Konfigurieren Sie Identitätszugriffskontrollen, um die FedRAMP High-Impact-Stufe zu erfüllen

Die Organisation
(a.) identifiziert und benennt die folgenden Arten von Informationssystemkonten zur Unterstützung von Organisationsmissionen/Geschäftsfunktionen und wählt sie aus: [Zuweisung: von der Organisation definierte Informationssystemkonten];

(b.) weist Konto-Manager für Informationssystemkonten zu;

(c.) legt Bedingungen für die Gruppen- und Rollenmitgliedschaft fest;

(d.) spezifiziert autorisierte Informationssystembenutzer, Gruppen- und Rollenmitgliedschaften und Zugriffsautorisierungen (z. B. Berechtigungen) und ggf. weitere Attribute für jedes Konto;

(e.) verlangt Genehmigungen durch [Zuweisung: von der Organisation definierte Mitarbeiter oder Rollen] für die Beantragung der Erstellung von Informationssystemkonten;

(f.) erstellt, aktiviert, ändert, deaktiviert und entfernt Informationssystemkonten entsprechend den [Zuweisung: von der Organisation definierten Verfahren oder Bedingungen];

(g.) überwacht die Verwendung von Informationssystemkonten;

(h.) benachrichtigt Kontomanager:
(1.) wenn Konten nicht mehr benötigt werden;
(2.) wenn Nutzer ausgeschlossen oder übertragen werden; und
(3.) wenn sich die Nutzung einzelner Informationssysteme oder der Bedarf an Informationen ändert;

(i.) autorisiert den Zugriff auf das Informationssystem basierend auf:
(1.) einer gültigen Zugangsberechtigung;
(2.) der beabsichtigten Systemnutzung; und
(3.) anderen Attribute, die von der Organisation oder den zugehörigen Missionen/Geschäftsfunktionen verlangt werden;

(j.) überprüft Konten auf Konformität mit den Kontoverwaltungsanforderungen [FedRAMP-Zuweisung: monatlich für privilegierten Zugriff, alle sechs (6) Monate für nicht privilegierten Zugriff]; und

(k.) implementiert einen Vorgang, durch den für freigegebene oder Gruppenkonten (sofern vorhanden) bei Entfernung von Personen aus der Gruppe neue Anmeldeinformationen ausgestellt werden.

Verwenden Sie Microsoft Entra ID zum Bereitstellen von Konten aus externen HR-Systemen, des lokalen Active Directory oder direkt in der Cloud. Alle Vorgänge des Kontolebenszyklus werden in den Microsoft Entra-Auditprotokollen geprüft. Sie können Protokolle mithilfe einer SIEM-Lösung (Security Information and Event Management) wie Microsoft Sentinel sammeln und analysieren. Alternativ können Sie Azure Event Hubs verwenden, um Protokolle in SIEM-Lösungen von Drittanbietern zu integrieren und so die Überwachung und Benachrichtigung zu ermöglichen. Verwenden Sie die Microsoft Entra-Berechtigungsverwaltung mit Zugriffsüberprüfungen, um den Konformitätsstatus von Konten sicherzustellen.

Bereitstellen von Konten

Konfigurieren Sie die automatisierte Bereitstellung von kundengesteuerten Konten aus externen HR-Systemen oder dem lokalen Active Directory. Konfigurieren Sie Microsoft Entra ID für Anwendungen, welche die Anwendungsbereitstellung unterstützen, um automatisch Benutzeridentitäten und Rollen in SaaS-Anwendungen (Software-as-a-Solution) in der Cloud zu erstellen, auf die Benutzer Zugriff benötigen. Zusätzlich zur Erstellung von Benutzeridentitäten umfasst die automatische Bereitstellung auch die Wartung und Entfernung von Benutzeridentitäten, wenn sich der Status oder die Rollen ändern. Zur leichteren Überwachung der Kontonutzung können Sie Microsoft Entra ID-Identitätsschutz-Protokolle, die riskante Benutzer und Anmeldungen als auch Risikoerkennungen anzeigen, sowie Überwachungsprotokolle direkt in Microsoft Sentinel oder den Event Hub streamen.

bereitstellen

AC-02(3)
Das Informationssystem deaktiviert inaktive Konten automatisch nach [FedRAMP-Zuweisung: fünfunddreißig (35) Tagen für Benutzerkonten].

AC-2 (3) Zusätzliche FedRAMP-Anforderungen und Anleitungen:
Anforderung: Der Dienstanbieter definiert den Zeitraum für Nichtbenutzerkonten (z. B. Konten, die Geräten zugeordnet sind). Die Fristen werden vom JAB/AO genehmigt und akzeptiert. Wenn die Benutzerverwaltung eine Funktion des Dienstes ist, werden Berichte über die Tätigkeit der Consumerbenutzer zur Verfügung gestellt.

Implementieren Sie die Automatisierung der Kontoverwaltung mit Microsoft Graph und Microsoft Graph PowerShell. Verwenden Sie Microsoft Graph, um Anmeldeaktivitäten zu überwachen, und Microsoft Graph PowerShell, um Innerhalb des erforderlichen Zeitrahmens Maßnahmen für Konten zu ergreifen.

Bestimmen von Inaktivität

Alle Vorgänge im Kontolebenszyklus (z. B. Erstellen, Ändern, Aktivieren, Deaktivieren und Entfernen des Kontos) werden in den Azure AD-Überwachungsprotokollen überwacht. Zur Unterstützung von Benachrichtigungen können Sie die Protokolle direkt in Microsoft Sentinel oder Event Hubs streamen.

Überwachung

AC-2 (5) Zusätzliche FedRAMP-Anforderungen und Anleitungen:
Anleitung: Sollte einen kürzeren Zeitrahmen als AC-12 verwenden

Implementieren Sie eine Gerätesperre mithilfe einer Richtlinie für bedingten Zugriff, die den Zugriff auf kompatible Geräte beschränkt. Konfigurieren Sie Richtlinieneinstellungen auf dem Gerät, um die Gerätesperre auf Betriebssystemebene mit MDM-Lösungen (Mobile Device Management, mobile Geräteverwaltung) wie z. B. Intune zu erzwingen. In Hybridbereitstellungen können auch Endpoint Manager oder Gruppenrichtlinienobjekte berücksichtigt werden. Für nicht verwaltete Geräte konfigurieren Sie die Anmeldefrequenz-Einstellung um Benutzer zu zwingen, sich erneut zu authentifizieren.

Bedingter Zugriff

Die Organisation:
(a.) erstellt und verwaltet privilegierte Benutzerkonten gemäß einem Zugriffsschema auf Rollenbasis, mit dem der Zugriff auf und die Rechte im Informationssystem mithilfe von Rollen organisiert werden;
(b.) überwacht die Zuweisung privilegierter Rollen; und
(c.) [FedRAMP-Zuweisung: deaktiviert/widerruft den Zugriff innerhalb eines organisationsspezifischen Zeitrahmens], wenn privilegierte Rollenzuweisungen nicht mehr geeignet sind.

Implementieren Sie Microsoft Entra Privileged Identity Management mit Zugriffsüberprüfungen für privilegierte Rollen in Microsoft Entra ID, um Rollenzuweisungen zu überwachen und Rollenzuweisungen zu entfernen, sobald sie nicht mehr angemessen sind. Zur Unterstützung der Überwachung können Sie die Überwachungsprotokolle direkt in Microsoft Sentinel oder Event Hubs streamen.

Verwalten

Erstellen Sie Richtlinien für den bedingten Zugriff, um Zugriffssteuerungsentscheidungen über Benutzer und Geräte hinweg durchzusetzen.

Bedingter Zugriff

Die Organisation:
(a) überwacht Informationssystemkonten auf [Zuweisung: von der Organisation definierte ungewöhnliche Nutzung]; und
(b) meldet die atypische Nutzung von Konten des Informationssystems an [FedRAMP-Zuweisung: mindestens die ISSO und/oder eine ähnliche Rolle innerhalb der Organisation].

AC-2 (12) (a) und AC-2 (12) (b) Zusätzliche FedRAMP-Anforderungen und Anleitungen:
Für privilegierte Konten erforderlich.

Zur Unterstützung bei der Überwachung von untypischer Nutzung können Sie Microsoft Entra ID Protection-Protokolle zum Anzeigen riskanter Benutzer und Anmeldungen als auch von Risikoerkennungen sowie Überwachungsprotokolle zur Erleichterung der Korrelation mit der Berechtigungszuweisung direkt in eine SIEM-Lösung wie Microsoft Sentinel streamen. Sie können auch Event Hubs verwenden, um Protokolle in SIEM-Lösungen von Drittanbietern zu integrieren.

ID-Schutz

Konfigurieren und aktivieren Sie in Microsoft Entra ID die Identity Protection eine Benutzerrisikorichtlinie mit dem Schwellenwert hoch. Erstellen Sie Richtlinien für den bedingten Zugriff, um den Zugriff für riskante Benutzer und riskante Anmeldungen zu sperren. Konfigurieren Sie Risikorichtlinien, um Benutzern die Möglichkeit zu geben, sich selbst zu korrigieren und nachfolgende Anmeldeversuche zu entsperren.

ID-Schutz

Die Organisation:
(a.) überprüft [FedRAMP-Zuweisung: mindestens jährlich] die Berechtigungen, die [FedRAMP-Zuweisung: allen Benutzern mit Berechtigungen] zugewiesen sind, um die Notwendigkeit solcher Berechtigungen zu überprüfen; und
(b.) weist Berechtigungen entsprechend den Organisationszielen bzw. geschäftlichen Anforderungen im notwendigen Maße neu zu oder entfernt sie.

Verwenden Sie die Microsoft Entra-Berechtigungsverwaltung mit Zugriffsüberprüfungen für privilegierte Benutzer, um zu überprüfen, ob ein privilegierter Zugriff erforderlich ist.

Zugriffsüberprüfungen

Die Organisation:
(a.) erzwingt ein Limit von [FedRAMP-Zuweisung: nicht mehr als drei (3)] aufeinanderfolgenden ungültigen Anmeldeversuchen eines Benutzers innerhalb von [FedRAMP-Zuweisung: fünfzehn (15) Minuten]; und
(b.) [Auswahl: sperrt das Konto/den Knoten automatisch für [FedRAMP-Zuweisung: mindestens drei (3) Stunden oder bis zum Entsperren durch einen Administrator]; verzögert die nächste Anmeldeaufforderung gemäß [Zuweisung: dem von der Organisation definierten Verzögerungsalgorithmus]], wenn die maximale Anzahl nicht erfolgreicher Versuche überschritten wird.

Aktivieren Sie benutzerdefinierte Smart Lockout-Einstellungen. Konfigurieren Sie den Sperrschwellenwert und die Sperrdauer in Sekunden, um diese Anforderungen umzusetzen.

Smart Lockout

Das Informationssystem:
(a.) zeigt Benutzern [Zuweisung: eine von der Organisation definierte Nachricht oder ein Banner zur Systemnutzung (FedRAMP-Zuweisung: siehe zusätzliche Anforderungen und Anleitungen)] an, bevor der Zugriff auf das System gewährt wird, das Datenschutz- und Sicherheitshinweise im Einklang mit den geltenden Bundesgesetzen, Durchführungsverordnungen, Direktiven, Richtlinien, Vorschriften, Standards und Anleitungen enthält und Folgendes besagt:
(1.) Benutzer greifen auf ein Informationssystem der US-Regierung zu;
(2.) Die Nutzung des Informationssystems kann überwacht, aufgezeichnet und überprüft werden;
(3.) Die unbefugte Nutzung des Informationssystems ist verboten und unterliegt strafrechtlichen und zivilrechtlichen Sanktionen;
(4.) Die Nutzung des Informationssystems bedeutet die Zustimmung zur Überwachung und Aufzeichnung;

(b.) belässt die Benachrichtigungsmeldung oder das Banner auf dem Bildschirm, bis der Benutzer die Nutzungsbedingungen bestätigt und eindeutige Handlungen durchführt, um sich anzumelden und nachfolgend auf das Informationssystem zuzugreifen; und

(c.) für öffentlich zugängliche Systeme:
(1.) zeigt Informationen zur Systemnutzung und [Zuweisung: von der Organisation definierte Bedingungen (FedRAMP-Zuweisung: siehe zusätzliche Anforderungen und Anleitungen)], bevor es weiteren Zugriff gewährt;
(2.) zeigt gegebenenfalls Verweise auf Überwachung, Aufzeichnung oder Überprüfung an, die im Einklang mit Datenschutzvorkehrungen für solche Systeme stehen, die diese Tätigkeiten im Allgemeinen verbieten; und
(3.) enthält eine Beschreibung der autorisierten Nutzungsarten des Systems.

AC-8 Zusätzliche FedRAMP-Anforderungen und Anleitungen:
Anforderung: Der Dienstanbieter bestimmt Elemente der Cloudumgebung, die die Steuerung für die Systemnutzungsbenachrichtigung erfordern. Die Elemente der Cloudumgebung, die eine Benachrichtigung über die Systemnutzung erfordern, werden vom JAB/AO genehmigt und akzeptiert.
Anforderung: Der Dienstanbieter legt fest, wie die Systemnutzungsbenachrichtigung überprüft wird, und stellt eine angemessene Periodizität der Überprüfung bereit. Die Überprüfung und Periodizität der Systemnutzungsbenachrichtigungen werden vom JAB/AO genehmigt und akzeptiert.
Anleitung: Im Rahmen einer Überprüfung der Konfigurationsbaseline ausgeführt, kann der Prozentsatz der zu überprüfenden Elemente, die eine Einstellung erfordern und die Prüfung bestehen (oder nicht bestehen), angegeben werden.
Anforderung: Nicht im Rahmen einer Überprüfung der Konfigurationsbaseline ausgeführt, muss eine dokumentierte Vereinbarung darüber vorliegen, wie die Ergebnisse der Überprüfung und die erforderliche Periodizität der Überprüfung durch den Dienstanbieter bereitgestellt werden. Die dokumentierte Vereinbarung über die Überprüfung der Ergebnisse wird von der JAB/AO genehmigt und akzeptiert.

Mit Microsoft Entra ID können Sie Benachrichtigungs- oder Bannermeldungen für alle Apps bereitstellen, die vor Gewähren des Zugriffs eine Bestätigung erfordern und erfassen. Sie können diese Nutzungsbedingungen genau auf bestimmte Benutzer (Mitglied oder Gast) ausrichten. Sie können sie auch über Richtlinien für bedingten Zugriff für jede Anwendung anpassen.

Nutzungsbedingungen

Aktuell stellen Benutzer Verbindungen von mehreren Geräten her, manchmal auch gleichzeitig. Das Beschränken gleichzeitiger Sitzungen führt zu beeinträchtigter Funktionalität für Benutzer und bietet nur einen geringen Nutzen im Hinblick auf die Sicherheit. Ein besserer Ansatz zum Erreichen dieser Zielsetzung ist die Einführung eines Zero Trust-Sicherheitsstatus. Bedingungen werden vor dem Erstellen einer Sitzung explizit überprüft, und diese Überprüfung wird während der gesamten Lebensdauer einer Sitzung kontinuierlich fortgesetzt.

Verwenden Sie zusätzlich die folgenden ausgleichenden Steuerungsmöglichkeiten.

Verwenden Sie Richtlinien für bedingten Zugriff, um den Zugriff auf kompatible Geräte einzuschränken. Konfigurieren Sie Richtlinieneinstellungen auf dem Gerät, um mit MDM-Lösungen wie Intune Einschränkungen für die Benutzeranmeldung auf Betriebssystemebene zu erzwingen. In Hybridbereitstellungen können auch Endpoint Manager oder Gruppenrichtlinienobjekte berücksichtigt werden.

Verwenden Sie Privileged Identity Management, um privilegierte Konten weiter einzuschränken und zu steuern.

Konfigurieren Sie eine intelligente Kontosperrung für ungültige Anmeldeversuche.

Implementierungsleitfaden

Zero Trust

AC-11(1)
Das Informationssystem verbirgt über die Sitzungssperre Informationen, die zuvor auf dem Anzeigegerät sichtbar waren, mit einem allgemein sichtbaren Bild.

Implementieren Sie eine Gerätesperre mithilfe einer Richtlinie für bedingten Zugriff, um den Zugriff auf kompatible Geräte zu beschränken. Konfigurieren Sie Richtlinieneinstellungen auf dem Gerät, um die Gerätesperre auf Betriebssystemebene mit MDM-Lösungen wie Intune zu erzwingen. In Hybridbereitstellungen können auch Endpoint Manager oder Gruppenrichtlinienobjekte berücksichtigt werden. Für nicht verwaltete Geräte konfigurieren Sie die Anmeldefrequenz-Einstellung um Benutzer zu zwingen, sich erneut zu authentifizieren.

Bedingter Zugriff

Implementieren Sie die automatische erneute Auswertung von Benutzersitzungen mit Microsoft Entra-Funktionen wie dem risikobasierten bedingten Zugriff und der fortlaufenden Zugriffsevaluierung. Sie können Inaktivitätsbedingungen auf Geräteebene implementieren, wie es unter AC-11 beschrieben ist.

Ressourcen

AC-8 Zusätzliche FedRAMP-Anforderungen und Anleitungen:
Anleitung: Testen der Abmeldefunktionalität (OTG-SESS-006) Testen der Abmeldefunktionalität

Alle in Microsoft Entra ID angezeigten Webschnittstellen bieten eine Abmeldefunktion für vom Benutzer initiierte Kommunikations-Sessions. Wenn SAML-Anwendungen in Microsoft Entra ID integriert sind, implementieren Sie das einmalige Abmelden.

Abmeldefunktion

AC-20(1)
Die Organisation erlaubt autorisierten Personen nur dann, ein externes Informationssystem zu nutzen, um auf das Informationssystem zuzugreifen oder um von der Organisation kontrollierte Informationen zu verarbeiten, zu speichern oder zu übertragen, wenn die Organisation:
(a.) die Implementierung der erforderlichen Sicherheitskontrollen auf dem externen System, wie in der Informationssicherheitsrichtlinie und dem Sicherheitsplan der Organisation angegeben, überprüft; oder
(b.) genehmigte Verbindungs- oder Verarbeitungsvereinbarungen des Informationssystems mit der Organisationsentität, die das externe Informationssystem hostet, beibehält.

Fordern Sie die Annahme von Nutzungsbedingungen für autorisierte Benutzer, die von externen Systemen auf Ressourcen zugreifen. Implementieren Sie Richtlinien für den bedingten Zugriff, um den Zugriff von externen Systemen einzuschränken. Richtlinien für bedingten Zugriff können in Defender for Cloud-Apps integriert werden, um Steuerungsmöglichkeiten für cloudbasierte und lokale Anwendungen aus externen Systemen bereitzustellen. Die Verwaltung mobiler Anwendungen in Intune kann Daten der Organisation auf Anwendungsebene, einschließlich benutzerdefinierter Apps und Store-Apps, auf verwalteten Geräten schützen, die mit externen Systemen interagieren. Ein Beispiel wäre der Zugriff auf Clouddienste. Sie können die App-Verwaltung auf Geräten im Besitz der Organisation und persönlichen Geräten verwenden.

Geschäftsbedingungen