Was ist bedingter Azure AD-Zugriff?

Da immer mehr Mitarbeiter von zu Hause oder an anderen entfernten Standorten arbeiten, ist auch die Nachfrage nach detaillierteren kontextbasierten Authentifizierungsmechanismen gestiegen. Die Multi-Faktor-Authentifizierung (MFA) bietet eine zusätzliche Sicherheitsebene für Ihre Anmeldungen und sollte nach Möglichkeit verwendet werden. Allerdings besteht der Nachteil der Multi-Faktor-Authentifizierung darin, dass sie den Authentifizierungsprozess zusätzlich erschwert, was viele Unternehmen gerne vermeiden würden. Was wäre, wenn wir MFA nur erzwingen könnten, wenn bestimmte Bedingungen erfüllt sind, anstatt alle Benutzer aufzufordern, sich mit MFA anzumelden? Die gute Nachricht ist: Wir können!

Was ist bedingter Azure AD-Zugriff?

Der bedingte Azure AD-Zugriff besteht aus einer Reihe von Richtlinien, die nach einem erfolgreichen Anmeldeversuch durchgesetzt werden. Der Zweck dieser Richtlinien besteht darin, Sie bei der Feinabstimmung Ihres Authentifizierungsprozesses zu unterstützen, um die Sicherheit zu verbessern und Compliance-Anforderungen zu erfüllen. Richtlinien für bedingten Zugriff können verwendet werden, um die folgenden Bedingungen zu identifizieren und darauf zu reagieren:

• Das Authentifizierungsprotokoll, das bei der Zugriffsanfrage verwendet wird;
• Die Rolle/Abteilung des Benutzers, der Zugriff anfordert;
• Das bei der Zugriffsanfrage verwendete Gerät, Betriebssystem und Webbrowser;
• IP-Adressinformationen, einschließlich der Nutzung von VPN oder Tor;
• Zeit und Standort des Benutzers, der den Zugriff anfordert usw.

Wenn sich der Benutzer beispielsweise von einem verdächtigen Ort aus oder mit einem nicht erkannten Gerät beim Netzwerk anmeldet oder wenn er sich zu Zeiten anmeldet, die für eine bestimmte Rolle ungewöhnlich sind, können Sie ihm automatisch den Zugriff auf das Netzwerk verweigern und den Administrator benachrichtigen, der dazu berechtigt ist den Vorfall untersuchen. Wenn Sie dem Benutzer den Zugriff nicht verweigern möchten, können Sie ihn bitten, eine zusätzliche Überprüfungsmethode bereitzustellen, z. B. einen an sein Gerät gesendeten Passcode, einen Fingerabdruckscan oder einen Dongle. Durch die Verwendung einer Kombination von Richtlinien können Sie so spezifisch vorgehen, wie Sie benötigen, um unbefugten Zugriff auf Ihre Azure AD-Umgebung zu verhindern.

Wie funktionieren Richtlinien für bedingten Zugriff?

Richtlinien für bedingten Zugriff sind im Wesentlichen Wenn-Dann-Anweisungen, ähnlich denen, die Sie in den meisten Programmiersprachen finden. Wenn beispielsweise ein Authentifizierungsversuch bestimmte Kriterien erfüllt, DANN erzwingen Sie die Richtlinie. Azure AD verwendet Echtzeit-Risikointelligenzdaten von Azure AD Identity Protection und Microsoft Defender für Cloud, um zu bestimmen, welche Bedingungen erfüllt sein sollten, und um die mit jedem Anmeldeversuch verbundene Bedrohungsstufe zu bestimmen.

Erstellen von Richtlinien für bedingten Zugriff in Azure AD

Auf der Seite „Bedingter Zugriff“ von Azure AD können Sie eine neue Richtlinie erstellen, in der Sie den Namen der Richtlinie, die Benutzer- oder Workload-Identitäten, Cloud-Apps oder -Aktionen, Bedingungen, Zugriffskontrollen und mehr angeben können. Sie können bestimmte Benutzer, Gruppen und Rollen einschließen/ausschließen sowie Richtlinien für Gäste und externe Benutzer verwalten. Sie können die Richtlinie auch einer einzelnen Anwendung, einer Gruppe von Anwendungen oder allen Anwendungen in Ihrer Azure AD-Umgebung zuweisen. Sobald Sie die Bedingungen festgelegt und auf die Schaltfläche „Erstellen“ geklickt haben, tritt die Richtlinie in Kraft.

Überwachen Sie Änderungen an Ihrem Azure AD-Mandanten

Eine bessere Kontrolle darüber, wie auf Ihr Netzwerk zugegriffen wird, kann Ihre Sicherheitslage erheblich verbessern. Es gibt jedoch keine narrensicheren Methoden, die Ihre privilegierten Konten schützen.

Was würde beispielsweise passieren, wenn ein Mitarbeiter Zugriff auf das Azure AD-Portal erhalten und unbefugte Änderungen an den Richtlinien für den bedingten Zugriff vornehmen würde?

Wenn Sie Einblick in die Art und Weise haben, wie diese Richtlinien erstellt, aufgerufen, aktualisiert und entfernt werden, können Sie sicher sein, dass Ihre Richtlinien wie erwartet funktionieren.

Der Lepide Azure AD Auditor verfolgt alle Änderungen an Ihren Richtlinien für bedingten Zugriff und präsentiert alle Änderungen über ein einziges Dashboard. Hier können Sie genau sehen, wer, was, wo und wann wichtige Änderungen vorgenommen werden.

Der Azure AD Auditor von Lepide kann auch Ereignisse erkennen und darauf reagieren, die einer vordefinierten Schwellenwertbedingung entsprechen, z. B. mehrere fehlgeschlagene Anmeldeversuche, die darauf hindeuten, dass ein Angreifer versucht, das Kontokennwort brutal zu erraten. Es kann auch Echtzeitwarnungen an Ihren Posteingang oder Ihre mobile App senden und eine detaillierte Reihe von Berichten bereitstellen, die zur Erfüllung der für Ihre Branche relevanten Compliance-Anforderungen verwendet werden können.

Wenn Sie sehen möchten, wie die Lepide Data Security Platform den bedingten Azure AD-Zugriff prüfen kann, vereinbaren Sie eine Demo mit einem unserer Techniker oder starten Sie noch heute Ihre kostenlose Testversion.