrendelingen en dat de verloopdatums van domeinen worden bewaakt om onbedoeld verlies van domeinen te voorkomen.", "status": "machine-draft" } }, "EIDTNT-011": { "name": { "value": "Diagnostische instellingen voor audit- en aanmeldingslogboeken", "status": "machine-draft" }, "description": { "value": "Entra ID genereert auditlogboeken en aanmeldingslogboeken die cruciaal zijn voor beveiligingsbewaking, incidentonderzoek en nalevingsrapportage. Zonder diagnostische instellingen die zijn geconfigureerd om deze logboeken te exporteren naar een duurzame opslaglocatie zoals een Log Analytics-werkruimte, een Azure Storage-account of een SIEM, worden logboeken slechts gedurende een beperkte periode binnen Entra ID bewaard en kunnen ze tijdens incidentonderzoek niet beschikbaar zijn. Aanvallers richten zich actief op de logregistratieconfiguratie om detectie uit te schakelen of te ontwijken.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Entra ID-logboekcategorieen (audit, aanmelding, niet-interactieve aanmelding, aanmelding van service-principals, aanmelding van beheerde identiteiten, inrichting) geexporteerd naar een Log Analytics-werkruimte of SIEM", "status": "machine-draft" }, "remediationSteps": { "value": "Ga naar Entra ID > Monitoring > Diagnostic settings en maak of controleer een diagnostische instelling die alle logboekcategorieen exporteert naar een Log Analytics-werkruimte, een Azure Storage-account of een Event Hub voor SIEM-inname. Zorg dat alle beschikbare logboekcategorieen zijn geselecteerd, waaronder auditlogboeken, aanmeldingslogboeken, niet-interactieve aanmeldingslogboeken, aanmeldingslogboeken van service-principals, aanmeldingslogboeken van beheerde identiteiten en inrichtingslogboeken. Controleer of de doelopslag over passend geconfigureerde bewaarbeleidsregels en toegangsmaatregelen beschikt.", "status": "machine-draft" } }, "EIDTNT-012": { "name": { "value": "Bewaarinstellingen voor auditlogboeken", "status": "machine-draft" }, "description": { "value": "De bewaring van auditlogboeken bepaalt hoelang historische beveiligingsgebeurtenissen beschikbaar zijn voor onderzoek, nalevingsrapportage en forensische analyse. Onvoldoende bewaartermijnen kunnen ertoe leiden dat cruciaal bewijs niet beschikbaar is bij het onderzoeken van incidenten die weken of maanden na de initiele compromittering worden ontdekt. Organisaties moeten auditlogboeken ten minste 1 jaar bewaren om de tijdlijnen van incidentrespons te ondersteunen en aan gangbare wettelijke vereisten te voldoen.", "status": "machine-draft" }, "recommendedValue": { "value": "Auditlogboeken ten minste 1 jaar bewaard in een onveranderlijke opslaglocatie, waarvan ten minste 90 dagen direct opvraagbaar", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel de bewaarinstellingen op de Log Analytics-werkruimte, het Azure Storage-account of de SIEM-bestemming waarnaar Entra ID-logboeken worden geexporteerd. Configureer bewaring van ten minste 365 dagen voor alle Entra ID-logboekcategorieen om incidentonderzoek en nalevingsvereisten te ondersteunen. Zorg dat ten minste 90 dagen aan logboeken direct opvraagbaar is zonder herstelbewerkingen en implementeer onveranderlijke opslag of write-once-beleid om manipulatie van historische logboekgegevens te voorkomen.", "status": "machine-draft" } }, "EIDTNT-013": { "name": { "value": "Audit van meldingsinstellingen", "status": "machine-draft" }, "description": { "value": "Meldingsinstellingen van Entra ID bepalen wie waarschuwingen ontvangt voor kritieke beveiligingsgebeurtenissen zoals gebruikers met risico, wekelijkse samenvattingsrapporten en beheerdersmeldingen. Onjuist geconfigureerde meldingsinstellingen kunnen ertoe leiden dat beveiligingswaarschuwingen naar inactieve postvakken of voormalige werknemers worden gestuurd, of helemaal niet worden verzonden. Correcte meldingsroutering zorgt ervoor dat beveiligingsrelevante gebeurtenissen het juiste personeel bereiken voor tijdig onderzoek en respons.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle beveiligingsmeldingen gerouteerd naar actieve, bewaakte postvakken van het huidige personeel van de beveiligingsoperaties", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel de meldingsinstellingen binnen Entra ID, waaronder de ontvangers van Identity Protection-meldingen, de meldingsinstellingen voor wachtwoordherstel en de technische contactpersonen voor meldingen. Controleer of alle ontvangers van meldingen huidige werknemers met actief bewaakte postvakken zijn en werk verwijzingen naar voormalige werknemers of inactieve distributielijsten bij. Configureer meldingen zodat ze naar een distributielijst voor beveiligingsoperaties worden gestuurd in plaats van naar individuele gebruikers, om continuiteit te garanderen wanneer er personeelswisselingen plaatsvinden.", "status": "machine-draft" } }, "EIDTNT-014": { "name": { "value": "Verloop van gebruikerswachtwoorden uitgeschakeld (wachtwoorden verlopen nooit)", "status": "machine-draft" }, "description": { "value": "Verplichte periodieke wachtwoordrotatie drijft gebruikers naar voorspelbare, zwakkere en hergebruikte wachtwoorden en biedt weinig defensieve waarde wanneer MFA en moderne referentiebeschermingen aanwezig zijn. In lijn met de richtlijnen van NIST SP 800-63B en OMB M-22-09 moeten gebruikerswachtwoorden zo worden geconfigureerd dat ze nooit verlopen. In Entra ID wordt dit per geverifieerd domein geregeld door het kenmerk passwordValidityPeriodInDays; de waarde 2147483647 geeft aan dat wachtwoorden zijn ingesteld om nooit te verlopen. Deze controle inspecteert elk beheerd domein en markeert domeinen die nog steeds een eindige wachtwoordverlooptermijn afdwingen.", "status": "machine-draft" }, "recommendedValue": { "value": "passwordValidityPeriodInDays ingesteld op 2147483647 (nooit verlopen) op alle beheerde domeinen", "status": "machine-draft" }, "remediationSteps": { "value": "Stel het wachtwoordverloopbeleid zo in dat wachtwoorden nooit verlopen, waarmee wordt voldaan aan SCuBA MS.AAD.6.1. Ga in het Microsoft 365-beheercentrum naar Settings > Org settings > Security & privacy > Password expiration policy en selecteer 'Set passwords to never expire'. Stel op equivalente wijze voor elk beheerd domein passwordValidityPeriodInDays in op 2147483647 (nooit verlopen). Zorg dat compenserende maatregelen aanwezig blijven: afgedwongen MFA, bescherming tegen verboden wachtwoorden en risicogebaseerd referentieherstel.", "status": "machine-draft" } }, "EIDTNT-015": { "name": { "value": "Bevoorrechte gedelegeerde beheerderstoegang voor partners (GDAP)", "status": "machine-draft" }, "description": { "value": "Granular Delegated Admin Privileges (GDAP) laten een CSP- of managed-servicespartner staande beheerdersrollen in uw tenant bezitten. Deze relatie is onzichtbaar in de meeste dagelijkse beheerweergaven, wordt zelden beoordeeld en is een propagatiepad van Kaseya-klasse: een aanvaller die een partner compromitteert, erft gedelegeerd beheer in elke onderliggende klanttenant tegelijk. Een partnerrelatie die een Tier 0-/hoog-impact-directoryrol draagt (Global Administrator, Privileged Role Administrator, Privileged/Authentication Administrator, Security Administrator, User/Password/Application/Cloud Application Administrator) vormt in feite een externe set sleutels tot het koninkrijk. Deze controle inventariseert actieve delegatedAdminRelationships en geeft FAIL wanneer een actieve relatie een van die bevoorrechte rollen verleent; ze waarschuwt wanneer niet-bevoorrechte partnertoegang bestaat zodat deze kan worden bevestigd en afgebakend, en slaagt uitsluitend wanneer er geen actief gedelegeerd partnerbeheer is. Lege resultaten worden alleen behandeld als 'geen relaties' wanneer de verzameling is geslaagd; een mislukte aanroep verschijnt als Niet beoordeeld, nooit als een schone pass.", "status": "machine-draft" }, "recommendedValue": { "value": "Geen actieve GDAP-relatie verleent een bevoorrechte directoryrol; partnertoegang is minimaal bevoegd, in tijd begrensd en beoordeeld", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel elke actieve relatie voor gedelegeerd partnerbeheer (GDAP) in het Microsoft Entra-beheercentrum > Identity > External Identities > Cross-tenant access (Partner-led) en in het Microsoft 365-beheercentrum > Settings > Partner relationships. Verwijder voor elke relatie Tier 0-/hoog-impact-rollen (Global Administrator, Privileged Role Administrator, Privileged Authentication Administrator, Security Administrator, User/Password/Application/Cloud Application Administrator), tenzij er een gedocumenteerde, in tijd begrensde behoefte is. Vervang staande bevoorrechte delegatie door rollen met minimale bevoegdheden, vraag waar mogelijk just-in-time-elevatie aan via de eigen PIM van de partner en beeindig elke relatie die niet langer vereist is. Bevestig dat de eigen tenant van de partner phishingbestendige MFA afdwingt voor de beheerders die deze toegang uitoefenen.", "status": "machine-draft" } }, "EIDTNT-016": { "name": { "value": "Hygiene van gedelegeerde partnerbeheertoekenning (langlevende GDAP)", "status": "machine-draft" }, "description": { "value": "De duur van een GDAP-relatie is het venster voor automatische verlenging: wanneer deze afloopt, verlengt ze zichzelf voor die periode zonder enige menselijke beoordeling. Een lange automatische verlenging (langer dan een jaar) is daarom een staande, zichzelf vernieuwende toekenning van beheerderstoegang voor partners, het tegenovergestelde van just-in-time, en is precies het soort vergeten relatie dat de opdracht overleeft waarvoor ze is aangemaakt. Deze controle inspecteert actieve delegatedAdminRelationships en waarschuwt wanneer een relatie zichzelf langer dan 365 dagen automatisch verlengt; een relatie waarvan de duur niet kan worden bepaald, wordt behoudend als langlevend behandeld en niet als in orde verondersteld. Ze slaagt uitsluitend wanneer alle actieve relaties zich binnen een jaar automatisch verlengen. Dit is een hygiene-/governancesignaal dat EIDTNT-015 aanvult (die de bevoegdheid beoordeelt die de partner bezit); hier gaat het erom hoelang de toekenning zonder beoordeling voortduurt.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle actieve GDAP-relaties verlengen zich binnen 365 dagen automatisch en worden bij elke verlenging beoordeeld", "status": "machine-draft" }, "remediationSteps": { "value": "Stel voor elke actieve relatie voor gedelegeerd partnerbeheer (GDAP) de kortste automatische verlengingsduur in die bij de opdracht past (vermijd meerjarige staande toekenningen) en plan een beoordeling bij elke verlenging. Bevestig in het Microsoft 365-beheercentrum onder Settings > Partner relationships dat elke relatie nog steeds vereist is en beeindig verouderde relaties. Geef de voorkeur aan korte, verlengbare delegaties boven langlevende, automatisch verlengende toegang, zodat partnerbeheer bewust opnieuw wordt geautoriseerd in plaats van standaard.", "status": "machine-draft" } } } |