Darum geht es
Neu angelegte Benutzerkonten sind ein beliebtes Mittel, um sich dauerhaft Zugang zu verschaffen. Ein Angreifer mit Admin-Rechten legt sich gern ein unauffälliges Zusatzkonto an. Eine wöchentliche Durchsicht der neu erstellten Konten macht solche Hintertüren sichtbar.
Was passieren kann
Ein heimlich angelegtes Konto ermöglicht Angreifern auch nach Bereinigung des ursprünglich kompromittierten Kontos weiter Zugriff.
Schritt für Schritt
Legen Sie einen festen wöchentlichen Termin und eine verantwortliche Person fest.
Öffnen Sie im Entra Admin Center Entra ID > Überwachung und Integrität > Überwachungsprotokolle und filtern Sie auf die Aktivität „Add user“ der letzten 7 Tage.
Alternativ: Suchen Sie im Microsoft Purview Portal unter Lösungen > Überwachung nach der Aktivität „Benutzer hinzugefügt“.
Gleichen Sie jedes neue Konto mit bekannten Eintritten, Dienstleistern oder Projekten ab.
Unbekannte Konten sofort sperren und den Vorfall untersuchen; Sichtung dokumentieren.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Überwachung und Integrität
- Überwachungsprotokolle
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Der Bericht zur Kontobereitstellung wird wöchentlich gesichtet
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Organisatorische Maßnahme: Hier geht es um die regelmäßige Sichtung eines Berichts durch Ihr Team. Das lässt sich technisch nicht prüfen; bitte legen Sie dafür einen festen Termin fest.
Für Ihre IT: per PowerShell nachsehen
Exchange Online PowerShell: Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date) -Operations 'Add user.' | Select CreationDate,UserIds,Operations
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A3: Dokumentation der Benutzendenkennungen und Rechteprofile
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeitlit. d: Regelmäßige Überprüfung der Maßnahmen
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.