Schreiben Sie vor, dass verwaltete Geräte verwendet werden müssen, um unbefugten Zugriff und potenzielle Sicherheitsverletzungen zu verhindern. Laut bewährten Sicherheitsmethoden empfiehlt sich die Verwendung von Richtlinien für bedingten Zugriff, um die Authentifizierung bei Entra ID von nicht verwalteten Geräten aus zu blockieren.

Standardmäßig lässt Microsoft Entra ID die Authentifizierung von beliebigen Geräten aus zu. Dies kann zu nicht autorisiertem Zugriff und Sicherheitsverletzungen führen, insbesondere dann, wenn das Gerät kompromittiert oder nicht konform ist oder von einem Angreifer kontrolliert wird.
Das Zero-Trust-Modell gibt vor, dass die Authentifizierung vom Status des Geräts abhängig sein sollte und der Zugriff nur von Geräten zulässig ist, die den Sicherheitsrichtlinien des Unternehmens entsprechen und vom Unternehmen verwaltet werden.
Die Richtlinie <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#strong-auth-and-a-secure-registration-process">MS.AAD.3.7v1</a> aus der CISA „M365 Secure Configuration Baseline for Microsoft Entra ID“, die in BOD 25-01 vorgeschrieben wird, erfordert, dass verwaltete Geräte für die Authentifizierung vorgeschrieben werden SOLLTEN. In Anlehnung an CISA-Empfehlungen stellt dieser IoE sicher, dass mindestens eine Richtlinie für bedingten Zugriff die folgenden Einstellungen enthält:
<ul>
<li>„<a href="https://learn.microsoft.com/de-de/entra/identity/conditional-access/concept-conditional-access-users-groups#include-users"> Benutzer</a>“ ist so festgelegt, dass „Alle Benutzer“ eingeschlossen werden.</li>
<li>„<a href="https://learn.microsoft.com/de-de/entra/identity/conditional-access/concept-conditional-access-cloud-apps">Zielressourcen</a>“ ist auf „Alle Ressourcen“ festgelegt.</li>
<li>„<a href="https://learn.microsoft.com/de-de/entra/identity/conditional-access/concept-conditional-access-grant">Grant</a>“ (Zugriff gewähren) ist auf „Grant access“ (Zugriff gewähren) festgelegt und die Optionen „<a href="https://learn.microsoft.com/de-de/entra/identity/conditional-access/concept-conditional-access-grant#require-device-to-be-marked-as-compliant">Require device to be marked as compliant</a>“ (Gerät muss als konform gekennzeichnet werden) und „<a href="https://learn.microsoft.com/de-de/entra/identity/conditional-access/concept-conditional-access-grant#require-microsoft-entra-hybrid-joined-device">Require Microsoft Entra hybrid joined device</a>“ (In Microsoft Entra eingebundene Hybridgeräte erforderlich) sind ausgewählt. Unten ist die Option „Require one of the selected controls“ (Eines der ausgewählten Steuerelemente erforderlich) ausgewählt.</li>
<li>„Richtlinie aktivieren“ ist auf „Ein“ festgelegt (nicht „Aus“ oder „Nur Bericht“).</li>
</ul>
Wenn Sie der Empfehlung von Microsoft folgen, stellt dieser IoE sicher, dass mindestens eine Richtlinie für bedingten Zugriff dieselben Einstellungen enthält, mit dem Zusatz „Require multifactor authentication“ (Multi-Faktor-Authentifizierung erfordern), was bedeutet:
<ul>
<li>„<a href="https://learn.microsoft.com/de-de/entra/identity/conditional-access/concept-conditional-access-grant">Grant</a>“ (Zugriff gewähren) ist auf „Grant access“ (Zugriff gewähren) festgelegt und die Optionen „<a href="https://learn.microsoft.com/de-de/entra/identity/conditional-access/concept-conditional-access-grant#require-multifactor-authentication">Require multifactor authentication</a>“ (Multi-Faktor-Authentifizierung erfordern), „<a href="https://learn.microsoft.com/de-de/entra/identity/conditional-access/concept-conditional-access-grant#require-device-to-be-marked-as-compliant">Require device to be marked as compliant</a>“ (Gerät muss als konform gekennzeichnet werden) und „<a href="https://learn.microsoft.com/de-de/entra/identity/conditional-access/concept-conditional-access-grant#require-microsoft-entra-hybrid-joined-device">Require Microsoft Entra hybrid joined device</a>“ (In Microsoft Entra eingebundene Hybridgeräte erforderlich) sind ausgewählt. Unten ist die Option „Require one of the selected controls“ (Eines der ausgewählten Steuerelemente erforderlich) ausgewählt.</li>
</ul>

Erkennungen

Verwaltete Geräte sind für die Authentifizierung nicht erforderlich

MEDIUM

Version 202505121217