Conditional Access im Berichtsmodus testen, bevor er sperrt

Richtlinien für bedingten Zugriff, englisch Conditional Access, haben drei Zustände: aus, Nur Bericht und ein. Der mittlere ist der wichtigste und wird am häufigsten übersprungen. Im Berichtsmodus wertet eine Richtlinie jede Anmeldung aus, setzt aber nichts durch. So sehen Sie, wen sie treffen würde, bevor sie jemanden trifft.

Was der Berichtsmodus tut

Eine Richtlinie im Berichtsmodus, im Portal „Nur Bericht“, wird bei jeder Anmeldung geprüft wie eine wirksame. Das Ergebnis steht im Anmeldeprotokoll, auf dem Reiter für die Richtlinien im Berichtsmodus. Dort gibt es im Wesentlichen vier Ergebnisse:

• Erfolg: Die Anmeldung hätte die Bedingungen der Richtlinie erfüllt.
• Fehler: Die Anmeldung wäre abgelehnt worden.
• Benutzeraktion erforderlich: Die Richtlinie hätte etwas verlangt, etwa einen zweiten Faktor, den der Benutzer in diesem Moment nicht erbracht hat.
• Nicht angewendet: Die Richtlinie war für diese Anmeldung nicht zuständig.

Für die Auswertung über viele Anmeldungen bietet Microsoft eine Arbeitsmappe für Conditional Access, die eine Anbindung an Log Analytics voraussetzt.

Worauf es bei der Auswertung ankommt

Nicht interaktive Anmeldungen ansehen. Dienste, Geräte und Anwendungen melden sich im Hintergrund an, ohne dass ein Mensch eine Aufforderung sehen könnte. Diese Anmeldungen stehen in einem eigenen Protokoll. Wer nur die interaktiven Anmeldungen prüft, übersieht genau die Konten, die nach dem Einschalten leise scheitern: der Scanner, der Mails verschickt, die Schnittstelle zur Buchhaltung, die Synchronisierung eines Geräts.

Lange genug beobachten. Eine Woche zeigt die meisten Muster: den Montag mit allen Anmeldungen, den Monatsabschluss nicht unbedingt. Manche Vorgänge laufen nur selten. Je länger die Beobachtung, desto weniger Überraschungen.

„Keine Anmeldung betroffen“ ist keine Entwarnung. Hat in der Beobachtungszeit niemand eine Anmeldung gemacht, auf die die Richtlinie passt, sagt das nichts darüber, was nach dem Einschalten passiert.

Notfallkonten prüfen. Vor dem Einschalten muss feststehen, dass mindestens ein Notfallkonto von der Richtlinie ausgenommen ist und funktioniert. Mehr dazu im Beitrag zum Break-Glass-Konto.

Wann eine Richtlinie wirksam werden darf

Eine praktikable Regel:

1. Die Beobachtungszeit ist vorbei.
2. Jede Anmeldung mit „Fehler“ oder „Benutzeraktion erforderlich“ ist erklärt: gewollt, behoben oder als Ausnahme eingetragen.
3. Die nicht interaktiven Anmeldungen sind dabei.
4. Ein taugliches Notfallkonto ist ausgenommen.
5. Wenn die Security Defaults noch an sind: Sie gehen im selben Schritt aus, in dem die Richtlinien wirksam werden, nicht vorher. Warum, steht im Beitrag Security Defaults oder Conditional Access.

Wie 365 Tenants den Berichtsmodus nutzt

365 Tenants rollt Richtlinien für bedingten Zugriff immer zuerst im Berichtsmodus aus und macht die Auswertung zur Voraussetzung für das Scharfschalten:

• Je Richtlinie stehen die Anmeldungen seit dem Ausrollen, interaktiv und nicht interaktiv getrennt, mit der Zahl der Anmeldungen, die abgelehnt worden wären oder eine Bestätigung gebraucht hätten, und den betroffenen Konten und Anwendungen.
• Eine Beobachtungsfrist von sieben Tagen läuft, bevor scharf geschaltet werden kann. Wer sie verkürzt, bestätigt das ausdrücklich.
• Sind die Anmeldeprotokolle nicht lesbar, gibt es kein Scharfschalten.
• Die Auswertung wird mit einem Haken bestätigt und gilt eine Stunde.

So wird aus „wir haben es eine Weile laufen lassen“ eine nachvollziehbare Entscheidung. Mehr unter Conditional-Access-Vorlagen.