Wenn allen Benutzern erlaubt wird, uneingeschränkt Geräte mit dem Entra-Mandanten zu verbinden, öffnet das Tür und Tor für Angreifer, Rogue-Geräte in das Identitätssystem der Organisation einzuschleusen und sich so eine Ausgangsbasis für weitere Kompromittierungen zu verschaffen.

Standardmäßig gewährt Microsoft Entra ID allen Entra-Benutzern das Recht, ihre Geräte als Microsoft Entra-<a href="https://learn.microsoft.com/de-de/entra/identity/devices/concept-directory-join">verbundene Geräte</a> beim Mandanten zu registrieren. Mit dieser Einstellung namens <a href="https://learn.microsoft.com/de-de/entra/identity/devices/manage-device-identities#configure-device-settings">Benutzer dürfen Geräte mit Microsoft Entra verbinden</a> können eingeloggte Benutzer die Einbindung vornehmen. Wenn ein Bedrohungsakteur ein reguläres Benutzerkonto kompromittiert, kann er diesen Workflow ausnutzen, um eine Rogue-Arbeitsstation zu registrieren, die er vollständig kontrolliert. Das Gerät erscheint in Entra ID mit dem Opfer als eingetragenem Besitzer, übernimmt dessen grundlegende Richtlinien für <a href="https://learn.microsoft.com/de-de/windows/client-management/azure-active-directory-integration-with-mdm">Mobile Device Management (MDM)</a> und verschafft dem Angreifer damit einen dauerhaften, vertrauenswürdigen Zugang innerhalb der Umgebung..
Durch die Geräteeinbindung können zwar zusätzliche Prüfungen wie die Multifaktor-Authentifizierung (MFA) ausgelöst werden, sie ist bei der Registrierung jedoch nicht standardmäßig erforderlich. Das bedeutet, dass ein Angreifer, der nur ein gestohlenes Passwort hat, ein Gerät von überall aus registrieren kann. Bei Fehlkonfigurationen in Microsoft Intune oder in Richtlinien für bedingten Zugriff wird das Rogue-Gerät möglicherweise automatisch als konform markiert, wodurch Zugriffsbedingungen erfüllt werden, die andernfalls die Authentifizierung erschweren würden. Sobald ein Gerät als konform markiert wurde, kann der Angreifer unbemerkt auf Cloud-Ressourcen hinter der Entra ID-Authentifizierung zugreifen, ohne dass jemals eine MFA-Aufforderung angezeigt wird.
Microsofts Incident-Response-Team hat <a href="https://www.microsoft.com/de-de/security/blog/2023/12/05/microsoft-incident-response-lessons-on-preventing-cloud-identity-compromise/#poor-device">Sicherheitsverletzungen in der Praxis</a> dokumentiert, bei denen ein von einem Phishing-Angriff betroffenes Konto verwendet wurde, um ein Rogue-Gerät einzubinden, falsch konfigurierte Konformitätsprüfungen zu umgehen und sensible Daten aus Microsoft 365-Postfächern herauszuschleusen. Diese Fälle verdeutlichen, wie übermäßig großzügige Einstellungen für das Verbinden von Geräten den Wirkungsradius einer einzelnen Kontokompromittierung drastisch erweitern können.
Diese großzügige Einstellung ermöglicht es Mitarbeitern auch, persönliche Windows- und macOS-Geräte frei zu registrieren („Bring Your Own Device“ oder BYOD), wodurch der Gerätebestand des Unternehmens aufgebläht wird und es schwieriger wird, bösartige oder nicht autorisierte Geräte unter den zahlreichen nicht verwalteten Geräten zu erkennen.
Standardmäßig kann jeder Benutzer bis zu 50 Geräte registrieren. Dies bedeutet, dass ein einzelnes kompromittiertes Konto Dutzende von Angreifern gesteuerte Endgeräte hosten kann, ohne Warnungen auszulösen. Diese benutzergesteuerten Geräteverbindungen erfolgen außerhalb sicherer Bereitstellungsprozesse wie dem <a href="https://learn.microsoft.com/de-de/autopilot/self-deploying">Selbstbereitstellungsmodus von Windows Autopilot</a>, wobei die Hardware-Attestierung und andere Onboarding-Sicherheitsmaßnahmen umgangen werden, durch die im Rahmen des bedingten Zugriffs die Gerätevertrauensstellung überprüft wird.

Erkennungen

Benutzer, die Geräte hinzufügen dürfen

LOW

Version 202608241311