Bereitstellungshandbuch für die externe Microsoft Entra-ID in Sicherheitsoperationen

In diesem Dokument werden Überlegungen zu Sicherheitsvorgängen für die Bereitstellung von Microsoft Entra External ID beschrieben, einer erweiterbaren Lösung zur Ergänzung von CIAM-Lösungen (Customer Identity and Access Management) in Ihren Apps. Dieses Dokument betont Edge-basierte Angriffe, insbesondere Bots, die auf die Registrierung abzielen, und Anmeldeendpunkte. Diese Vektoren werden häufig in externen Identitätssystemen ausgenutzt und erfordern mehrschichtige, proaktive, Verteidigungsstrategien.

Zu den wichtigsten Themen gehören:

• Mandantenschutz
• Integration der Webanwendungsfirewall (WAF)
• Bot-Abwehr
• Hygiene für Zugangsdaten und Token
• Geografiebasierte Zugriffssteuerung

Besondere Aufmerksamkeit gilt den Prozessen, um die Anmelde- und Anmeldevorgänge vor automatisiertem Betrug zu schützen, wie z. B. Credential Stuffing und International Revenue Share Fraud (IRSF). Hier finden Sie Informationen zur Wichtigkeit der Überwachung und Warnung, kontinuierlichen Überprüfung, Verwendungsnachverfolgung und Anomalieerkennung. Dies sind Aktionen, die für die frühzeitige Erkennung und Reaktion auf Bedrohungen unerlässlich sind. Sehen Sie sich das folgende Diagramm eines Sicherheitsvorgangsflusses an.

Mandantensicherheit mit Schutz an der Netzwerkperipherie vor DDoS- und Botangriffen

Microsoft Entra-Mandanten machen öffentlich zugängliche Endpunkte über das Internet verfügbar, um die Benutzerauthentifizierung und den Dienstzugriff zu ermöglichen. Zu diesen Bereichen gehören Authentifizierungs- und Metadatenendpunkte. Die Endpunkte sind anonym zugänglich; daher potenzielle Ziele für verteilte Denial-of-Service -Angriffe (DDoS) und böswillige automatisierte Aktivitäten, wie z. B. die Erstellung betrügerischer Konten. Eine edgebasierte Schutzstrategie trägt dazu bei, die Dienstverfügbarkeit und Benutzersicherheit sicherzustellen.

Um Dienstunterbrechungen zu verhindern und einen sicheren, zuverlässigen Zugriff sicherzustellen, verwenden Sie eine mehrschichtige Verteidigungsstrategie. Microsoft stärkt den Identitätsschutz, indem es sich mit führenden Anbietern von Nicht-Microsoft-WAF- und Bot-Gegenmaßnahmen integriert. Die Integrationen ermöglichen die Echtzeitanalyse und das Filtern von hohem Risiko oder bösartigem Datenverkehr, bevor sie Ihre Identitätsendpunkte erreicht.

Dieses Verteidigung-in-der-Tiefe-Modell hilft, vor Anmeldeinformationsmissbrauch, Kontoübernahmen und großangelegten DDoS-Angriffen zu schützen, und dabei gewährleisten Sie eine nahtlose Benutzererfahrung für legitime Benutzer.

Um den Schutz zu verbessern, empfehlen wir die Implementierung einer WAF. Verwenden Sie diese Konfiguration, um Sicherheitskontrollen vor Ihren CIAM-Endpunkten zu platzieren. Verbessern Sie resilienz und verringern Sie das Risiko von Dienstunterbrechungen durch automatisierte Bedrohungen.

Wenn Sie eine webbasierte Umleitung für Benutzerflüsse verwenden, sehen Verbraucher den Domänennamen des Authentifizierungsendpunkts. Standardmäßig verwendet dieser Endpunkt das Format "<tenantprefix.ciamlogin.com>", wobei <"tenantprefix>" das Präfix "Mandantname" ist. Ein Beispiel: Für contoso.onmicrosoft.com ist das Mandantenpräfix contoso.

Domänendetails

In der externen Microsoft Entra-ID können Sie den Domänennamen in einen Domänennamen ändern, den Sie besitzen, und einen, den Ihr Kunde mit Ihrem Dienst in Beziehung setzen kann. Sie können z. B. login.contoso.com verwenden.

Verwenden Sie mit Brandingfunktionen einen benutzerdefinierten Domänennamen, um die Integration einer WAF-Lösung zu ermöglichen, die mehr Schutz vor Bots und böswilligen Akteuren bietet.

Erfahren Sie mehr über benutzerdefinierte URL-Domänen in externen Mandanten.

Im folgenden Diagramm finden Sie das Beispiel für eine benutzerdefinierte Domäne.

Überlegungen zur WAF-Konfiguration

In der folgenden Tabelle finden Sie Informationen zu Sicherheitsmaßnahmen und deren Beschreibungen.

Mit der externen Microsoft Entra-ID können Sie in führende Anbieter von Web Application Firewalls (WAF) wie Cloudflare und Akamai integrieren, um Schutz auf Edge-Ebene gegen DDoS-Angriffe, OWASP-Top-10-Schwachstellen und bösartige Bots zu schützen. Diese Integration gewährleistet, dass schädlicher Datenverkehr herausgefiltert wird, bevor er Ihren Mandanten erreicht. Wir empfehlen Kunden dringend, diese WAF-Lösungen zu verwenden, um die Sicherheitskontrollen in der vorherigen Tabelle zu verbessern und durchzusetzen.

Anwendungssicherheit: Anmeldeinformationen und geheime Verwaltung

CIAM-Anwendungen authentifizieren sich mit der externen Microsoft Entra-ID mithilfe von Protokollen wie OAuth 2.0 oder SAML (Security Assertion Markup Language) 2.0., wodurch die Sichere Anwendungsanmeldeinformationsverwaltung unerlässlich ist. In der folgenden Tabelle finden Sie wichtige Sicherheitsaspekte für Anwendungsanmeldeinformationen und geheime Schlüssel.

Risikoreduzierung durch Management der Token-Lebensdauer

Konfigurieren Sie die Tokenlebensdauer, um die Gefährdung durch kompromittierte Token zu minimieren.

Benutzerdefinierte Authentifizierungserweiterungen

Eine wichtige Komponente der Bereitstellungsplanung ist die Sicherung von benutzerdefinierten Authentifizierungserweiterungen. Die REST-API, die diese Erweiterungen unterstützt, werden basierend auf geschäftlichen und betrieblichen Anforderungen gehostet, weshalb sie für Sicherheit, Verfügbarkeit und Resilienz vorgesehen sind. Jede Beeinträchtigung der Leistung oder Verfügbarkeit dieser APIs durch böswillige Aktivitäten oder andere Fehler kann sich auf die zugehörigen Registrierungs- und Anmeldeflüsse auswirken. Solche Unterbrechungen beeinträchtigen die Benutzererfahrung, können aber die Gesamtzulässigkeit Ihrer Microsoft Entra External ID-Implementierung beeinträchtigen. Verwenden Sie die folgende Tabelle, um Überlegungen wie Skalierung und Sicherheit zu überprüfen.

Benutzersicherheit: Registrierungsschutz

In diesem Abschnitt erfahren Sie, wie Sie Benutzer vor Registrierungsbetrug schützen. Das Design des Benutzerablaufs hilft dabei, die Wahrscheinlichkeit von Anmeldebetrug zu ermitteln. Anmeldevorgänge, die eine minimale Benutzerüberprüfung durchführen, sind anfällig für betrügerische Aktivitäten. Steuerelemente wie erweiterter Betrugsschutz unterscheiden menschliche Benutzer von Bots. Außerdem können Sie automatisierten Missbrauch abschrecken. Microsoft Entra Externe ID unterstützt verschiedene Steuerungen, die den Grad der Benutzerfreundlichkeit beeinträchtigen. Die folgende Tabelle enthält eine Liste der Sicherheitskontrollen für die Benutzersicherheit.

Um die Verteidigung zu stärken, verfügt Microsoft Entra External ID über ein Premium-Feature zur Betrugsprävention mit branchenführenden Anbietern von Nicht-Microsoft-Betrugsschutz, z. B. Arkose Labs-Anbieter , für erweiterte Bots und HUMAN , um gefälschte Kontoregistrierungen während der Benutzeranmeldung zu verhindern. Diese Anbieter bieten umfassende Funktionen zur Betrugserkennung und -entschärfung und ermöglichen Es Organisationen, automatisierte Bedrohungen, einschließlich botgesteuerter Anmeldungen, während des gesamten Registrierungsprozesses zu erkennen und zu blockieren.

Internationaler Erlösbeteiligungsbetrug

Ein International Revenue Share Fraud (IRSF) ist ein finanziell gesteuerter Angriff, der möglich ist, wenn Sie eine Überprüfung des Kurznachrichtendiensts (SMS) auf einem öffentlich zugänglichen Endpunkt verfügbar machen. Wenn Sie die mehrstufige Microsoft Entra-Authentifizierung (MFA) für die externe Microsoft Entra-ID aktivieren, sind IRSF-Angriffe möglich. Mit aktivierter SMS-Überprüfung verfügt Microsoft Entra über zwei integrierte Schutzmaßnahmen:

• Die Telefonieeinschränkung trägt dazu bei, das Risiko von Dienstausfällen und Leistungsbeeinträchtigungen zu verringern.
• CAPTCHA für SMS-basierte MFA hilft bei der Verteidigung gegen automatisierte Angriffe, indem menschliche Benutzer von Bots unterschieden werden. Wenn ein Benutzer als hoch riskant eingestuft wird, wird der Zugriff blockiert, oder eine CAPTCHA-Abfrage wird angezeigt, bevor ein SMS-Überprüfungscode gesendet wird.

Als weitere Verteidigungsebene empfehlen wir Ihnen, die folgende Tabelle zu überprüfen, um einige Sicherheitskontrollen zu berücksichtigen.

Anmeldeschutz: Kontoübernahme

Kontoübernahme bedeutet, dass ein Benutzerkonto kompromittiert wird. Der Angreifer ändert Kontoanmeldeinformationen, z. B. E-Mail, Kennwort oder Telefonnummer. Diese Aktionen verhindern, dass der Kontobesitzer die Kontrolle wieder erhält. Diese Angriffe werden durch einen Passwort-Spray-Angriff durchgeführt.

Verwenden Sie mehrere Verteidigungsebenen, um die Kontokompromittierungsrate zu verringern. Verwenden Sie eine Kombination der folgenden Sicherheitskontrollen.

Prüfen und Überwachen

Eine Überwachung ist Aktionen, die ausgeführt werden, um ein System, seine Benutzeraktivitäten und verwandte Prozesse zu verstehen. Die Überwachung ist eine fortlaufende Aktivität, die Sie darüber informiert, was passiert. Die Überwachung umfasst in der Regel Warnungen und Automatisierung.

Überwachung und Protokolle

Die externe Microsoft Entra-ID speichert Anmelde- und Überwachungsprotokolle 30 Tage lang. Exportieren Sie diese Informationen zur Aufbewahrung und Analyse in einen externen Speicher oder ein externes Tool.

Konfigurieren Sie Azure Monitor als Brücke zum Exportieren von Protokollen. Sehen Sie sich das folgende Diagramm der Exportprotokolle für externe IDs von Microsoft Entra mit Azure Monitor an. Weitere Informationen finden Sie unter Einrichten von Azure Monitor in externen Mandanten.

Für diese Konfiguration muss eine Microsoft Azure-Ressourcengruppe mit den Ressourcen aus dem Unternehmensmandanten auf den Microsoft Entra-Mandanten projiziert werden.

Überwachen und benachrichtigen

Die Überwachung trägt dazu bei, den effizienten Betrieb von Identitäts- und zugehörigen Systemen sicherzustellen. Diese Aktionen umfassen das Einrichten der Überwachungsinfrastruktur, das Definieren von Überwachungsverfahren, das Einrichten von Dashboards oder Warnungen und das Erstellen eines Antwortprotokolls zur Behandlung von Warnungen. Lesen Sie die folgende Notiz und eine Liste der zu überwachenden Elemente.

• Verfügbarkeit – Ermitteln Sie, ob der Dienst betriebsbereit ist. Wird manchmal als Heartbeat- oder Überwachungsendpunkt bezeichnet. Richten Sie das Monitoring-System so ein, dass es häufig auf verwendeten Komponenten ausgeführt wird. Für benutzerdefinierte Erweiterungs-APIs empfehlen wir, eine Gesundheitsüberwachung des Endpunkts zu implementieren. Wenn Sie eine API mit .NET entwickeln, verwenden Sie Integritätsprüfungen in ASP.NET Core, um Integritätsendpunkte verfügbar zu machen. Die Überwachung der Verfügbarkeit ist unerlässlich, kann aber nur auf Dienstfehler hinweisen.
• Funktionalität – Nachverfolgen von Funktionen mit synthetischen Transaktionen, die End-to-End-Benutzer- oder Systeminteraktionen mit Abhängigkeiten nachahmen: UI, API-Aufrufe, Protokollierung. Viele Überwachungstools verfügen über Features zum Automatisieren von mehrstufigen Weboberflächen, z. B. Registrierung, Profilbearbeitung und MFA.
• Leistung – Verfolgen Sie die Leistung mit synthetischen Transaktionen und serverseitiger Instrumentierung, um leistungsbezogene Telemetrie zu sammeln. In verteilten Systemen wie Identity Access Management (IAM) mit Abhängigkeiten, Identifizieren und Beheben von Leistungsproblemen. Stellen Sie Leistungssonden an kundenübergreifenden Standorten bereit und richten Sie einen Basisplan für Identitätserfahrungen ein. Richten Sie Trigger und Benachrichtigungen ein, um Abweichungen von einem Basisplan zu erkennen. Ein System ist nicht vorteilhaft, wenn es verfügbar ist, aber schlecht funktioniert.

Anforderungen für Authentifizierung und Identität enthalten eine Sitzungskorrelations-ID. Wenn das Identitätssystem externe benutzerdefinierte Erweiterungen aufruft, befindet sich dieser Bezeichner im Authentifizierungskontext. Um Probleme zu diagnostizieren, protokollieren Sie den Bezeichner in der benutzerdefinierten Erweiterung.

Das folgende Diagramm veranschaulicht die Überwachung und Warnungseinrichtung.

Einrichtung von Warnsystemen für Dienstbeeinträchtigungen und Fehlerfälle

In großen Systemen schlagen einige Transaktionen fehl. Unvollständige Identitätserfahrungen, manchmal als unvollständige Konvertierungen bezeichnet, können aufgrund von abgelenkten Benutzern, Telco-Fehlern und Browserabstürzen auftreten. Im großen Maßstab ist die Behandlung jedes Fehlers unpraktisch. Richten Sie einen Basisplan für typische Fehlerereignisse ein. Richten Sie außerdem die Überwachung und Warnung ein, um Abweichungen zu erkennen, z. B. die Leistungsüberwachung. Verwenden Sie das folgende Hilfsmittel, um Fehlerkennzahlen aufzuzeichnen.

Kontinuierliche Systemüberprüfung

Änderungen in Umgebungen sind unvermeidlich. Eine automatisierte fortlaufende Überprüfungsumgebung hilft beim Abfangen von Problemen, die durch Änderungen verursacht werden. Sie können dieselbe syntaktische Überwachungsinfrastruktur verwenden, um diese Validierungsautomatisierung einzurichten.

Synthetische Transaktionen können auf Anwendungen und APIs verweisen, die für tokenerwerbs-, Validierungs- und Integrationskomponenten wie API-Manager und Servicebusse verwendet werden. Es wird empfohlen, Versionen unterstützter Dienste, Betriebssysteme und Laufzeitumgebungen zu verwalten. Jede Komponente meldet kontinuierlich Testerfolge oder Fehler. Diese Aktion stellt die Verfügbarkeit von Identitätsdiensten und die frühzeitige Erkennung potenzieller Fehler sicher.

Dashboards: Operative Telemetrie und Sicherheitseinblicke

Die externe Microsoft Entra-ID verfügt über integrierte Dashboards mit nützlicher Telemetrie aus wichtigen Bereichen wie Authentifizierungstrends, MFA-Verwendung und Schutzfunktionen im Zusammenhang mit der SMS-Überprüfung. Nutzen Sie Einblicke, um Transparenz über die Gesundheit Ihres Identitätssystems und die Bedrohungslage zu erhalten. Für Ihre Bereitstellungs- und Betriebsstrategie empfehlen wir, regelmäßige Metriküberwachungen zu integrieren. Erkennen sie Anomalien, bewerten Sie die Risikoexposition, und stellen Sie die Effektivität von Sicherheitskontrollen sicher. Verwenden Sie die folgende Tabelle, um Metriken und Details anzuzeigen. Weitere Informationen finden Sie unter "Gewinnen von Einblicken in die Aktivitäten Ihrer App-Benutzer".

Microsoft Entra External ID Core-Angebot und -Add-Ons

Die Preise für externe Microsoft Entra-ID bestehen aus einem Kernangebot und Premium-Add-Ons. Die Hauptangebotsabrechnung basiert auf monatlich aktiven Benutzern (MAUs), der Anzahl eindeutiger externer Benutzer, die sich in einem Kalendermonat bei Ihren Mandanten authentifizieren. Eine Gesamtzahl ergibt sich aus einer Kombination von MAUs aus der Belegschaft und externen Mandanten, die mit einem Abonnement verknüpft sind.

Weitere Informationen zur Preisstruktur und zum Abrechnungsmodell für die externe Microsoft Entra-ID.

Kosten und Analyse

Sehen Sie sich die anfallenden Kosten für den Kostenanalysebereich der Abonnement-/Ressourcengruppe an, die mit dem externen Microsoft Entra ID-Mandanten verknüpft ist. Wenn die MAU-Anzahl unter der kostenlosen Stufe liegt, beträgt die Rechnung 0 $. Nutzungsdaten unterhalb der kostenlosen Stufe werden in der Kostenanalyse angezeigt.

Verwenden Sie im Microsoft Entra Admin Center das Dashboard "Nutzung und Einblick" für den Mandanten mit externer Microsoft-ID, um die Nutzungsdetails anzuzeigen, auch wenn die Nutzung unter der kostenlosen Stufe liegt.

• Erfahren Sie, wie Sie monatliche activeUsers in Microsoft Graph auflisten.

• Siehe die Graph-Ressourcentypen im ressourcentyp dailyUserInsigntMetricsRoot.

  Hinweis

  Die von den APIs zurückgegebenen Daten sind nicht in Echtzeit und unterliegen möglicherweise der geplanten Verarbeitung.

Die folgende Tabelle korreliert die Metrik und einen Microsoft Graph-Verweis.

Nutzungs- und Insights-Dashboard

Wählen Sie im Microsoft Entra admin center unter "Überwachung und Zustand" die Option "Nutzung und Einblicke" aus. Zeigen Sie Benutzerdaten im Laufe der Zeit und andere Bereiche wie Authentifizierung und MFA-Verwendung an.

Nächste Schritte

• Einführung in die Bereitstellungsanleitung für externe Microsoft Entra-ID
• Mandantenarchitektur
• Kundenauthentifizierung
• Architektur der Authentifizierungs- und Zugriffssteuerung
• Sicherheitsgrundsätze für externe Mandanten