IT-Audit
Entra ID Audit
Microsoft Entra ID ist das Identitätssystem hinter Microsoft 365, Azure und vielen weiteren Cloud-Anwendungen. Wer Entra ID kontrolliert, kontrolliert den Zugriff auf fast alle Daten einer Organisation. Entsprechend häufig ist Entra ID das Ziel von Angriffen, und entsprechend wichtig ist eine unabhängige Prüfung der Konfiguration und der Prozesse dahinter.
Prüffelder im Überblick
| Prüffeld | Kontrollziel | Typische Prüfschritte |
|---|---|---|
| Authentifizierung | Anmeldungen sind stark geschützt | MFA-Abdeckung, phishing-resistente Methoden, Abschaltung veralteter Protokolle |
| Conditional Access | Zugriffe sind an Risiko, Gerät und Standort gebunden | Richtlinien, Ausnahmen, Ausschlüsse und Notfallkonten prüfen |
| Privilegierte Rollen | Administrative Rechte sind minimal, zeitlich begrenzt und überwacht | Rollenzuweisungen, Privileged Identity Management, getrennte Admin-Konten |
| Lebenszyklus | Ein-, Um- und Austritte werden zeitnah umgesetzt | Abgleich mit HR-Daten, inaktive Konten, Zugriffsüberprüfungen |
| Gäste und externe Identitäten | Externe Zugriffe sind kontrolliert und befristet | Einladungsrichtlinien, mandantenübergreifender Zugriff, Rezertifizierung |
| Applikationen und Dienstkonten | Anwendungen haben nur nötige Berechtigungen | App-Registrierungen, Berechtigungszustimmungen, Geheimnisse und Zertifikate |
| Hybride Identität | Die Synchronisation mit dem lokalen Active Directory ist geschützt | Synchronisationsserver, Konten mit hohen Rechten, Passwort-Hash-Synchronisation |
| Protokollierung | Anmeldungen und Änderungen sind nachvollziehbar | Aufbewahrung der Protokolle, Anbindung an SIEM, Alarmierung |
Die häufigsten Feststellungen
- Mehr als eine Handvoll dauerhaft zugewiesener globaler Administratoren.
- Conditional-Access-Richtlinien mit breiten Ausnahmen, die über Jahre gewachsen sind.
- Notfallkonten ohne Überwachung oder mit unklarer Aufbewahrung der Zugangsdaten.
- Applikationen mit weitreichenden Berechtigungen, denen einmal zugestimmt wurde und die niemand mehr kennt.
- Gäste, die nach Projektende weiterhin Zugriff haben.
- Protokolle nur mit kurzer Standardaufbewahrung und ohne Auswertung.
Kriterien und Referenzen
Wir messen an den Sicherheitsempfehlungen von Microsoft, am CIS Microsoft 365 Foundations Benchmark, an etablierten Rahmenwerken wie NIST CSF 2.0 und ISO/IEC 27001 sowie an Ihren internen Weisungen. Für Finanzinstitute berücksichtigen wir die Anforderungen des FINMA-Rundschreibens 2023/1 an Zugriffsschutz, privilegierte Zugriffe und Cyber-Risiken.
Welche Evidenz wir verwenden
- Konfigurationsexporte aus Entra ID mit lesendem Zugriff
- Auswertungen der Rollenzuweisungen, Anmeldemethoden und Applikationsberechtigungen
- Stichproben aus dem Ein- und Austrittsprozess mit Abgleich gegen HR
- Anmelde- und Audit-Protokolle für ausgewählte Ereignisse
- Nachweise zu Zugriffsüberprüfungen und deren Ergebnissen
Unser Vorgehen
- Kick-off: Prüfziel, Prüffelder und Kriterien festlegen.
- Erhebung: Konfiguration und Protokolle auswerten, Prozesse in Interviews aufnehmen.
- Beurteilung: Abweichungen gegen Kriterien bewerten, Wirksamkeit an Stichproben prüfen.
- Bericht: Prüfungsurteil, priorisierte Feststellungen und ein technischer Anhang für den Betrieb.
Häufige Fragen
Häufige Fragen
Weiterlesen