Verwaltung

Die Verwaltung ist die Praxis der Überwachung, Wartung und Betrieb von It-Systemen (Information Technology), um Servicelevels zu erfüllen, die das Unternehmen benötigt. Die Verwaltung führt einige der höchsten Sicherheitsrisiken ein, da das Ausführen dieser Aufgaben privilegierten Zugriff auf eine vielzahl dieser Systeme und Anwendungen erfordert. Angreifer wissen, dass der Zugriff auf ein Konto mit Administratorrechten ihnen zugriff auf die meisten oder alle Daten, auf die sie abzielen würden, zugreifen kann, wodurch die Sicherheit der Verwaltung zu einem der kritischsten Sicherheitsbereiche wird.

Als Beispiel investiert Microsoft erheblich in den Schutz und die Schulung von Administratoren für unsere Cloudsysteme und IT-Systeme:

Die von Microsoft empfohlene Kernstrategie für Administratorrechte besteht darin, die verfügbaren Steuerelemente zum Verringern des Risikos zu verwenden.

Risikoexposition reduzieren (Umfang und Zeit) – Das Prinzip der geringsten Rechte wird am besten mit modernen Steuerelementen erreicht, die Berechtigungen bei Bedarf bereitstellen. Dies trägt dazu bei, das Risiko zu begrenzen, indem Administratorrechte durch Folgendes eingeschränkt werden:

• Bereich – Just Enough Access (JEA) bietet nur die erforderlichen Berechtigungen für den erforderlichen Administrativen Vorgang (vs. direkte und sofortige Berechtigungen für viele oder alle Systeme gleichzeitig, was fast nie erforderlich ist).

• Time – Just in Time (JIT)- Ansätzen lieferten die erforderlichen Privilegierten bei Bedarf.

• Minimieren Sie die verbleibenden Risiken – Verwenden Sie eine Kombination von präventiven und detektiven Kontrollen, um Risiken wie das Isolieren von Administratorkonten aus den häufigsten Risiken Phishing und allgemeines Surfen im Web zu reduzieren, ihren Workflow zu vereinfachen und zu optimieren, die Authentifizierungsentscheidungen zu erhöhen und Anomalien aus dem normalen Basisverhalten zu identifizieren, das blockiert oder untersucht werden kann.

Microsoft hat bewährte Methoden zum Schutz von Administrativen Konten erfasst und dokumentiert und veröffentlichte priorisierte Roadmaps zum Schutz des privilegierten Zugriffs, die als Verweise zum Priorisieren von Entschärfungen für Konten mit privilegiertem Zugriff verwendet werden können.

• Roadmap für das Sichern von Privileged Access (SPA) für Administratoren von lokalen Active Directory

• Leitfaden zum Sichern von Administratoren von Microsoft Entra-ID

Minimieren der Anzahl kritischer Auswirkungen von Administratoren

Gewähren Der geringsten Anzahl von Konten Berechtigungen, die wichtige geschäftliche Auswirkungen haben können

Jedes Administratorkonto stellt potenzielle Angriffsfläche dar, auf die ein Angreifer abzielen kann, sodass die Anzahl der Konten mit diesen Berechtigungen das gesamtorganisatorische Risiko begrenzt. Die Erfahrung hat uns gelehrt, dass die Mitgliedschaft dieser privilegierten Gruppen im Laufe der Zeit natürlich wächst, wenn die Mitgliedschaft nicht aktiv beschränkt und verwaltet wird.

Wir empfehlen einen Ansatz, der dieses Angriffsfläche-Risiko reduziert und gleichzeitig die Geschäftskontinuität gewährleistet, falls ein Administrator etwas passiert:

• Zuweisen von mindestens zwei Konten zur privilegierten Gruppe für Geschäftskontinuität

• Wenn zwei oder mehr Konten erforderlich sind, geben Sie eine Begründung für jedes Mitglied einschließlich der ursprünglichen zwei Konten an.

• Regelmäßige Überprüfung der Mitgliedschaft und Begründung für jedes Gruppenmitglied

Verwaltete Konten für Administratoren

Stellen Sie sicher, dass alle kritischen Auswirkungen von Administratoren im Unternehmensverzeichnis verwaltet werden, um die Durchsetzung der Organisationsrichtlinien zu befolgen.

Verbraucherkonten wie z. B. Microsoft-Konten wie @Hotmail.com, @live.com, @outlook.com bieten keine ausreichende Sicherheitssicht und Kontrolle, um sicherzustellen, dass die Richtlinien der Organisation und alle gesetzlichen Anforderungen eingehalten werden. Da Azure-Bereitstellungen oft klein und informell beginnen, bevor sie in unternehmensverwaltete Mandanten wachsen, bleiben einige Verbraucherkonten lange danach als Administrative Konten, z. B. ursprüngliche Azure-Projektmanager, erstellen blinde Flecken und potenzielle Risiken.

Separate Konten für Administratoren

Stellen Sie sicher, dass administratoren über ein separates Konto für administrative Aufgaben verfügen (im Vergleich zum Konto, das sie für E-Mails, Webbrowsen und andere Produktivitätsaufgaben verwenden).

Phishing- und Webbrowserangriffe stellen die häufigsten Angriffsvektoren dar, um Konten zu kompromittieren, einschließlich administrativer Konten.

Erstellen Sie ein separates Administratorkonto für alle Benutzer, die über eine Rolle verfügen, die wichtige Berechtigungen erfordert. Blockieren Sie für diese Administratorkonten Produktivitätstools wie Office 365-E-Mails (Lizenz entfernen). Wenn möglich, blockieren Sie beliebiges Webbrowsen (mit Proxy- und/oder Anwendungssteuerelementen), während Ausnahmen für das Browsen zum Azure-Portal und andere Websites zugelassen werden, die für administrative Aufgaben erforderlich sind.

Kein ständiger Zugriff / Just in Time-Berechtigungen

Vermeiden Sie permanenten "ständigen" Zugriff für alle kritischen Auswirkungskonten.

Dauerhafte Berechtigungen erhöhen das Geschäftsrisiko, indem der Zeitpunkt erhöht wird, an dem ein Angreifer das Konto verwenden kann, um Schäden zu verursachen. Temporäre Berechtigungen erzwingen Angreifern, die auf ein Konto abzielen, entweder innerhalb der begrenzten Zeit, die der Administrator bereits verwendet, das Konto zu verwenden oder rechteerweiterungen zu initiieren (wodurch die Wahrscheinlichkeit erhöht wird, dass sie erkannt und aus der Umgebung entfernt werden).

Gewähren Sie Berechtigungen nur nach Bedarf mithilfe einer der folgenden Methoden:

• Noch rechtzeitig- Aktivieren Sie Microsoft Entra Privileged Identity Management (PIM) oder eine Drittanbieterlösung, um nach einem Genehmigungsworkflow Berechtigungen für kritische Auswirkungskonten zu erhalten.

• Bruchglas – Folgen Sie für selten verwendete Konten einem Notfallzugriffsprozess, um Zugriff auf die Konten zu erhalten. Dies wird für Berechtigungen bevorzugt, die wenig Zeit für die regelmäßige betriebliche Nutzung benötigen, z. B. Mitglieder globaler Administratorkonten.

Notzugriff oder "Break Glass"-Konten

Stellen Sie sicher, dass Sie über einen Mechanismus zum Abrufen des administrativen Zugriffs verfügen, wenn es sich um einen Notfall handelt.

Es treten zwar selten extreme Umstände auf, in denen alle normalen Mittel des administrativen Zugriffs nicht verfügbar sind.

Es wird empfohlen, die Anweisungen beim Verwalten von Administrativen Konten für den Notfallzugriff in Microsoft Entra ID zu befolgen und sicherzustellen, dass Sicherheitsvorgänge diese Konten sorgfältig überwachen.

Sicherheit der Administratorarbeitsstation

Sicherstellen, dass Administratoren wichtige Auswirkungen auf die Verwendung einer Arbeitsstation mit erhöhten Sicherheitsschutz und -überwachung haben

Angriffsvektoren, die Browsen und E-Mails wie Phishing verwenden, sind billig und häufig. Das Isolieren kritischer Auswirkungen von Administratoren aus diesen Risiken verringert das Risiko eines großen Vorfalls erheblich, wenn eines dieser Konten kompromittiert und verwendet wird, um Ihr Unternehmen oder Ihre Mission erheblich zu beschädigen.

Wählen Sie die Sicherheitsstufe der Administratorarbeitsstation basierend auf den verfügbaren Optionen unter https://aka.ms/securedworkstation

• Hochsicheres Produktivitätsgerät (erweiterte Sicherheitsarbeitsstation oder spezialisierte Arbeitsstation)
  Sie können diese Sicherheitsreise für kritische Auswirkungen von Administratoren starten, indem Sie ihnen eine höhere Sicherheitsarbeitsstation bereitstellen, die weiterhin allgemeine Browser- und Produktivitätsaufgaben ermöglicht. Die Verwendung als Zwischenschritt erleichtert den Übergang zu vollständig isolierten Arbeitsstationen sowohl für administratoren als auch für die IT-Mitarbeiter, die diese Benutzer und ihre Arbeitsstationen unterstützen.

• Privileged Access Workstation (Spezialisierte Arbeitsstation oder gesicherte Arbeitsstation)
  Diese Konfigurationen stellen den idealen Sicherheitsstatus für kritische Auswirkungen von Administratoren dar, da sie den Zugriff auf Phishing, Browser und Angriffsvektoren von Produktivitätsanwendungen stark einschränken. Diese Arbeitsstationen erlauben kein allgemeines Internetbrowsen, nur den Browserzugriff auf das Azure-Portal und andere administrative Websites.

Wichtige Auswirkungen auf Administratorabhängigkeiten – Konto/Arbeitsstation

Wählen Sie sorgfältig die lokalen Sicherheitsabhängigkeiten für kritische Auswirkungskonten und ihre Arbeitsstationen aus.

Um das Risiko eines lokalen Vorfalls einzudämmen, um zu einer großen Kompromittierung von Cloudressourcen zu werden, müssen Sie die Kontrollmittel beseitigen oder minimieren, die lokale Ressourcen für wichtige Auswirkungen auf Konten in der Cloud haben. Als Beispiel können Angreifer, die lokales Active Directory kompromittieren, auf cloudbasierte Ressourcen zugreifen und kompromittieren, die auf diesen Konten wie Ressourcen in Azure, Amazon Web Services (AWS), ServiceNow usw. basieren. Angreifer können auch Arbeitsstationen verwenden, die diesen lokalen Domänen beigetreten sind, um Zugriff auf Konten und Dienste zu erhalten, die von ihnen verwaltet werden.

Wählen Sie die Isolationsebene aus lokalen Kontrollmitteln aus, die auch als Sicherheitsabhängigkeiten für kritische Auswirkungskonten bezeichnet werden.

• Benutzerkonten – Wählen Sie aus, wo die kritischen Auswirkungskonten gehostet werden sollen.

  • Native Microsoft Entra-Konten –*Erstellen nativer Microsoft Entra-Konten, die nicht mit dem lokalen Active Directory synchronisiert werden

  • Synchronisieren aus lokalem Active Directory (nicht empfohlen) – Nutzen Sie vorhandene Konten, die im lokalen Active Directory gehostet werden.

• Arbeitsstationen – Wählen Sie aus, wie Sie die Arbeitsstationen verwalten und sichern, die von wichtigen Administratorkonten verwendet werden:

  • Native Cloud Management & Security (empfohlen) – Verbinden Sie Arbeitsstationen mit Microsoft Entra ID & Manage/Patchen Sie sie mit Intune oder anderen Clouddiensten. Schützen und Überwachen mit Windows Microsoft Defender ATP oder einem anderen Clouddienst, der nicht von lokalen basierten Konten verwaltet wird.

  • Mit vorhandenen Systemen verwalten – Vorhandene AD-Domäne beitreten und vorhandene Verwaltung/Sicherheit nutzen.

Kennwortlose oder mehrstufige Authentifizierung für Administratoren

Fordern Sie alle kritischen Auswirkungen von Administratoren auf, die kennwortlose Authentifizierung oder die mehrstufige Authentifizierung (Multifactor Authentication, MFA) zu verwenden.

Angriffsmethoden haben sich zu dem Punkt entwickelt, an dem Kennwörter allein kein Konto zuverlässig schützen können. Dies ist in einer Microsoft Ignite-Sitzung gut dokumentiert.

Administrative Konten und alle kritischen Konten sollten eine der folgenden Authentifizierungsmethoden verwenden. Diese Funktionen werden in der Voreinstellungsreihenfolge nach höchsten Kosten/Schwierigkeitsgraden für Angriffe (stärkste/bevorzugte Optionen) bis zu niedrigsten Kosten/schwierigen Angriffen aufgeführt:

• Kennwortlos (z. B. Windows Hello)
  https://aka.ms/HelloForBusiness

• Kennwortlos (Authenticator-App)
  </azure/active-directory/authentication/howto-authentication-phone-sign-in>

• Mehrstufige Authentifizierung
  </azure/active-directory/authentication/howto-mfa-userstates>

Beachten Sie, dass die MFA für SMS-Textnachrichten kostengünstig geworden ist, damit Angreifer umgehen können. Daher empfehlen wir, dass Sie sich nicht darauf verlassen. Diese Option ist immer noch stärker als Kennwörter allein, ist aber viel schwächer als andere MFA-Optionen.

Erzwingen des bedingten Zugriffs für Administratoren – Zero Trust

Die Authentifizierung für alle Administratoren und andere wichtige Auswirkungskonten sollte die Messung und Durchsetzung wichtiger Sicherheitsattribute umfassen, um eine Zero Trust-Strategie zu unterstützen.

Angreifer, die Azure-Administratorkonten kompromittieren, können erhebliche Schäden verursachen. Bedingter Zugriff kann dieses Risiko erheblich reduzieren, indem Sicherheitshygiene erzwungen wird, bevor der Zugriff auf die Azure-Verwaltung zugelassen wird.

Konfigurieren Sie die Richtlinie für den bedingten Zugriff für Azure-Verwaltung , die den Risikobereitschafts- und Betrieblichen Anforderungen Ihrer Organisation entspricht.

• Mehrstufige Authentifizierung und/oder Verbindung über das festgelegte Arbeitsnetzwerk erforderlich

• Erfordern der Geräteintegrität mit Microsoft Defender ATP (Strong Assurance)

Vermeiden von granularen und benutzerdefinierten Berechtigungen

Vermeiden von Berechtigungen, die speziell auf einzelne Ressourcen oder Benutzer verweisen

Bestimmte Berechtigungen schaffen nicht benötigte Komplexität und Verwirrung, da sie die Absicht nicht an neue ähnliche Ressourcen übertragen. Dies kumuliert sich dann in einer komplexen Legacykonfiguration, die schwer zu verwalten oder zu ändern ist, ohne Angst vor "etwas zu brechen" – negative Auswirkungen sowohl auf Die Sicherheit als auch die Lösungsflexibilität.

Anstatt bestimmte ressourcenspezifische Berechtigungen zuzuweisen, verwenden Sie entweder

• Verwaltungsgruppen für unternehmensweite Berechtigungen

• Ressourcengruppen für Berechtigungen innerhalb von Abonnements

Statt bestimmten Benutzern Berechtigungen zu erteilen, weisen Sie Gruppen in der Microsoft Entra-ID Zugriff zu. Wenn keine geeignete Gruppe vorhanden ist, arbeiten Sie mit dem Identitätsteam zusammen, um eine gruppe zu erstellen. Auf diese Weise können Sie Gruppenmitglieder extern zu Azure hinzufügen und entfernen und sicherstellen, dass Berechtigungen aktuell sind, während die Gruppe auch für andere Zwecke wie Mailinglisten verwendet werden kann.

Verwenden von integrierten Rollen

Verwenden Sie integrierte Rollen zum Zuweisen von Berechtigungen, sofern möglich.

Die Anpassung führt zu Komplexität, die Verwirrung erhöht und die Automatisierung komplexer, anspruchsvoller und zerbrechlicher macht. Diese Faktoren wirken sich negativ auf die Sicherheit aus

Es wird empfohlen, die integrierten Rollen zu bewerten, die für die meisten normalen Szenarien konzipiert sind. Benutzerdefinierte Rollen sind eine leistungsstarke und manchmal nützliche Funktion, sollten jedoch für Fälle reserviert werden, in denen integrierte Rollen nicht funktionieren.

Einrichten der Lebenszyklusverwaltung für kritische Auswirkungskonten

Stellen Sie sicher, dass Sie über einen Prozess zum Deaktivieren oder Löschen von Administratorkonten verfügen, wenn Administratormitarbeiter die Organisation verlassen (oder administrative Positionen verlassen)

Weitere Details finden Sie unter Verwalten des Benutzer- und Gastbenutzerzugriffs mit Zugriffsüberprüfungen .

Angriffssimulation für kritische Auswirkungskonten

Simulieren Sie regelmäßig Angriffe auf Administrative Benutzer mit aktuellen Angriffstechniken, um sie zu schulen und zu stärken.

Personen sind ein wichtiger Bestandteil Ihrer Verteidigung, insbesondere Ihr Personal mit Zugriff auf kritische Auswirkungskonten. Wenn Sie sicherstellen, dass diese Benutzer (und idealerweise alle Benutzer) über das Wissen und die Fähigkeiten verfügen, um Angriffe zu vermeiden und zu widerstehen, verringern Sie Das gesamtorganisatorische Risiko.

Sie können die Office 365-Angriffssimulationsfunktionen oder eine beliebige Anzahl von Drittanbieterangeboten verwenden.

Nächste Schritte

Weitere Sicherheitsleitfäden von Microsoft finden Sie in der Microsoft-Sicherheitsdokumentation.