Microsoft Entra-Kennwortschutz ist eine Sicherheitsfunktion, die Benutzer daran hindert, leicht zu erratende Passwörter festzulegen, um die Passwortsicherheit in einer Organisation insgesamt zu verbessern.

Dieser IoE wird nur für Mandanten mit einer Entra ID-P1- oder -P2-Lizenz ausgeführt, da diese Premium-Lizenzen für diese Sicherheitsfunktion <a href="https://learn.microsoft.com/de-de/entra/identity/authentication/concept-password-ban-bad#license-requirements">erforderlich</a> sind.
Entra ID nutzt <a href="https://learn.microsoft.com/de-de/entra/identity/authentication/concept-password-ban-bad">Microsoft Entra-Kennwortschutz</a>, um das Risiko zu mindern, dass Benutzer leicht zu erratende Passwörter festlegen, die anfällig für Brute-Force-Angriffe sind. Diese Funktion verwendet eine globale Liste gesperrter Passwörter, die <a href="https://learn.microsoft.com/de-de/entra/identity/authentication/concept-password-ban-bad#:~:text=The%20global%20banned%20password%20list%20is%20automatically%20applied%20to%20all%20users%20in%20a%20Microsoft%20Entra%20tenant.%20There%27s%20nothing%20to%20enable%20or%20configure%2C%20and%20can%27t%20be%20disabled">standardmäßig aktiviert ist und nicht deaktiviert werden kann</a>. Die Liste enthält häufig verwendete schwache Passwörter und wird von Microsoft gepflegt und regelmäßig aktualisiert.
Obwohl Microsoft Entra-Kennwortschutz eine cloudbasierte Funktion ist, können Organisationen sie auf das klassische On-Premises Active Directory (auch bekannt als „Windows Server Active Directory“) ausweiten, wie unter „<a href="https://learn.microsoft.com/de-de/entra/identity/authentication/concept-password-ban-bad-on-premises">Erzwingen des lokalen Microsoft Entra-Kennwortschutzes für Active Directory Domain Services</a>“ beschrieben. Sie vereinfachen diese Integration, indem sie einen dedizierten Microsoft-Agent auf den On-Premises Active Directory-Domänencontrollern installieren und gleichzeitig die Passwortschutzrichtlinien über das cloudbasierte Entra-Portal konfigurieren.
Dieser Indicator of Exposure wertet zwei Einstellungen von Microsoft Entra-Kennwortschutz aus, die die Durchsetzung der Funktion in der On-Premises-Umgebung bestimmen:
<ul>
<li>„Kennwortschutz für Windows Server Active Directory aktivieren“ sollte „Ja“ sein.</li>
<li>„Modus“ sollte „Erzwungen“ sein.</li>
</ul>
Hinweis:
<ol>
<li>Dieser IoE wird nur für Mandanten ausgeführt, die mit einem On-Premises Active Directory synchronisiert werden (z. B. Microsoft Entra Connect oder Microsoft Entra-Cloudsynchronisierung). Er stützt seine Analyse auf die Eigenschaft <code>onPremisesSyncEnabled</code> von <code>organization</code>.</li>
<li>Die Aktivierung von Microsoft Entra-Kennwortschutz für die On-Premises Active Directory-Domäne (wie im Abschnitt mit den Empfehlungen beschrieben) erfordert, dass Organisationen einen Agent auf allen Domänencontrollern innerhalb der On-Premises-Umgebung bereitstellen. Dieser IoE überprüft die relevanten Einstellungen im Entra ID-Portal, kann jedoch den tatsächlichen Bereitstellungsstatus des Agents auf den On-Premises Active Directory-Domänencontrollern nicht validieren. Infolgedessen besteht die Möglichkeit von falsch negativen Ergebnissen, bei denen die Konfiguration in Entra konform zu sein scheint, obwohl der Agent nicht vollständig auf allen Active Directory-Domänencontrollern bereitgestellt wurde oder nicht ordnungsgemäß funktioniert.</li>
</ol>

Erkennungen

Kennwortschutz für On-Premises-Umgebungen nicht aktiviert

MEDIUM

Version 202411071130