// HEISE ONLINE — CYBERSECURITY
heise+ | Wie man Microsofts Entra ID mit Conditional Access Policies absichert
Da Identität die neue Sicherheitsgrenze der IT ist, muss sie besonders gut abgesichert werden. Richtlinien dabei sind das wichtigste Werkzeug zum Schutz.
Das schärfste Schwert zum Schutz von Cloud- und hybriden Identitäten in Entra-Mandanten sind ohne Zweifel die Richtlinien für den bedingten Zugriff (Conditional Access Policies). Sie haben sich in den letzten Jahren zum zentralen Kontrollinstrument innerhalb des Microsoft-Zero-Trust-Ökosystems weiterentwickelt. Leider ist dieses Schwert in vielen Fällen nicht so scharf geschliffen, wie es sein könnte, da das Konzept komplex und anfällig für Konfigurationsfehler und eine unwirksame Implementierung der Richtlinien ist.
Tim Mittermeier ist Head of Cybersecurity beim Sicherheitsdienstleister Corporate Trust in München. Er beschäftigt sich mit der Sicherheit hybrider Microsoft-Infrastrukturen und deren Wiederherstellung nach Cyberangriffen.
Richtlinien für den bedingten Zugriff setzen sich aus zwei Hauptzutaten zusammen: den Zuweisungen und den Zugriffskontrollen. Damit eine Regel überhaupt angewendet wird, müssen alle Komponenten der Zuweisungen erfüllt sein. Die Zugriffskontrollen bestimmen dann, was bei Anwendung der Regel passieren soll. Steuerelemente der Kategorie „Gewähren“ können dabei entweder mit „und“ oder mit „oder“ verknüpft werden. Um Abdeckungslücken zu vermeiden, sollten die Zuweisungen weit gefasst und durch möglichst wenige Bedingungen eingeschränkt sein.
Es existiert keine Verarbeitungsreihenfolge der Richtlinien, wie man sie beispielsweise vom Firewalling kennt. Bei einem Zugriffsversuch werden die Zugriffskontrollen aller Richtlinien, deren Zuweisungen erfüllt sind, mit Und-Verknüpfung angewendet. Die einzige Ausnahme bildet das Steuerelement Blockzugriff (Block), das immer über Zugriff gewähren (Grant) siegt. Werden bei einem Zugriffsversuch die Zuweisungen einer Block-Richtlinie erfüllt, so ist kein Zugriff möglich, völlig unabhängig davon, welche anderen Richtlinien angewendet werden.
Apples Erinnerungen-App wirkt auf den ersten Blick wie eine spartanische To-do-Liste, ist tatsächlich aber ein mächtiges Planungswerkzeug.
Das nächste große Firmware-Update für Fritzboxen ist erschienen, unter anderem mit einer Adblock-Funktion. Wir haben es ausprobiert und geben Einrichtungstipps.
Wir bauen eine in Höhe und Position verstellbare Lötplattform mit einer magnetischen Oberfläche und diversen Helferlein.
Warum wirkt dasselbe Motiv einmal edel und einmal billig? Ein Praxisleitfaden, der erklärt, wie Licht unser Sehen steuert.
Wie die perfekte Werkstatt aussieht, hängt natürlich ganz wesentlich davon ab, was darin passieren soll. Wir geben einen Ansatz.