Abwehr von Phishing-Angriffen mithilfe des Token-Schutzes im bedingten Zugriff

Der Diebstahl von Token stellt in diesem hybriden Arbeitsumfeld eine ernsthafte Bedrohung dar. Angreifer nutzen verschiedene Technologien, um Token anstelle von Passwörtern zu stehlen. Mit diesen gestohlenen Token greifen sie auf wichtige Ressourcen zu und führen schädliche Aktivitäten in Ihrer Office365-Umgebung aus. Daher sollte jede Organisation über einen geeigneten Abwehrmechanismus verfügen, um diese Token-Phishing-Angriffe abzuwehren. Um Ihnen dabei zu helfen, hat Microsoft zusätzlich zu den streng durchgesetzten Standortrichtlinien des CAE die Richtlinie „Tokenschutz im bedingten Azure AD-Zugriff“ implementiert, die Ihre Office 365-Ressourcen vor böswilligen Angreifern schützt, die versuchen, die Sicherheit Ihrer Organisation zu gefährden .

Lassen Sie uns daher tiefer eintauchen, um den Token-Schutz (Token-Bindung) im Detail zu untersuchen und auch zu lernen, Richtlinien für bedingten Zugriff mit Token-Schutz zu konfigurieren, um Ihre Ressourcen vor Angreifern zu schützen!

Tokenschutz im bedingten Azure AD-Zugriff

Office365-Zugriffstoken fungieren als Eintrittskarten, die jedem Benutzer in einer Organisation ausgehändigt werden. Und diese Token enthalten die Identitäten der Benutzer, die für den Zugriff auf Organisationsressourcen verwendet werden. Da sich Benutzer über nicht verwaltete Geräte bei den Ressourcen anmelden, wird es für die Angreifer zu einer Lücke, um ihre Office365-Zugriffstoken zu stehlen.

Nach dem Diebstahl des Tokens kann der Angreifer Aktivitäten wie das Versenden von Phishing-Nachrichten an andere Benutzer, das Ändern von Benutzerkontoeinstellungen und den Diebstahl vertraulicher Office 365-Daten ausführen. Dadurch können Administratoren nur authentifizierte Zugriffstoken zulassen, die erstellt werden, während sich Benutzer bei den Office 365-Ressourcen anmelden.

Der Token-Schutz stellt eine enge Verbindung zwischen dem Token und dem vorgesehenen Gerät (Geheimnis des Kunden) her.

Wie oben zitiert, können Sie sicherstellen, dass Ihre Benutzer mithilfe gültiger Office-Zugriffstoken auf Ressourcen zugreifen. Von nun an können Sie eine Richtlinie für bedingten Zugriff erstellen, um den Tokenschutz in Azure AD durchzusetzen. Zweifellos wird diese Richtlinie als erste Verteidigungslinie gegen unbefugten Token-Zugriff durch Angreifer dienen.

Checkliste zum Konfigurieren der Richtlinie für bedingten Zugriff mit Tokenschutz

Nachfolgend sind die Voraussetzungen aufgeführt, die vor der Konfiguration der Richtlinie für bedingten Zugriff mit Tokenschutz berücksichtigt werden müssen:

1. Erstens sollten Sie über Geräte mit Windows 10 oder neuer verfügen, die Azure AD beigetreten sind, Hybrid-Azure AD beigetreten sind oder bei Azure AD registriert sind.
2. Stellen Sie sicher, dass Sie über die folgenden Versionen für den OneDrive- und Microsoft Teams-Client verfügen:

• • • OneDrive-Version 22.217 oder höher.

• • • Teams-Clientversion 1.6.00.1331 oder höher.

Einschränkungen beim Erstellen einer Richtlinie für bedingten Zugriff mithilfe des Tokenschutzes

Neben den Voraussetzungen gibt es einige Einschränkungen bei der Konfiguration des Tokenschutzes im bedingten Azure AD-Zugriff. Sie sind,

1. Erstens werden über Azure AD B2B eingeladene externe Benutzer nicht unterstützt und es wird empfohlen, sie nicht in die Richtlinie aufzunehmen.
2. Die Windows-Clientgeräte wie Windows Server und Surface Hub werden nicht unterstützt.
3. Einige Anwendungen unterstützen die Anmeldung mit geschützten Token nicht. Sie sind,

• • • Power BI Desktop-Client.
    • PowerShell-Module greifen auf Exchange-, SharePoint- oder Microsoft Graph-Bereiche zu, die von Exchange oder SharePoint bereitgestellt werden.
    • PowerQuery-Erweiterung für Excel.
    • Erweiterungen für Visual Studio Code, die auf Exchange oder SharePoint zugreifen.
    • Visual Studio.

Erstellen Sie eine Richtlinie für bedingten Zugriff mithilfe des Tokenschutzes (Vorschau)

Eine Richtlinie für bedingten Zugriff mit Token-Schutz reduziert riskante Anmeldungen mit gestohlenen Token, da sie nur autorisierten Benutzern den Zugriff auf die vertraulichen Informationen des Unternehmens ermöglicht.

Wichtig: Die Anmeldung mit dem Tokenschutz in der Richtlinie für bedingten Zugriff ist nur für Desktopanwendungen verfügbar, die auf Exchange Online und SharePoint Online zugreifen Windows-Geräte.

Um eine Richtlinie für bedingten Zugriff zu erstellen, führen Sie die folgenden Schritte aus.

1. Melden Sie sich zunächst beim Microsoft Entra Admin Center als Administrator für bedingten Zugriff, Sicherheitsadministrator oder globaler Administrator an.
2. Klicken Sie dann auf der Registerkarte auf der linken Seite auf Azure Active Directory und wählen Sie unter Schützen und sichern die Option „Bedingter Zugriff“ aus Möglichkeit.
3. Klicken Sie anschließend auf + Neue Richtlinie, um eine Richtlinie für bedingten Zugriff zu erstellen.
4. Anschließend können Sie Ihrer Police einen passenden Namen geben.
5. Jetzt können Sie auf dem Blatt Zuweisungen in der Option Benutzer alle Benutzer oder bestimmte Benutzer/Gruppen auswählen, für die Sie diese Richtlinie aktivieren möchten.

6. Wählen Sie dann unter dem Blatt Cloud-Apps oder -Aktion die Cloud-Apps Office 365 Exchange Online und Office 365 SharePoint Online aus.

7. Klicken Sie nun unter dem Blatt Bedingungen auf 0 Bedingungen ausgewählt.

→ Jetzt können Sie konfigurieren Geräteplattformen wie Windows, indem Sie die Konfigurationsoption auf „Ja“ umschalten und dann auf Fertig klicken.

→ Und dann können Sie konfigurierenClient-Apps gemäß Ihren Anforderungen, indem Sie die Konfigurationsoption auf „Ja“ umschalten und dann auf Fertig klicken.

8. Wählen Sie schließlich unter Zugriffskontrollen >Sitzung ' aus Tokenschutz für Anmeldesitzungen erforderlich' und klicken Sie auf Auswählen.

9. Aktivieren Sie abschließend die Richtlinie auf den Modus „Nur Bericht“ oder „Ein“.

Sobald Sie eine Richtlinie erfolgreich erstellt haben, erhalten Benutzer mit geschützten Token die Berechtigung zum Zugriff auf SharePoint Online und Exchange Online, nachdem sie die Bedingungen der Richtlinie für bedingten Zugriff erfolgreich erfüllt haben.

Überwachen Sie riskante Anmeldungen mithilfe von Azure AD-Anmeldeprotokollen.

Sobald die Richtlinie auf die zugewiesenen Benutzer angewendet wurde, können Sie den Status der Richtliniendurchsetzung mithilfe von Azure AD-Anmeldeprotokollen anzeigen. Mithilfe von Zugriffstokens können Sie über diese Protokolle sicherstellen, dass keine verdächtigen Anmeldeversuche stattgefunden haben.

Mit den folgenden Schritten können Sie die Anmeldeprotokolle in Azure Active Directory anzeigen.

1. Navigieren Sie zunächst mit den oben genannten Administratorrollen zu Bedingter Zugriff unter der Option Schützen und sichern.
2. Klicken Sie nun auf der linken Registerkarte auf Anmeldeprotokolle .
3. Wählen Sie dann die spezifische Anmeldeanforderung aus, um zu prüfen, ob die Richtlinie korrekt angewendet wird oder nicht.
4. Klicken Sie je nach Status auf den Modusbereich Bedingter Zugriffoder Nur Bericht und wählen Sie dann die Richtlinie aus, die das Token erzwungen hat Schutz.
5. Schließlich können Sie unter Sitzungskontrollen sehen, ob die Richtlinienanforderungen erfüllt wurden oder nicht.

Hinweis: Sie können die Protokollanalyse auch verwenden, um die Anmeldeprotokolle nach zulässigen/blockierten Anmeldeanforderungen abzufragen, für die die Token-Schutzrichtlinie angewendet wird.

Beenden Sie den Token-Diebstahl!

Auch wenn der Diebstahl von Token durch Angreifer selten vorkommt, werden uns die Auswirkungen hart treffen. Glücklicherweise wurde die Token-Schutzrichtlinie für bedingten Zugriff eingeführt, die das Risiko, dass Angreifer Zugriff auf vertrauliche Informationen erhalten, erheblich verringert. Eliminieren Sie daher das Eindringen von Angreifern in Ihre Ressourcen, indem Sie eine Richtlinie für bedingten Zugriff mit Token-Schutz erstellen!

„Letztendlich sind die Ziele einfach: Sicherheit“

-JODI RELL

Wir hoffen, dass dieser Blog Ihnen dabei hilft, Informationen über den Tokenschutz in der Azure AD-Richtlinie für bedingten Zugriff zu erhalten. Wenn Sie außerdem Vorschläge oder Ideen zur Richtlinienerstellung mithilfe des Token-Schutzes haben, können Sie diese gerne im Kommentarbereich mitteilen.