Schützen von Workloadidentitäten

Artikel
11/11/2024

Microsoft Entra ID Protection kann Arbeitsauslastungsidentitäten erkennen, untersuchen und beheben, um Anwendungen und Dienstprinzipale zusätzlich zu Benutzeridentitäten zu schützen.

Eine Workload-Identität ist eine Identität, die einer Anwendung den Zugriff auf Ressourcen ermöglicht, manchmal im Kontext eines Benutzers. Diese Workloadidentitäten unterscheiden sich in folgenden Punkten von herkömmlichen Benutzerkonten:

Die Multi-Faktor-Authentifizierung kann nicht durchgeführt werden.
Sie verfügen oft über keinen formalen Lebenszyklusprozess.
Sie müssen ihre Anmeldeinformationen oder Geheimnisse irgendwo speichern.

Diese Unterschiede erschweren die Verwaltung von Workloadidentitäten und stellen ein höheres Gefährdungsrisiko dar.

Wichtig

Vollständige Risikodetails und risikobasierte Zugriffskontrollen sind für Workload Identities Premium-Kunden verfügbar; Kunden ohne Workload Identities Premium-Lizenzen erhalten jedoch weiterhin alle Erkennungen mit eingeschränkten Berichtsdetails.

Hinweis

ID Protection erkennt Risiken für Apps mit Einzelmandanten, Drittanbieter-SaaS und mehreren Mandanten. Verwaltete Identitäten sich derzeit nicht abgedeckt.

Voraussetzungen

Um die Berichte über „Workloadidentitätsrisiko“ einschließlich des neuen Blatts Riskante Workloadidentitäten und der Registerkarte Workloadidentitätserkennungen auf dem Blatt Risikoerkennungen nutzen zu können, müssen Sie über Folgendes verfügen.

Eine der folgenden Administratorrollen:
- Sicherheitsadministrator
- Sicherheitsoperator
- Sicherheitslesebenutzer, denen die Rolle „Administrator für bedingten Zugriff“ zugewiesen wurde, können Richtlinien erstellen, die das Risiko als Bedingung verwenden.

Um Maßnahmen für riskante Workloadidentitäten zu ergreifen, empfehlen wir das Einrichten risikobasierter Richtlinien für bedingten Zugriff, was die Lizenzierung von Workload Identities Premium erfordert: Sie können eine Testversion anzeigen, eine Testversion starten und Lizenzen auf dem Blatt Workload-Identitäten erwerben.

Erkennungen von Workloadidentitätsrisiken

Wir erkennen Risiken für Workloadidentitäten über das Anmeldeverhalten und Offlineindikatoren für eine Gefährdung.

Erkennungsname	Erkennungstyp	Beschreibung	riskEventType
Threat Intelligence von Microsoft Entra	Offline	Diese Risikoerkennung weist auf bestimmte Aktivitäten hin, die mit bekannten Angriffsmustern übereinstimmen, die auf internen und externen Threat Intelligence-Quellen von Microsoft basieren.	investigationsThreatIntelligence
Verdächtige Anmeldungen	Offline	Diese Risikoerkennung weist auf Anmeldeeigenschaften oder Muster hin, die für diesen Dienstprinzipal ungewöhnlich sind. Die Erkennung lernt das Basisplan-Anmeldeverhalten für Workloadidentitäten in Ihrem Mandanten. Diese Erkennung dauert zwischen 2 und 60 Tagen und wird dann aufgerufen, wenn eine oder mehrere der folgenden unbekannten Eigenschaften bei einer späteren Anmeldung auftreten: IP-Adresse/ASN, Zielressource, Benutzer-Agent, Änderung beim IP-Hosting/Nichthosting, IP-Land, Anmeldeinformationstyp. Aufgrund der programmgesteuerten Natur von Workloadidentitätsanmeldungen geben wir einen Zeitstempel für die verdächtige Aktivität an, anstatt ein bestimmtes Anmeldeereignis mit einem Flag zu versehen. Anmeldungen, die nach einer autorisierten Konfigurationsänderung initiiert werden, könnten diese Erkennung auslösen.	suspiciousSignins
Vom Administrator bestätigte Kompromittierung des Dienstprinzipals	Offline	Diese Erkennung weist darauf hin, dass ein Administrator auf der Benutzeroberfläche für riskante Workloadidentitäten oder mithilfe der riskyServicePrincipals-API die Option „Kompromittierung bestätigen“ ausgewählt hat. Überprüfen Sie den Risikoverlauf des Kontos (auf der Benutzeroberfläche oder über die API), um zu überprüfen, welcher Administrator diese Kontogefährdung bestätigt hat.	adminConfirmedServicePrincipalCompromised
Kompromittierte Anmeldeinformationen	Offline	Diese Risikoerkennung gibt an, dass die gültigen Anmeldeinformationen des Kontos kompromittiert wurden. Dieser Verlust kann auftreten, wenn jemand die Anmeldeinformationen im Artefakt des öffentlichen Codes auf GitHub überprüft oder wenn die Anmeldeinformationen durch eine Datenverletzung kompromittiert werden. Wenn der Microsoft-Dienst für kompromittierte Anmeldeinformationen von GitHub, aus dem Dark Web, aus Inhaltswebsites oder aus anderen Quellen Anmeldeinformationen erhält, werden diese mit den aktuellen gültigen Anmeldeinformationen in Microsoft Entra ID abgeglichen, um gültige Übereinstimmungen zu finden.	leakedCredentials
Bösartige Anwendung	Offline	Diese Erkennung kombiniert Warnungen von ID Protection und Microsoft Defender for Cloud Apps, um anzugeben, wenn Microsoft eine Anwendung wegen Verstoßes gegen unsere Vertragsbedingungen deaktiviert. Wir empfehlen, eine Untersuchung der Anwendung durchführen zu lassen. Hinweis: Diese Anwendungen werden `DisabledDueToViolationOfServicesAgreement` in der `disabledByMicrosoftStatus`-Eigenschaft der zugehörigen Anwendungs- und Dienstprinzipal-Ressourcentypen in Microsoft Graph angezeigt. Um zu verhindern, dass die Objekte in Zukunft in Ihrer Organisation erneut instanziiert werden, können Sie diese nicht löschen.	maliciousApplication
Verdächtige Anwendung	Offline	Diese Erkennung gibt an, dass ID Protection oder Microsoft Defender for Cloud Apps eine Anwendung identifiziert haben, die möglicherweise gegen unsere Vertragsbedingungen verstößt, sie aber nicht deaktiviert haben. Wir empfehlen, eine Untersuchung der Anwendung durchführen zu lassen.	suspiciousApplication
Anomale Aktivität des Dienstprinzipals	Offline	Bei dieser Risikoerkennung wird das normale Verhalten von administrativen Dienstprinzipalen in Microsoft Entra ID zugrunde gelegt, und es werden anomale Verhaltensmuster wie verdächtige Änderungen am Verzeichnis erkannt. Die Erkennung wird für den Dienstprinzipal, der die Änderung vornimmt, oder für das Objekt ausgelöst, das geändert wurde.	anomalousServicePrincipalActivity
Verdächtiger API-Datenverkehr	Offline	Diese Risikoerkennung wird gemeldet, wenn ungewöhnlicher Graph-Datenverkehr oder eine ungewöhnliche Verzeichnisenumeration eines Dienstprinzipals erkannt wird. Die Erkennung von verdächtigem API-Datenverkehr kann auf eine ungewöhnliche Aufklärung oder Datenexfiltration durch einen Dienstprinzipal hinweisen.	suspiciousAPITraffic

Erkennen riskanter Workloadidentitäten

Organisationen können Workloadidentitäten, die als riskant gekennzeichnet wurden, an einem von zwei Orten finden:

Melden Sie sich beim Microsoft Entra Admin Center mindestens als Sicherheitsleseberechtigter an.
Browsen Sie zuSchutz>Identitätsschutz>Riskante Workloadidentitäten.

Microsoft Graph-APIs

Sie können riskante Workloadidentitäten auch mithilfe der Microsoft Graph-API abfragen. Es gibt zwei neue Sammlungen in den ID Protection-APIs.

riskyServicePrincipals
servicePrincipalRiskDetections

Exportieren von Risikodaten

Organisationen können Daten exportieren, indem sie Diagnoseeinstellungen in Microsoft Entra ID konfigurieren, um Risikodaten an einen Log Analytics-Arbeitsbereich zu senden, in einem Speicherkonto zu archivieren, an einen Event Hub zu streamen oder an eine SIEM-Lösung zu senden.

Erzwingen von Zugriffssteuerungen mit risikobasiertem bedingten Zugriff

Mithilfe des bedingten Zugriffs für Workloadidentitäten können Sie den Zugriff für ausgewählte Konten blockieren, wenn ID Protection diese als „gefährdet“ markiert. Die Richtlinie kann auf Dienstprinzipale mit nur einem Mandanten angewendet werden, die in Ihrem Mandanten registriert sind. SaaS von Drittanbietern, mehrinstanzenfähige Apps und verwaltete Identitäten können nicht verwendet werden.

Die fortlaufende Zugriffsevaluierung für Workloadidentitäten ein leistungsstarkes Tool, mit dem Sie Ihre Richtlinien für bedingten Zugriff und alle erkannten Risikosignale sofort erzwingen und so die Sicherheit und Resilienz Ihrer Workloadidentitäten verbessern können. CAE-fähige Workloadidentitäten von Drittanbietern, die auf CAE-fähige Erstanbieterressourcen zugreifen, sind mit Langlebigen Token (LLTs) für 24 Stunden ausgestattet, die kontinuierlichen Sicherheitsüberprüfungen unterliegen. Informationen zum Konfigurieren von Workloadidentitätsclients für CAE und zum aktuellen Featurebereich finden Sie in der Dokumentation zur CAE für Workloadidentitäten.

Untersuchen riskanter Workloadidentitäten

ID Protection stellt Organisationen zwei Berichte zur Verfügung, mit denen sie das Workloadidentitätsrisiko untersuchen können. Bei diesen Berichten handelt es sich um riskante Workloadidentitäten und Risikoerkennungen für Workloadidentitäten. Alle Berichte ermöglichen das Herunterladen von Ereignissen im CSV-Format für die weitere Analyse.

Einige der wichtigsten Fragen, die Sie während Ihrer Untersuchung beantworten müssen, sind:

Zeigen Konten verdächtige Anmeldeaktivitäten an?
Wurden nicht autorisierte Änderungen an den Anmeldeinformationen vorgenommen?
Wurden verdächtige Konfigurationsänderungen an Konten vorgenommen?
Hat das Konto nicht autorisierte Anwendungsrollen erhalten?

Der Microsoft Entra Security Operations-Leitfaden für Anwendungen enthält ausführliche Anleitungen zu den oben genannten Untersuchungsbereichen.

Nachdem Sie ermittelt haben, ob die Workloadidentität kompromittiert wurde, verwerfen Sie das Risiko für das Konto, oder bestätigen Sie im Bericht „Riskante Workloadidentitäten“, dass das Konto kompromittiert wurde. Sie können auch „Dienstprinzipal deaktivieren“ auswählen, wenn Sie weitere Anmeldungen für das Konto blockieren möchten.

Korrigieren riskanter Workloadidentitäten

Inventuranmeldeinformationen, die der riskanten Workloadidentität zugewiesen sind, unabhängig davon, ob es sich um den Dienstprinzipal- oder Anwendungsobjekte handelt.
Fügen Sie neue Anmeldeinformationen hinzu. Microsoft empfiehlt die Verwendung von x509-Zertifikaten.
Entfernen Sie die kompromittierten Anmeldeinformationen. Wenn Sie der Meinung sind, dass das Konto gefährdet ist, wird empfohlen, alle vorhandenen Anmeldeinformationen zu entfernen.
Korrigieren Sie alle Azure KeyVault-Geheimnisse, auf die der Dienstprinzipal Zugriff hat, indem Sie sie rotieren.

Das Microsoft Entra-Toolkit ist ein PowerShell-Modul, mit dem Sie einige dieser Aktionen ausführen können.

Freigeben über