Darum geht es
Wer eine hoch privilegierte Rolle wie „Globaler Administrator“ oder „Benutzeradministrator“ erhält, kann im Tenant weitreichend handeln. Angreifer verschaffen sich nach einer Kontoübernahme gern genau solche Rollen. Meldet Privileged Identity Management jede neue Zuweisung zusätzlich an eine überwachte Adresse, etwa die IT-Sicherheit oder Ihren IT-Dienstleister, fällt eine unerwartete Zuweisung sofort auf.
Was passieren kann
Eine heimlich vergebene Administratorrolle bleibt unbemerkt. Die voreingestellten Benachrichtigungen gehen nur an die Administratoren selbst, bei einem übernommenen Admin-Konto liest also der Angreifer mit.
Schritt für Schritt
Legen Sie eine überwachte Empfängeradresse fest, z. B. ein Postfach der IT-Sicherheit oder Ihres IT-Dienstleisters, das nicht nur die Administratoren selbst lesen.
Öffnen Sie ID Governance > Privileged Identity Management > Microsoft Entra-Rollen > Einstellungen, wählen Sie „Globaler Administrator“ > Bearbeiten und wechseln Sie auf die Registerkarte „Benachrichtigung“.
Tragen Sie in den Abschnitten für Zuweisungen als „berechtigt“ und als „aktiv“ jeweils in der Zeile „Rollenzuweisungswarnung“ die Adresse unter „Zusätzliche Empfänger“ ein und speichern Sie mit „Aktualisieren“.
Wiederholen Sie das für Administrator für privilegierte Rollen, Benutzeradministrator, SharePoint-Administrator, Exchange-Administrator, Administrator für Hybrididentität, Anwendungsadministrator und Cloudanwendungsadministrator.
Prüfen Sie mit einer Testzuweisung, ob die Mail ankommt, und entfernen Sie die Testzuweisung danach wieder.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- ID Governance
- Privileged Identity Management
- Microsoft Entra-Rollen
- Einstellungen
- Rolle
- Benachrichtigung
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Neue Zuweisungen hoch privilegierter Rollen werden per E-Mail an eine festgelegte Adresse gemeldet
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Fehlt Ihrem Tenant die nötige Lizenz, bewertet der Bericht die Prüfung nicht als Mangel, sondern nennt sie als „Lizenz fehlt“.
Für Ihre IT: per PowerShell nachsehen
Graph: GET /v1.0/policies/roleManagementPolicyAssignments?$filter=scopeId eq '/' and scopeType eq 'DirectoryRole'&$expand=policy($expand=rules). Je Rolle die Regeln Notification_Admin_Admin_Eligibility und Notification_Admin_Admin_Assignment: notificationRecipients nicht leer.
Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.7.7v1: Warnung bei Zuweisung hoch privilegierter Rollen
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- DER.1.A5: Einsatz von mitgelieferten Systemfunktionen zur DetektionORP.4.A2: Einrichtung, Änderung und Entzug von Berechtigungen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.