Konfigurieren von Transport Layer Security-Inspektionsrichtlinien

Die Transport Layer Security (TLS)-Überprüfung in Microsoft Entra Internet Access ermöglicht es Ihnen, verschlüsselten Datenverkehr an Service-Edgestandorten zu entschlüsseln und zu prüfen. Mit diesem Feature kann der globale sichere Zugriff erweiterte Sicherheitskontrollen wie Bedrohungserkennung, Inhaltsfilterung und granulare Zugriffsrichtlinien anwenden. Diese Zugriffsrichtlinien tragen zum Schutz vor Bedrohungen bei, die möglicherweise in verschlüsselter Kommunikation verborgen sind. In diesem Artikel wird erläutert, wie Sie eine kontextabhängige Transport Layer Security-Inspektionsrichtlinie erstellen und sie Benutzern in Ihrer Organisation zuweisen.

Voraussetzungen

Um die Schritte in diesem Prozess abzuschließen, müssen Sie die folgenden Voraussetzungen erfüllen:

Erstellen einer kontextfähigen TLS-Inspektionsrichtlinie

Führen Sie die folgenden Schritte aus, um eine kontextabhängige Transport Layer Security-Inspektionsrichtlinie zu erstellen und sie Benutzern in Ihrer Organisation zuzuweisen:

Schritt 1: Globaler Administrator für den sicheren Zugriff: Erstellen einer TLS-Inspektionsrichtlinie

So erstellen Sie eine TLS-Inspektionsrichtlinie:

  1. Wechseln Sie im Microsoft Entra Admin Center zu Secure>TLS Inspektionsrichtlinien>Create policy. Screenshot des Bildschirms Die Standardaktion gibt an, was zu tun ist, wenn keine Regeln übereinstimmen. Die Standardeinstellung ist Inspect.

  2. Wählen Sie "Nächste>Regel hinzufügen" aus. Auf der Seite "Regeln " können Sie eine benutzerdefinierte Regel definieren, indem Sie einen FQDN angeben oder eine Webkategorie auswählen. Screenshot des Bildschirms

  3. Um die Richtlinienkonfiguration abzuschließen, gehen Sie zu Speichern>Nächster>Absenden. Beachten Sie, dass eine Systemregel automatisch erstellt wurde, um Ziele auszuschließen, die nicht mit der TLS-Inspektion funktionieren. Eine bearbeitbare empfohlene Umgehungsregel wird automatisch erstellt, um Kategorien "Education", "Finance", "Government" und "Health & Medicine" auszuschließen.

  4. Um Regeln zu überprüfen, einschließlich der automatisch erstellten Regeln, wählen Sie eine Richtlinie aus, und wechseln Sie dann zu "Regeln>. Screenshot des Bildschirms

Verknüpfen Sie die TLS-Inspektionsrichtlinie mit einem Sicherheitsprofil.

Bevor Sie die TLS-Überprüfung für den Benutzerdatenverkehr aktivieren, stellen Sie sicher, dass Ihre Organisation TLS-Richtlinie eingerichtet und an Endbenutzer kommuniziert hat. Dieser Schritt trägt dazu bei, Transparenz aufrechtzuerhalten und die Einhaltung der Datenschutz- und Zustimmungsanforderungen zu unterstützen.

Sie können die TLS-Richtlinie auf zwei Arten mit einem Sicherheitsprofil verknüpfen:

Bei dieser Methode wird die Basisprofilrichtlinie zuletzt ausgewertet und gilt für den gesamten Benutzerdatenverkehr.

  1. Navigieren Sie im Microsoft Entra Admin Center zu Secure>Security profiles.
  2. Wechseln Sie zur Baseline-Profil-Tab.
  3. Wählen Sie Profil bearbeiten.
  4. In der Ansicht „Verknüpfungsrichtlinien“ wählen Sie + Richtlinie verknüpfen>Vorhandene TLS-Inspektionsrichtlinie aus.
  5. In der Ansicht "Link a TLS inspection policy" können Sie eine TLS Policy auswählen und ihr eine Priorität zuweisen.
  6. Wählen Sie Hinzufügen aus.
    Screenshot der Bildschirmansicht

Fügen Sie alternativ eine TLS-Richtlinie zu einem Sicherheitsprofil hinzu, und verknüpfen Sie sie mit einer Richtlinie für bedingten Zugriff für einen bestimmten Benutzer oder eine bestimmte Gruppe. Screenshot des neuen Richtlinienformulars für bedingten Zugriff mit allen Feldern, die mit Beispielinformationen ausgefüllt wurden.

Schritt 4: Testen der Konfiguration

Stellen Sie sicher, dass Ihre Geräte dem Stammzertifikat vertrauen, das zum Unterbrechen und Überprüfen des TLS-Datenverkehrs verwendet wird. Mit Intune können Sie das vertrauenswürdige Zertifikat bereitstellen auf Ihren verwalteten Windows Geräten.

So testen Sie die Konfiguration:

  1. Stellen Sie sicher, dass das Endbenutzergerät das Stammzertifikat im Ordner "Vertrauenswürdige Stammzertifizierungsstellen" installiert hat. Screenshot des Ordners

  2. Richten Sie den globalen Client für den sicheren Zugriff ein:

    • Deaktivieren Sie sicheres DNS und integriertes DNS.
    • Blockieren Sie QUIC-Datenverkehr von Ihrem Gerät. QUIC wird in Microsoft Entra Internet Access nicht unterstützt. Die meisten Websites unterstützen Fallback auf TCP, wenn QUIC nicht eingerichtet werden kann. Stellen Sie für eine verbesserte Benutzererfahrung eine Windows Firewallregel bereit, die ausgehende UDP 443 blockiert: New-NetFirewallRule -DisplayName "Block QUIC" -Direction Outbound -Action Block -Protocol UDP -RemotePort 443.
    • Stellen Sie sicher, dass die Datenverkehrsweiterleitung für Internetzugriff aktiviert ist. 

  3. Öffnen Sie einen Browser auf einem Clientgerät, und testen Sie verschiedene Websites. Überprüfen Sie die Zertifikatinformationen, und bestätigen Sie das Zertifikat für den globalen sicheren Zugriff. Screenshot der Zertifikatanzeige mit hervorgehobenen Zertifikaten für den globalen sicheren Zugriff.

Deaktivieren der TLS-Inspektion

So deaktivieren Sie die TLS-Inspektion:

  1. Entfernen Sie den Richtlinienlink aus dem Sicherheitsprofil:
    1. Navigieren Sie zum globalen sicheren Zugriff>Sicher>Sicherheitsprofile.
    2. Wechseln Sie zur Baseline-Profil-Tab.
    3. Wählen Sie Profil bearbeiten.
    4. Wählen Sie die Ansicht "Verknüpfungsrichtlinien" aus .
    5. Wählen Sie das Symbol "Löschen " für die Richtlinie aus, die Sie deaktivieren möchten.
    6. Wählen Sie zur Bestätigung Löschen aus.
  2. Entfernen Sie die TLS-Inspektionsrichtlinie:
    1. Navigieren Sie zu Global Secure Access>Secure>TLS Inspection Policies.
    2. Wählen Sie Actions aus.
    3. Klicken Sie auf Löschen.
  3. Entfernen Sie das TLS-Überprüfungsrichtlinienzertifikat:
    1. Wechseln Sie zur Registerkarte "TLS-Überprüfungseinstellungen" .
    2. Wählen Sie Actions aus.
    3. Klicken Sie auf Löschen.

Verwandte Inhalte

  • Zuletzt aktualisiert um