Freigeben über


Konfigurieren von Microsoft Entra für erhöhte Sicherheit (Vorschau)

In Microsoft Entra gruppieren wir unsere Sicherheitsempfehlungen in mehrere Themen, die auf der Secure Future Initiative (SFI) basieren. Mit dieser Struktur können Organisationen Projekte logisch in verwandte Verbrauchsartikelabschnitte aufteilen.

Tip

Einige Organisationen nehmen diese Empfehlungen möglicherweise genau wie geschrieben, während andere änderungen basierend auf ihren eigenen Geschäftlichen Anforderungen vornehmen können. In unserer ersten Version dieses Leitfadens konzentrieren wir uns auf traditionelle Mitarbeitermandanten. Diese Mitarbeitermandanten gelten für Ihre Mitarbeiter, interne Geschäfts-Apps und andere Organisationsressourcen.

Es wird empfohlen, dass alle folgenden Steuerelemente implementiert werden, in denen Lizenzen verfügbar sind. Diese Muster und Methoden helfen bei der Bereitstellung einer Grundlage für andere Ressourcen, die auf dieser Lösung basieren. Im Laufe der Zeit werden diesem Dokument weitere Steuerelemente hinzugefügt.

Automatisierte Bewertung

Die manuelle Überprüfung dieser Richtlinien für die Konfiguration eines Mandanten kann zeitaufwendig und fehleranfällig sein. Die Zero Trust Assessment transformiert diesen Prozess mit Automatisierung, um diese Sicherheitskonfigurationselemente und vieles mehr zu testen. Erfahren Sie mehr unter Was ist die Zero Trust Assessment?

Schützen von Identitäten und geheimen Schlüsseln

Verringern Sie das Risiko für Anmeldeinformationen, indem Sie moderne Identitätsstandards implementieren.

Prüfen Mindestens erforderliche Lizenz
Anwendungen haben keine geheimen Clientschlüssel konfiguriert. Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Dienstprinzipale verfügen nicht über Zertifikate oder Anmeldeinformationen, die ihnen zugeordnet sind Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Anwendungen verfügen nicht über Zertifikate mit Ablauf länger als 180 Tage Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Anwendungszertifikate müssen regelmäßig gedreht werden Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Erzwingen von Standards für geheime App-Schlüssel und Zertifikate Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Microsoft-Diensteanwendungen verfügen nicht über konfigurierte Anmeldeinformationen Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Die Einstellungen für die Zustimmung des Benutzers sind eingeschränkt. Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Administratorzustimmungsworkflow ist aktiviert Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Hoher globaler Administrator zum privilegierten Benutzerverhältnis Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Privilegierte Konten sind cloudeigene Identitäten Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Alle privilegierten Rollenzuweisungen werden nur rechtzeitig aktiviert und nicht dauerhaft aktiv Microsoft Entra ID P2
Passkey-Authentifizierungsmethode aktiviert Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Der Sicherheitsschlüsselnachweis wird erzwungen. Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Privilegierte Konten haben Phishing-beständige Methoden registriert Microsoft Entra ID P1
Privileged Microsoft Entra built-in roles are targeted with Conditional Access policies to enforce phishing-resistant methods Microsoft Entra ID P1
Anfordern von Kennwortzurücksetzungsbenachrichtigungen für Administratorrollen Microsoft Entra ID P1
Blockieren der Legacyauthentifizierung Microsoft Entra ID P1
Temporärer Zugriffsdurchlauf ist aktiviert Microsoft Entra ID P1
Einschränken des temporären Zugriffsdurchlaufs auf einmalige Verwendung Microsoft Entra ID P1
Migrieren von älteren MFA- und SSPR-Richtlinien Microsoft Entra ID P1
Verhindern, dass Administratoren SSPR verwenden Microsoft Entra ID P1
Die Self-Service-Kennwortzurücksetzung verwendet keine Sicherheitsfragen. Microsoft Entra ID P1
Sms- und Voice Call-Authentifizierungsmethoden sind deaktiviert. Microsoft Entra ID P1
Sichern der Seite MFA-Registrierung (Meine Sicherheitsinformationen) Microsoft Entra ID P1
Verwenden der Cloudauthentifizierung Microsoft Entra ID P1
Alle Benutzer müssen sich für MFA registrieren. Microsoft Entra ID P2
Benutzer verfügen über konfigurierte sichere Authentifizierungsmethoden Microsoft Entra ID P1
Benutzeranmeldungsaktivität verwendet Tokenschutz Microsoft Entra ID P1
Microsoft Authenticator-App zeigt Anmeldekontext an Microsoft Entra ID P1
Die Microsoft Authenticator-App meldet verdächtige Aktivitätseinstellungen ist aktiviert. Microsoft Entra ID P1
Der Ablauf des Kennworts ist deaktiviert. Microsoft Entra ID P1
Smart lockout threshold set to 10 or less Microsoft Entra ID P1
Die Dauer der intelligenten Sperrung ist auf mindestens 60 festgelegt. Microsoft Entra ID P1
Hinzufügen von Organisationsbegriffen zur Liste der gesperrten Kennwörter Microsoft Entra ID P1
Erfordern der mehrstufigen Authentifizierung für die Gerätebeitritts- und Geräteregistrierung mithilfe einer Benutzeraktion Microsoft Entra ID P1
Lokale Administratorkennwortlösung wird bereitgestellt Microsoft Entra ID P1
Entra Connect Sync ist mit Dienstprinzipalanmeldeinformationen konfiguriert. Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Keine Verwendung von ADAL im Mandanten Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Blockieren des älteren Azure AD PowerShell-Moduls Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Microsoft Entra ID-Sicherheitsstandard aktivieren Keine (im Lieferumfang der Microsoft Entra-ID enthalten)

Schützen von Mandanten und Isolationsproduktionssystemen

Prüfen Mindestens erforderliche Lizenz
Berechtigungen zum Erstellen neuer Mandanten sind auf die Rolle "Mandantenersteller" beschränkt. Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Der Gastzugriff ist auf genehmigte Mandanten beschränkt. Microsoft Entra ID Kostenlos
Gästen werden keine Privilegierten Verzeichnisrollen zugewiesen. Microsoft Entra ID Kostenlos
Microsoft Entra ID P2 oder Microsoft ID Governance für PIM
Gäste können keine anderen Gäste einladen Microsoft Entra ID Kostenlos
Gäste haben eingeschränkten Zugriff auf Verzeichnisobjekte Microsoft Entra ID Kostenlos
Die App-Instanz-Eigenschaftssperre ist für alle mehrinstanzenfähige Anwendungen konfiguriert. Microsoft Entra ID Kostenlos
Gäste haben keine langen Anmeldesitzungen Microsoft Entra ID P1
Der Gastzugriff ist durch sichere Authentifizierungsmethoden geschützt. Microsoft Entra ID Kostenlos
Microsoft Entra ID P1 für bedingten Zugriff empfohlen
Die Self-Service-Registrierung des Gasts über den Benutzerablauf ist deaktiviert. Microsoft Entra ID Kostenlos
Einstellungen für den mandantenübergreifenden ausgehenden Zugriff sind konfiguriert. Microsoft Entra ID Kostenlos
Microsoft Entra ID P1 für bedingten Zugriff empfohlen
Gäste besitzen keine Apps im Mandanten Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Alle Gäste haben einen Sponsor Microsoft Entra ID Kostenlos
Inaktive Gastidentitäten werden deaktiviert oder aus dem Mandanten entfernt. Microsoft Entra ID Kostenlos
Alle Berechtigungsverwaltungsrichtlinien weisen ein Ablaufdatum auf Microsoft Entra ID P2 oder Microsoft ID Governance für Verwaltete Berechtigungen und Zugriffsüberprüfungen
Alle Richtlinien für die Berechtigungsverwaltung, die für externe Benutzer gelten, erfordern verbundene Organisationen. Microsoft Entra ID P2 oder Microsoft ID Governance für Verwaltete Berechtigungen und Zugriffsüberprüfungen
Alle Berechtigungsverwaltungspakete, die für Gäste gelten, verfügen über Ablauf- oder Zugriffsüberprüfungen, die in ihren Zuweisungsrichtlinien konfiguriert sind. Microsoft Entra ID P2 oder Microsoft ID Governance für Verwaltete Berechtigungen und Zugriffsüberprüfungen
Verwalten der lokalen Administratoren auf in Microsoft Entra eingebundenen Geräten Keine (im Lieferumfang der Microsoft Entra-ID enthalten)

Schützen von Netzwerken

Schützen Sie Ihren Netzwerkperimeter.

Prüfen Mindestens erforderliche Lizenz
Benannte Speicherorte werden konfiguriert Microsoft Entra ID P1
Die v2-Richtlinie für Mandanteneinschränkungen ist konfiguriert. Microsoft Entra ID P1

Schützen von Engineering-Systemen

Schützen Sie Softwareressourcen, und verbessern Sie die Codesicherheit.

Prüfen Mindestens erforderliche Lizenz
Notfallzugriffskonten sind entsprechend konfiguriert. Microsoft Entra ID P1
Die Aktivierung globaler Administratorrollen löst einen Genehmigungsworkflow aus. Microsoft Entra ID P2
Globale Administratoren haben keinen ständigen Zugriff auf Azure-Abonnements Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Das Erstellen neuer Anwendungen und Dienstprinzipale ist auf privilegierte Benutzer beschränkt. Microsoft Entra ID P1
Inaktive Anwendungen verfügen nicht über berechtigungen der microsoft Graph-API mit hoher Berechtigung Microsoft Entra ID P1
Inaktive Anwendungen verfügen nicht über integrierte Rollen mit hoher Berechtigung Microsoft Entra ID P1
App-Registrierungen verwenden sichere Umleitungs-URIs Microsoft Entra ID P1
Dienstprinzipale verwenden sichere Umleitungs-URIs Microsoft Entra ID P1
App-Registrierungen dürfen keine URIs für die Umleitung oder nicht mehr verlassene Domänenumleitungs-URIs haben Microsoft Entra ID P1
Die ressourcenspezifische Zustimmung zur Anwendung ist eingeschränkt. Microsoft Entra ID P1
Arbeitsauslastungsidentitäten werden nicht privilegierte Rollen zugewiesen Microsoft Entra ID P1
Unternehmensanwendungen müssen eine explizite Zuordnung oder eine bereichsbezogene Bereitstellung erfordern. Microsoft Entra ID P1
Maximale Anzahl von Geräten pro Benutzer auf 10 beschränken Keine (im Lieferumfang der Microsoft Entra-ID enthalten)
Richtlinien für bedingten Zugriff für Arbeitsstationen mit privilegiertem Zugriff sind konfiguriert. Microsoft Entra ID P1

Überwachen und Erkennen von Cyberthreaten

Sammeln und analysieren Sie Sicherheitsprotokolle und Triagebenachrichtigungen.

Prüfen Mindestens erforderliche Lizenz
Diagnoseeinstellungen sind für alle Microsoft Entra-Protokolle konfiguriert. Microsoft Entra ID P1
Privileged role activations have monitoring and alerting configured Microsoft Entra ID P2
Privilegierte Benutzer melden sich mit Phishing-resistenten Methoden an Microsoft Entra ID P1
Alle Benutzer mit hohem Risiko werden triagediert. Microsoft Entra ID P2
Alle Anmeldungen mit hohem Risiko werden triagediert. Microsoft Entra ID P2
[Alle riskanten Workloadidentitäten sind triaged]
Für alle Benutzeranmeldungsaktivitäten werden starke Authentifizierungsmethoden verwendet. Microsoft Entra ID P1
Empfehlungen für Microsoft Entra mit hoher Priorität werden behandelt. Microsoft Entra ID P1
ID-Schutzbenachrichtigungen aktiviert Microsoft Entra ID P2
Keine Authentifizierungsaktivität der Legacyauthentifizierung Microsoft Entra ID P1
Alle Microsoft Entra-Empfehlungen werden behandelt. Microsoft Entra ID P1

Beschleunigen der Reaktion und Behebung

Verbessern Sie die Reaktion auf Sicherheitsvorfälle und die Kommunikation zwischen Vorfällen.

Prüfen Mindestens erforderliche Lizenz
Workloadidentitäten basierend auf Risikorichtlinien werden konfiguriert Microsoft Entra Workload-ID
Einschränken von Anmeldungen mit hohem Risiko Microsoft Entra ID P2
Einschränken des Zugriffs auf Benutzer mit hohem Risiko Microsoft Entra ID P2