heise+ | Wie man Microsofts Entra ID mit Conditional Access Policies absichert

Das schärfste Schwert zum Schutz von Cloud- und hybriden Identitäten in Entra-Mandanten sind ohne Zweifel die Richtlinien für den bedingten Zugriff (Conditional Access Policies). Sie haben sich in den letzten Jahren zum zentralen Kontrollinstrument innerhalb des Microsoft-Zero-Trust-Ökosystems weiterentwickelt. Leider ist dieses Schwert in vielen Fällen nicht so scharf geschliffen, wie es sein könnte, da das Konzept komplex und anfällig für Konfigurationsfehler und eine unwirksame Implementierung der Richtlinien ist.

• Richtlinien für den bedingten Zugriff sind die zentrale Sicherheitskomponente für den Schutz von Identitäten und Ressourcen im Microsoft-Cloud-Ökosystem und zur Umsetzung von Zero-Trust-Prinzipien.
• Viele Richtlinien sind fehlerhaft konfiguriert und dadurch unwirksam oder voller Abdeckungslücken.
• Die Verwendung von Vorlagen und die Beachtung einiger Grundprinzipien erleichtern die Implementierung eines wirksamen Richtlinienwerks.

Tim Mittermeier ist Head of Cybersecurity beim Sicherheitsdienstleister Corporate Trust in München. Er beschäftigt sich mit der Sicherheit hybrider Microsoft-Infrastrukturen und deren Wiederherstellung nach Cyberangriffen.

Richtlinien für den bedingten Zugriff setzen sich aus zwei Hauptzutaten zusammen: den Zuweisungen und den Zugriffskontrollen. Damit eine Regel überhaupt angewendet wird, müssen alle Komponenten der Zuweisungen erfüllt sein. Die Zugriffskontrollen bestimmen dann, was bei Anwendung der Regel passieren soll. Steuerelemente der Kategorie „Gewähren“ können dabei entweder mit „und“ oder mit „oder“ verknüpft werden. Um Abdeckungslücken zu vermeiden, sollten die Zuweisungen weit gefasst und durch möglichst wenige Bedingungen eingeschränkt sein.

Es existiert keine Verarbeitungsreihenfolge der Richtlinien, wie man sie beispielsweise vom Firewalling kennt. Bei einem Zugriffsversuch werden die Zugriffskontrollen aller Richtlinien, deren Zuweisungen erfüllt sind, mit Und-Verknüpfung angewendet. Die einzige Ausnahme bildet das Steuerelement Blockzugriff (Block), das immer über Zugriff gewähren (Grant) siegt. Werden bei einem Zugriffsversuch die Zuweisungen einer Block-Richtlinie erfüllt, so ist kein Zugriff möglich, völlig unabhängig davon, welche anderen Richtlinien angewendet werden.