Häufig gestellte Fragen zu ITDR

Microsoft Entra ID wird unterstützt.

Ja, Sie können mehrere Entra ID-Mandanten über die Seite Identitätseinstellungen hinzufügen. Weitere Informationen finden Sie unter Identitätseinstellungen.

ITDR erfordert Entra ID P1 oder P2, die in eigenständigen Produkten, Add-ons oder zusammen mit anderen Microsoft-Lizenzen wie Microsoft 365 E3 und E5, Microsoft Business Premium sowie Microsoft 365 Frontline Worker F1, F3 und F5 verfügbar sind.

Microsoft Entra ID Free ermöglicht den Zugriff auf die Microsoft APIs, umfasst aber Beschränkungen zu den Daten, die erfasst werden können, sowie zu einigen Posture-Prüfungen. Aus diesem Grund zeigen einige ITDR-Integrationen, die Entra ID Free verwenden, den Status Einrichtung fehlgeschlagen an.

ITDR basiert auf den Microsoft-APIs zur Erfassung von Kontoinformationen. Microsoft beschränkt auch den Zugriff auf bestimmte APIs auf Basis von Lizenzen. Daher kann es sein, dass Informationen, z. B. ob ein Benutzer ein Administrator ist oder ob für den Benutzer die MFA registriert ist, nicht sofort nach einem Lizenz-Upgrade angezeigt werden. Nach dem Aktualisieren einer Lizenz kann es zu Verzögerungen von bis zu einer Woche kommen, bevor Microsoft die aktualisierten Benutzerinformationen bereitstellt. Sie können die Informationen überprüfen, indem Sie den Aktivitätsbericht im Microsoft Entra Admin Center anzeigen. Weitere Informationen finden Sie unter Aktivität für Authentifizierungsmethoden. Wenn die Informationen im Benutzerbericht nicht aktualisiert werden, sind auch die Informationen in ITDR veraltet, bis Microsoft sie aktualisiert.

ITDR umfasst eine Reihe von Bewertungen, von denen jede für die Ausführung unterschiedlicher Prüfungen verantwortlich ist, die in folgenden Intervallen durchgeführt werden:

• Entra ID Posture-Prüfungen: Alle 2 Stunden.
• Prüfung inaktiver Ressourcen: Alle 2 Stunden.
• Dark Web Intelligence: Alle 15 Minuten.

Nach dem ersten Setup erfassen wir den vollständigen Katalog der Daten von Microsoft Entra ID. Nachfolgend überprüfen wir Updates basierend auf dem Datentyp in den folgenden Intervallen:

• Benutzerdetails: Alle 10 Minuten.
• Dienstprinzipale und App-Details: Alle 10 Minuten.
• Gruppen: Alle 10 Minuten.
• Geräte: Alle 10 Minuten.
• MFA-Konfiguration des Benutzers: Alle 15 Minuten.
• Benutzeraktivität (Letzte Anmeldung): Alle 6 Stunden.
• Domänendaten- Alle 24 Stunden.

Die Bewertung für die Risiko-Posture der Identität wird täglich auf Basis von Änderungen im Vergleich zum Vortag aktualisiert. Die Bewertung wird entweder erhöht oder verringert, abhängig davon, ob neue Befunde beobachtet wurden oder bestehende Befunde behoben oder ignoriert wurden.

Nein, ITDR ist eine Software, die Sie überwachen. Wenn Sie allerdings den MDR-Service nutzen, untersucht das MDR-Operations-Team neben den bereits analysierten Bedrohungen auch identitätsbasierte Bedrohungen.

Das MDR-Operations-Team konzentriert sich hauptsächlich auf aktive Identitätsbedrohungen und untersucht eine Teilmenge kritischer Befunde oder Befunde mit hoher Priorität, die auf eine aktive Bedrohung hinweisen könnten. Allerdings obliegt es Ihnen, Befunde zu überwachen und zu verwalten.

Das MDR-Operations-Team verwendet den zusätzlichen Identitätskontext, der von Microsoft Entra ID erfasst wird, um die Benutzer und die damit verbundenen Risiken besser nachvollziehen zu können. Dies hilft, die Analyse- und Reaktionsprozesse sowohl bei Identitäts- als auch bei Nicht-Identitäts-Erkennungen zu beschleunigen, bei denen der Benutzer korreliert wurde.

Wir überwachen und sammeln kontinuierlich Leckergebnisse. Wird ein aktives Leck festgestellt, wird in der Regel innerhalb von 15 Minuten ein Befund erstellt.

Nein, wir speichern keine der Nur-Text-Kennwörter oder Hash-Werte. Wir haben auch nicht die Möglichkeit, diese von Identitätsanbietern zu erfassen. Beim Scannen und Erfassen von Daten wenden wir einen benutzerdefinierten Hash auf die beobachteten Werte an und kategorisieren den Datensatz dann entweder als Nur-Text- oder als gehashtes Passwort. Dadurch können wir die Eindeutigkeit der Kennwörter bestimmen und Metriken berechnen, ohne die zugrunde liegenden Passwortwerte speichern zu müssen.

Folgende Ursachen sind möglich:

• Sie verfügen nicht über die erforderliche Microsoft Entra-ID-Lizenz, z. B. P1 oder P2.
• Sie haben kürzlich Ihre Lizenz aktualisiert und Microsoft hat die Daten noch nicht zur Verfügung gestellt. Für Details siehe „Wie lange dauert es, bis ITDR nach dem Upgrade von Entra ID Free auf eine P1- oder P2-Lizenz aktualisiert wird?“

• Sie verwenden einen Drittanbieter-MFA-Anbieter wie Okta oder Duo mit einer Legacy-Konfiguration. In diesem Szenario wird der MFA-Status nicht korrekt zurückgemeldet, da Microsoft Entra ID die MFA-Informationen auf Benutzerebene für externe MFA-Anbieter nicht speichert. Wenn Sie die neuen externen Authentifizierungsmethoden von Microsoft in Ihrer Entra-ID-Mandantenkonfiguration einsetzen, können wir jedoch daraus schließen, dass ein externer Anbieter verwendet wird.

  Weitere Informationen finden Sie im Microsoft Entra-Blog. Zusätzliche Einrichtungsdetails sind für Duo und Okta verfügbar. Weitere Informationen finden Sie in der Duo-Dokumentation und der Okta-Dokumentation.

Das Admin-Flag in Entra ID wird für Benutzer mit Rollen, die in Entra ID als administrativ oder privilegiert anerkannt sind, auf „true“ gesetzt. Diese Rollen haben in der Regel umfassende Kontrolle über Verzeichnisressourcen, Benutzer oder Sicherheitseinstellungen. Im Folgenden finden Sie eine Liste der Entra-ID-Rollen, für die das Admin-Flag auf „true“ gesetzt ist:

• Globaler Administrator: Voller Zugriff auf alle administrativen Funktionen in Entra ID.
• Privilegierter Rollenadministrator: Verwaltet Rollenzuweisungen in Entra ID, einschließlich der Zuweisung anderer Administratoren.
• Benutzeradministrator: Verwaltet Benutzerkonten, Gruppen und einige Benutzerattribute.
• Sicherheitsadministrator: Hat vollen Zugriff auf alle Sicherheitsfunktionen und Einstellungen.
• Compliance-Administrator: Verwaltet compliancebezogene Funktionen wie eDiscovery und Auditing.
• Anwendungsadministrator: Verwaltet Anwendungsregistrierungen und Einstellungen in Entra ID.
• Authentifizierungsadministrator: Kann Authentifizierungsmethoden und -kontrollen anzeigen, festlegen und zurücksetzen, einschließlich Passwortzurücksetzungen.
• Exchange-Administrator: Verwaltet Einstellungen für Microsoft Exchange Online.
• SharePoint-Administrator: Verwaltet Einstellungen für SharePoint Online.
• Teams-Administrator: Verwaltet Einstellungen für Microsoft Teams.
• Intune-Administrator: Verwaltet Geräteverwaltungseinstellungen und -konfigurationen in Microsoft Intune.
• Abrechnungs-Administrator: Verwaltet Subscriptions, Abrechnungen und Support-Tickets.
• Helpdesk-Administrator: Beschränkt auf Passwortzurücksetzungen und grundlegende Fehlerbehebung.
• Service-Support-Administrator: Verwaltet Einstellungen in Bezug auf den Service-Support.
• Verzeichnisleser (wenn mit anderen privilegierten Rollen kombiniert): Kann Verzeichnisinformationen lesen; wird normalerweise mit einer anderen Rolle kombiniert, um Berechtigungen auszuweiten.
• Globaler Leser (wenn mit anderer Admin-Rolle kombiniert): Schreibgeschützter Zugriff über Entra ID und Microsoft-Dienste; kann das Admin-Flag auf „true“ setzen, wenn die Rolle mit einer anderen Admin-Rolle kombiniert wird.
• Berichtsleser (wenn mit anderer Admin-Rolle kombiniert): Zugriff auf Berichte und Protokolle, häufig in Kombination mit anderen administrativen Aufgaben.
• Administrator für bedingten Zugriff: Verwaltet Richtlinien für bedingten Zugriff.
• Identity Governance-Administrator: Verwaltet Einstellungen im Zusammenhang mit Identity Governance, Zugriffsprüfungen und Berechtigungsmanagement.
• Benutzerdefinierte Rollen mit administrativen Berechtigungen: Eine benutzerdefinierte Rolle mit administrativen Berechtigungen, die mit einer der oben genannten Rollen vergleichbar sind, kann das Admin-Flag auch auf „true“ setzen.

Diese Liste umfasst die Standardrollen in Entra ID, die das Admin-Flag beeinflussen. Wenn Microsoft jedoch diese Rollen aktualisiert oder neue hinzufügt, könnte sich das Verhalten des Admin-Flag entsprechend ändern.

Wenn die letzte Anmeldezeit mehr als 90 Tage zurückliegt, kennzeichnen wir einen Benutzer als inaktiv.

Der Risiko-Score jeder Identität wird aktualisiert, wenn Kontoänderungen festgestellt oder ein Befund geändert wird. Einzelheiten zur Berechnung des Score und zu den Beitragsfaktoren finden Sie unter Risiko-Score von Identitäten.

Die häufigste Ursache ist ein neu aufgetretener Befund mit kritischem oder hohem Schweregrad. Aktive Befunde führen dazu, dass der Score in den entsprechenden Bereich fällt, selbst wenn die Identität in der Vergangenheit keine Probleme aufwies. Öffnen Sie die Identitätsdetails und überprüfen Sie die Beitragsfaktoren im Abschnitt Risikobewertung, um zu prüfen, welche Befunde die Änderung ausgelöst haben. Für Details siehe Risiko-Score von Identitäten.

Die Risiko-Scores für Identitäten werden automatisch neu berechnet, sobald ein Befund aufgelöst ist. Daher sollten Sie kurz nach der Auflösung einen aktualisierten Score sehen. Die aufgelösten Befunde tragen jedoch bis zum nächsten täglichen Bewertungszyklus mit reduzierter Gewichtung weiterhin bei. Die vollständige Reduzierung zeigt sich im am Folgetag berechneten Score.

Die Scores werden auch ohne Konfigurationsänderung täglich neu berechnet, da das zugrunde liegende Machine-Learning-Modell auch Verhaltenssignale wie Alerts und Analysen miteinbezieht. Der Score einer Identität kann sich von Tag zu Tag ändern, je nachdem, ob diese Aktivität häufiger auftritt oder mit der Zeit abnimmt, unabhängig von Änderungen an den Attributen der Identität.

Nein. Der Risiko-Score wird durch ein zum Patent angemeldetes Machine-Learning-Modell generiert, nicht durch eine einfache additive Checkliste. Das Modell lernt, wie stark jeder Faktor tatsächlich mit dem Risiko korreliert und gewichtet die Beiträge entsprechend, sodass zwei Identitäten mit derselben Kombination von Faktoren den Score nicht unbedingt gleich stark verändern. Die auf der Detailseite einer Identität angezeigten Beitragsfaktoren spiegeln wider, was für den jeweiligen Score am wichtigsten war.

Das Modell wird anhand aggregierter Verhaltens- und Kontosignale aus dem gesamten ITDR-Kundenstamm trainiert. So lernt es, was typischerweise mit Risiken korreliert. Die Bewertung Ihrer Identitäten erfolgt anhand der aktuellen Daten Ihres jeweiligen Mandanten.

Ein leeres Feld ist nicht automatisch neutral. Das Modell leitet einen Wert aus Mustern ab, die aus ähnlichen Identitäten gelernt wurden. Daher kann eine fehlende Abteilung, ein fehlender Mitarbeitertyp oder eine fehlende Berufsbezeichnung den Score immer noch erhöhen oder senken, je nachdem, was für vergleichbare Identitäten an anderer Stelle im Modell mit dem Risiko korreliert. Durch das Auffüllen des Modells mit präzisen Daten erhält das Modell ein genaueres Signal als Grundlage.

Die Scores spiegeln die Kombination aller Attribute wider, nicht nur die Rolle. Zwei Identitäten mit identischen Titeln können sich hinsichtlich MFA-Status, Stadtrisiko, Gaststatus, offener Befunden oder historischer Aktivitäten unterscheiden. Prüfen Sie die Beitragsfaktoren im Abschnitt Risikobewertung jeder Identität, um zu sehen, was zu den Unterschieden beiträgt.

Sicherheitsfaktoren sind mit der Kontokonfiguration und dem Sicherheitsstatus verknüpft, was Sie direkt ändern können, z. B. durch Aktivieren der Multi-Faktor-Authentifizierung, Entfernen einer unnötigen Administratorrolle oder Beheben offener Befunde. Profilfaktoren sind Attribute der Identität selbst, z. B. Abteilung, Berufsbezeichnung oder Stadt, und lassen sich nicht leicht kontrollieren. Beides kann zu einer Erhöhung oder Senkung des Scores führen, aber die Bereinigung sollte sich auf Sicherheitsfaktoren konzentrieren, da man auf diese einwirken kann. Für Details siehe Das erhöht den Score.

Aktuell werden Scores für Benutzeridentitäten berechnet. Die Bewertung der Dienstprinzipal- und Anwendungsidentität ist für einen zukünftigen Release geplant.

Risiko-Scores werden nur für Aktive Identitäten berechnet. Wenn eine Identität bei Ihrem Identitätsanbieter als Gelöscht oder Deaktiviert gekennzeichnet ist, wird ihr kein Risiko-Score zugewiesen.

Die Scores verbessern sich, sobald das System Alert-Daten sammelt und für jede Identität ein Verhaltensprofil erstellt. Für neue Mandanten oder kürzlich hinzugefügte Benutzer können die Scores bis zu 30 Tage lang nur informativen Charakter haben, während diese Basis ermittelt wird. Sobald genügend Daten gesammelt wurden, werden die Scores das gesamte Spektrum der Risikosignale widerspiegeln. Identitäten mit offenen Befunden erhalten unabhängig davon, wie kürzlich sie aufgenommen wurden, einen höheren Score.

Sortieren Sie die Tabelle Identitäten absteigend nach Risiko-Score. Prüfen Sie die Beitragsfaktoren für Ihre wichtigsten Identitäten im Abschnitt „Risikobewertung“ der Identitätsdetails und priorisieren Sie diejenigen mit offenen Befunden mit kritischem und hohem Schweregrad. Dies sind die praktischsten Ausgangspunkte und der schnellste Weg zur Reduzierung des Scores.

Damit wir konkrete Befunde generieren können, führen wir die folgenden Verarbeitungsschritte durch, um die gesammelten und analysierten Daten zu korrelieren und zu validieren:

1. Sicherstellen, dass eine aktive Identität innerhalb der konfigurierten Identitätsanbieter vorhanden ist.
2. Bestimmen, anhand der verfügbaren historischen Daten, wann das Nur-Text-Passwort oder der Hash erstmals geleakt wurde. Dies ist wichtig, da neu veröffentlichte Kombinationslisten oft alte Daten aus früheren Lecks enthalten.
3. Wenn es sich um einen Nur-Text-Passwort-Wert handelt, vergleichen wir diesen dann mit den globalen Passwortkomplexitätsanforderungen von Microsoft Entra ID, um ungültige Werte auszusortieren.
4. Schließlich vergleichen wir das erste geleakte Datum des Passworts mit dem Zeitpunkt der letzten Passwortänderung für die Identität. Wenn das Leck nach der letzten Passwortänderung aufgetreten ist, generieren wir einen Befund.

Wenn wir festgestellt haben, dass ein Befund generiert werden soll, überprüfen wir im zugehörigen Konto, ob die Multi-Faktor-Authentifizierung aktiviert ist und mit welcher Stärke. Im Folgenden sind die zugehörigen Risikostufen basierend auf dem Typ des Benutzers, dem Typ des Lecks und der MFA-Konfiguration aufgeführt:

Sie können die Liste der Prüfungen auf der Registerkarte Einstellungen für die Posture-Prüfung auf der Seite Identitätseinstellungen anzeigen. Weitere Informationen finden Sie unter Identitätseinstellungen.

Ja, Sie können die Posture-Prüfungen auf der Registerkarte Einstellungen für die Posture-Prüfung auf der Seite Identitätseinstellungen aktivieren und deaktivieren. Weitere Informationen finden Sie unter Identitätseinstellungen.

Wir verwenden Daten aus verschiedenen Dark Web-Märkten wie dem Russian Marketplace und dem Genesis Market, TOR-Sites, öffentlichen und versteckten Telegram-Kanälen sowie Stealer-Logdateien.

Wenn Sie einen Benutzer für die VIP-Überwachung konfigurieren, überwachen wir das Darknet und das offene Web auf zusätzliche Benutzerattribute, die im vergangenen Jahr geleakt wurden. Wenn wir beobachten, dass bei einem einzelnen Leck mehrere Felder gleichzeitig freigelegt werden, erstellen wir einen der folgenden Befunde: