Risky Sign-In erkannt? Sign-In Risk Policy konfigurieren

Veröffentlicht am:
#entra id

Manchmal ist das Konto nicht unbedingt kompromittiert, aber der aktuelle Login-Versuch sieht verdaechtig aus.

Das ist Sign-in risk.

Das Microsoft-Entra-Muster ist:

Risky Sign-in erkannt -> Conditional Access Policy -> MFA oder staerkere Verifikation verlangen

In diesem Beispiel:

  • CloudTrips will Benutzer bei verdaechtigen Sign-ins schuetzen
  • Sign-in risk wird fuer den aktuellen Login-Versuch bewertet
  • Conditional Access verlangt zusaetzliche Verifikation, wenn das Risiko medium oder high ist

Dieser Trip behandelt den Login-Versuch.

Der separate User-Risk-Trip behandelt das Konto, das ueber Zeit wahrscheinlich kompromittiert ist.

Sign-In Risk vs User Risk

Sign-in risk beantwortet:

Sieht dieser konkrete Login-Versuch riskant aus?

User risk beantwortet:

Ist dieses Benutzerkonto wahrscheinlich kompromittiert?

Halte die Policies getrennt.

Fuer Sign-in risk ist die normale Reaktion:

MFA oder Authentication Strength verlangen

Fuer User risk ist die normale Reaktion:

Secure password change verlangen

Risky Sign-Ins pruefen

Gehe zu:

Entra ID > Identity Secure Score > Risky sign-ins

Pruefe die Risky Sign-ins, bevor du eine Policy erstellst oder aenderst.

Achte auf:

Date
User
IP address
Location
Risk state

Oeffne einen Risky Sign-in, um mehr Details zu sehen, zum Beispiel Risk detections, Application und Conditional-Access-Ergebnisse.

Microsoft Entra Identity Secure Score Risky Sign-ins Liste mit Date, User, IP address, Location und Risk state

Conditional-Access-Policy erstellen

Gehe zu:

Entra ID > Conditional Access > Policies

Erstelle eine neue Policy.

Beispielname:

CA-Require-MFA-For-Risky-Signins

Conditional Access Policies Seite mit neuer Policy fuer Risky Sign-ins

Benutzer zuweisen

Unter:

Users and groups

Starte mit einer Pilotgruppe.

Beispiel:

Include: GRP-CloudTrips-Risk-Policy-Pilot
Exclude: Emergency access accounts, if your tenant has them

Nach dem Testen kannst du die Policy auf alle Benutzer erweitern.

Conditional Access Users Assignment mit Pilotgruppe fuer die Sign-in Risk Policy

Ressourcen targetieren

Unter:

Target resources

Waehle, was die Policy schuetzt.

Fuer breiten Schutz waehle:

All resources

Fuer einen sichereren Rollout starte zuerst mit wichtigen Apps.

Conditional Access Target Resources mit ausgewaehlten All resources

Sign-In Risk konfigurieren

Unter:

Conditions > Sign-in risk

Waehle:

Medium
High

Das bedeutet, dass die Policy nur greift, wenn Microsoft Entra den aktuellen Sign-in-Versuch als riskant genug bewertet.

Conditional Access Sign-in Risk Condition mit Medium und High Risk ausgewaehlt

Staerkere Verifikation verlangen

Unter:

Access controls > Grant

Fuer eine normale Remediation Policy waehle:

Grant access
Require multifactor authentication

Wenn es um sensible Admin- oder privilegierte Szenarien geht, verwende:

Require authentication strength
Phishing-resistant MFA

Waehle Block access nicht als ersten Rollout, ausser das Business ist fuer harte Blocks bereit.

Conditional Access Grant Controls mit erforderlicher MFA fuer Risky Sign-ins

Mit Report-Only Mode starten

Setze:

Enable policy: Report-only

Report-only zeigt, wer herausgefordert wuerde, bevor die Policy erzwungen wird.

Wenn dein Lab noch keine risky Sign-ins hat, ist das in Ordnung.

Der wichtige Test fuer diesen Trip ist, dass die Policy konfiguriert ist und im Report-only Mode bleibt.

Conditional Access Sign-in Risk Policy im Report-only Mode

Ohne risky Sign-in validieren

Du musst keinen risky Sign-in erzeugen, um diesen Trip abzuschliessen.

Bestaetige, dass die Policy-Zusammenfassung Folgendes zeigt:

Users and groups: pilot group
Target resources: selected apps or all resources
Conditions: Sign-in risk = Medium and High
Grant: Require multifactor authentication
Enable policy: Report-only

Wenn spaeter echte risky Sign-ins auftreten, pruefe sie in:

Entra ID > Monitoring & health > Sign-in logs

und pruefe den Conditional-Access-Tab fuer das Policy-Ergebnis.

Policy aktivieren

Nach dem Testen aendere:

Enable policy: On

Jetzt werden riskante Sign-ins mit dem ausgewaehlten Grant Control herausgefordert.

Enterprise-Hinweis

Sign-in Risk Policy schuetzt den aktuellen Sign-in-Versuch.

Sie ist nicht dasselbe wie User Risk Policy.

Empfohlener Rollout:

  • mit einer Pilotgruppe starten
  • Emergency Access Accounts ausschliessen, wenn dein Tenant welche hat
  • zuerst Report-only Mode verwenden
  • Medium und High fuer ausgewogenen Schutz waehlen
  • MFA fuer normale Benutzer verlangen
  • phishing-resistant Authentication Strength fuer privilegierte Szenarien verlangen
  • User-Risk-Remediation als separate Policy halten