Konfigurieren Sie Identitätszugriffskontrollen, um die FedRAMP High-Impact-Stufe zu erfüllen

Die Organisation
(a.) identifiziert und benennt die folgenden Arten von Informationssystemkonten zur Unterstützung von Organisationsmissionen/Geschäftsfunktionen und wählt sie aus: [Zuweisung: von der Organisation definierte Informationssystemkonten];

(b.) Ordnet Kontoverwalter für Informationssystemkonten zu;

(c.) legt Bedingungen für die Gruppen- und Rollenmitgliedschaft fest;

(d.) spezifiziert autorisierte Informationssystembenutzer, Gruppen- und Rollenmitgliedschaften und Zugriffsautorisierungen (z. B. Berechtigungen) und ggf. weitere Attribute für jedes Konto;

(e.) verlangt Genehmigungen durch [Zuweisung: von der Organisation definierte Mitarbeiter oder Rollen] für die Beantragung der Erstellung von Informationssystemkonten;

(f.) erstellt, aktiviert, ändert, deaktiviert und entfernt Informationssystemkonten entsprechend den [Zuweisung: von der Organisation definierten Verfahren oder Bedingungen];

(g.) überwacht die Verwendung von Informationssystemkonten;

(h.) benachrichtigt Kundenbetreuer:
(1.) wenn Konten nicht mehr benötigt werden;
(2.) wenn Nutzer ausgeschlossen oder übertragen werden; und
(3.) wenn sich die Nutzung einzelner Informationssysteme oder der Bedarf an Informationen ändert;

(i.) autorisiert den Zugriff auf das Informationssystem basierend auf:
(1.) einer gültigen Zugangsberechtigung;
(2.) beabsichtigte Systemnutzung; und
(3.) anderen Attribute, die von der Organisation oder den zugehörigen Missionen/Geschäftsfunktionen verlangt werden;

(j.) überprüft Konten auf Konformität mit den Kontoverwaltungsanforderungen [FedRAMP-Zuweisung: monatlich für privilegierten Zugriff, alle sechs (6) Monate für nicht privilegierten Zugriff]; und

(k.) Ein Prozess wird etabliert, durch den neue Zugangsdaten für freigegebene oder Gruppenkonten (sofern vorhanden) ausgestellt werden, wenn Personen aus der Gruppe entfernt werden.

Verwenden Sie Microsoft Entra ID, um Konten aus externen HR-Systemen, on-premises Active Directory oder direkt in der Cloud bereitzustellen. Alle Kontolebenszyklusvorgänge werden in den Microsoft Entra Überwachungsprotokollen überwacht. Sie können Protokolle mithilfe einer SIEM-Lösung (Security Information and Event Management) wie Microsoft Sentinel sammeln und analysieren. Alternativ können Sie Azure Event Hubs verwenden, um Protokolle in SIEM-Lösungen von Drittanbietern zu integrieren, um die Überwachung und Benachrichtigung zu ermöglichen. Verwenden Sie Microsoft Entra Berechtigungsverwaltung mit Zugriffsüberprüfungen, um den Compliancestatus von Konten sicherzustellen.

Bereitstellen von Konten

Konfigurieren Sie die automatisierte Bereitstellung von kundengesteuerten Konten aus externen HR-Systemen oder on-premises Active Directory. Konfigurieren Sie für Anwendungen, die die Anwendungsbereitstellung unterstützen, Microsoft Entra ID so, dass benutzerbasierte Identitäten und Rollen in Cloudsoftware als SaaS-Anwendungen automatisch erstellt werden, auf die Benutzer zugreifen müssen. Zusätzlich zur Erstellung von Benutzeridentitäten umfasst die automatische Bereitstellung auch die Wartung und Entfernung von Benutzeridentitäten, wenn sich der Status oder die Rollen ändern. Um die Überwachung der Kontonutzung zu vereinfachen, können Sie Microsoft Entra ID Protection-Protokolle, die riskante Benutzer, riskante Anmeldungen und Risikoerkennungen anzeigen, sowie Überwachungsprotokolle direkt in Microsoft Sentinel oder Event Hubs streamen.

bereitstellen

AC-02(3)
Das Informationssystem deaktiviert inaktive Konten automatisch nach [FedRAMP-Zuweisung: fünfunddreißig (35) Tagen für Benutzerkonten].

AC-2 (3) Zusätzliche FedRAMP-Anforderungen und Anleitungen:
Anforderung: Der Dienstanbieter definiert den Zeitraum für Nichtbenutzerkonten (z. B. Konten, die Geräten zugeordnet sind). Die Fristen werden vom JAB/AO genehmigt und akzeptiert. Wenn die Benutzerverwaltung eine Funktion des Dienstes ist, werden Berichte über die Tätigkeit der Consumerbenutzer zur Verfügung gestellt.

Implementieren Sie die Kontoverwaltungsautomatisierung mit Microsoft Graph und Microsoft Graph PowerShell. Verwenden Sie Microsoft Graph zum Überwachen von Anmeldeaktivitäten und Microsoft Graph PowerShell, um Maßnahmen für Konten im erforderlichen Zeitrahmen zu ergreifen.

Bestimmen von Inaktivität

Alle Kontolebenszyklusvorgänge, z. B. Kontoerstellung, Änderung, Aktivieren, Deaktivieren und Entfernen, werden in den Azure Überwachungsprotokollen überwacht. Sie können die Protokolle direkt in Microsoft Sentinel oder Event Hubs streamen, um hilfe bei der Benachrichtigung zu erhalten.

Überwachung

AC-2 (5) Zusätzliche FedRAMP-Anforderungen und Anleitungen:
Anleitung: Sollte einen kürzeren Zeitrahmen als AC-12 verwenden

Implementieren Sie eine Gerätesperre mithilfe einer Richtlinie für bedingten Zugriff, die den Zugriff auf kompatible Geräte beschränkt. Konfigurieren Sie Richtlinieneinstellungen auf dem Gerät, um die Gerätesperre auf Betriebssystemebene mit MDM-Lösungen (Mobile Device Management, mobile Geräteverwaltung) wie z. B. Intune zu erzwingen. In Hybridbereitstellungen können auch Endpoint Manager oder Gruppenrichtlinienobjekte berücksichtigt werden. Für nicht verwaltete Geräte konfigurieren Sie die Anmeldefrequenz-Einstellung um Benutzer zu zwingen, sich erneut zu authentifizieren.

Bedingter Zugriff

Die Organisation:
(a.) erstellt und verwaltet privilegierte Benutzerkonten gemäß einem Zugriffsschema auf Rollenbasis, mit dem der Zugriff auf und die Rechte im Informationssystem mithilfe von Rollen organisiert werden;
(b.) überwacht die Zuweisung privilegierter Rollen; und
(c) Führt [FedRAMP-Zuweisung: deaktiviert/widerruft den Zugriff innerhalb eines organisationsspezifischen Zeitrahmens] durch, wenn privilegierte Rollenzuweisungen nicht mehr geeignet sind.

Implementieren Sie Microsoft Entra Privileged Identity Management mit Zugriffsüberprüfungen für privilegierte Rollen in Microsoft Entra ID, um Rollenzuweisungen zu überwachen und Rollenzuweisungen zu entfernen, wenn sie nicht mehr geeignet sind. Sie können Überwachungsprotokolle direkt in Microsoft Sentinel oder Event Hubs streamen, um die Überwachung zu unterstützen.

Verwalten

Erstellen Sie Richtlinien für den bedingten Zugriff, um Zugriffssteuerungsentscheidungen über Benutzer und Geräte hinweg durchzusetzen.

Bedingter Zugriff

Die Organisation:
(a) Überwacht Aktivität auf Benutzerkonten von Informationssystemen bezüglich [Zuweisung: von der Organisation definierte ungewöhnliche Nutzung]; und
(b) Meldet die atypische Nutzung von Benutzerkonten des Informationssystems an [FedRAMP-Zuweisung: mindestens an die ISSO und/oder eine ähnliche Rolle innerhalb der Organisation].

AC-2 (12) (a) und AC-2 (12) (b) Zusätzliche FedRAMP-Anforderungen und Anleitungen:
Für privilegierte Konten erforderlich.

Um Hilfe bei der Überwachung atypischer Nutzung zu erhalten, können Sie Microsoft Entra ID Protection Protokolle streamen, die riskante Benutzer, riskante Anmeldungen und Risikoerkennungen anzeigen, sowie Überwachungsprotokolle, die mit Korrelation mit der Berechtigungszuweisung helfen, direkt in eine SIEM-Lösung wie Microsoft Sentinel. Sie können auch Event Hubs verwenden, um Protokolle in SIEM-Lösungen von Drittanbietern zu integrieren.

ID-Schutz

Konfigurieren und aktivieren Sie in Microsoft Entra ID Protection eine Benutzerrisikorichtlinie, wobei der Schwellenwert auf "Hoch" festgelegt ist. Erstellen Sie Richtlinien für den bedingten Zugriff, um den Zugriff für riskante Benutzer und riskante Anmeldungen zu sperren. Konfigurieren Sie Risikorichtlinien, um Benutzern die Möglichkeit zu geben, sich selbst zu korrigieren und nachfolgende Anmeldeversuche zu entsperren.

ID-Schutz

Die Organisation:
(a.) überprüft [FedRAMP-Zuweisung: mindestens jährlich] die Berechtigungen, die [FedRAMP-Zuweisung: allen Benutzern mit Berechtigungen] zugewiesen sind, um die Notwendigkeit solcher Berechtigungen zu überprüfen; und
(b.) weist Berechtigungen entsprechend den Organisationszielen bzw. geschäftlichen Anforderungen im notwendigen Maße neu zu oder entfernt sie.

Verwenden Sie Microsoft Entra Berechtigungsverwaltung mit Zugriffsüberprüfungen für privilegierte Benutzer, um zu überprüfen, ob privilegierter Zugriff erforderlich ist.

Zugriffsüberprüfungen

Die Organisation:
(a.) erzwingt ein Limit von [FedRAMP-Zuweisung: nicht mehr als drei (3)] aufeinanderfolgenden ungültigen Anmeldeversuchen eines Benutzers innerhalb von [FedRAMP-Zuweisung: fünfzehn (15) Minuten]; und
(b.) [Auswahl: sperrt das Konto/den Knoten automatisch für [FedRAMP-Zuweisung: mindestens drei (3) Stunden oder bis zum Entsperren durch einen Administrator]; verzögert die nächste Anmeldeaufforderung gemäß [Zuweisung: dem von der Organisation definierten Verzögerungsalgorithmus]], wenn die maximale Anzahl nicht erfolgreicher Versuche überschritten wird.

Aktivieren Sie benutzerdefinierte Smart Lockout-Einstellungen. Konfigurieren Sie den Sperrschwellenwert und die Sperrdauer in Sekunden, um diese Anforderungen umzusetzen.

Intelligente Sperrung

Das Informationssystem:
(a.) zeigt Benutzern [Zuweisung: eine von der Organisation definierte Nachricht oder ein Banner zur Systemnutzung (FedRAMP-Zuweisung: siehe zusätzliche Anforderungen und Anleitungen)] an, bevor der Zugriff auf das System gewährt wird, das Datenschutz- und Sicherheitshinweise im Einklang mit den geltenden Bundesgesetzen, Durchführungsverordnungen, Direktiven, Richtlinien, Vorschriften, Standards und Anleitungen enthält und Folgendes besagt:
(1.) Benutzer greifen auf ein Informationssystem der US-Regierung zu;
(2.) Die Nutzung des Informationssystems kann überwacht, aufgezeichnet und überprüft werden;
(3.) Die unbefugte Nutzung des Informationssystems ist verboten und unterliegt strafrechtlichen und zivilrechtlichen Sanktionen;
(4.) Die Nutzung des Informationssystems bedeutet die Zustimmung zur Überwachung und Aufzeichnung;

(b.) belässt die Benachrichtigungsmeldung oder das Banner auf dem Bildschirm, bis der Benutzer die Nutzungsbedingungen bestätigt und eindeutige Handlungen durchführt, um sich anzumelden und nachfolgend auf das Informationssystem zuzugreifen; und

(c.) für öffentlich zugängliche Systeme:
(1.) zeigt Informationen zur Systemnutzung und [Zuweisung: von der Organisation definierte Bedingungen (FedRAMP-Zuweisung: siehe zusätzliche Anforderungen und Anleitungen)], bevor es weiteren Zugriff gewährt;
(2.) zeigt gegebenenfalls Verweise auf Überwachung, Aufzeichnung oder Überprüfung an, die im Einklang mit Datenschutzvorkehrungen für solche Systeme stehen, die diese Tätigkeiten im Allgemeinen verbieten; und
(3.) enthält eine Beschreibung der autorisierten Nutzungsarten des Systems.

AC-8 Zusätzliche FedRAMP-Anforderungen und Anleitungen:
Anforderung: Der Dienstanbieter bestimmt Elemente der Cloudumgebung, die die Steuerung für die Systemnutzungsbenachrichtigung erfordern. Die Elemente der Cloudumgebung, die eine Benachrichtigung über die Systemnutzung erfordern, werden vom JAB/AO genehmigt und akzeptiert.
Anforderung: Der Dienstanbieter legt fest, wie die Systemnutzungsbenachrichtigung überprüft wird, und stellt eine angemessene Periodizität der Überprüfung bereit. Die Überprüfung und Periodizität der Systemnutzungsbenachrichtigungen werden vom JAB/AO genehmigt und akzeptiert.
Anleitung: Wenn dies im Rahmen einer Überprüfung der Konfigurationsbaseline geschieht, kann der Prozentsatz der überprüften Elemente angegeben werden, die eine Einstellung erfordern und die Prüfung bestehen (oder nicht bestehen).
Anforderung: Wenn nicht im Rahmen einer Überprüfung der Konfigurationsbasislinie ausgeführt, muss eine dokumentierte Vereinbarung darüber vorliegen, wie die Ergebnisse der Überprüfung und die erforderliche Periodizität der Überprüfung durch den Dienstanbieter bereitgestellt werden. Die dokumentierte Vereinbarung über die Überprüfung der Ergebnisse wird von der JAB/AO genehmigt und akzeptiert.

Mit Microsoft Entra ID können Sie Benachrichtigungen oder Bannernachrichten für alle Apps übermitteln, die eine Bestätigung erfordern und aufzeichnen, bevor Sie Zugriff gewähren. Sie können diese Nutzungsbedingungen genau auf bestimmte Benutzer (Mitglied oder Gast) ausrichten. Sie können sie auch über Richtlinien für bedingten Zugriff für jede Anwendung anpassen.

Nutzungsbedingungen

Aktuell stellen Benutzer Verbindungen von mehreren Geräten her, manchmal auch gleichzeitig. Das Beschränken gleichzeitiger Sitzungen führt zu beeinträchtigter Funktionalität für Benutzer und bietet nur einen geringen Nutzen im Hinblick auf die Sicherheit. Ein besserer Ansatz, um die Absicht hinter dieser Kontrolle zu adressieren, ist die Einführung eines Zero-Trust-Sicherheitsansatzes. Bedingungen werden vor dem Erstellen einer Sitzung explizit überprüft, und diese Überprüfung wird während der gesamten Lebensdauer einer Sitzung kontinuierlich fortgesetzt.

Verwenden Sie zusätzlich die folgenden ausgleichenden Steuerungsmöglichkeiten.

Verwenden Sie Richtlinien für bedingten Zugriff, um den Zugriff auf kompatible Geräte einzuschränken. Konfigurieren Sie Richtlinieneinstellungen auf dem Gerät, um mit MDM-Lösungen wie Intune Einschränkungen für die Benutzeranmeldung auf Betriebssystemebene zu erzwingen. In Hybridbereitstellungen können auch Endpoint Manager oder Gruppenrichtlinienobjekte berücksichtigt werden.

Verwenden Sie Privileged Identity Management, um privilegierte Konten weiter einzuschränken und zu steuern.

Konfigurieren Sie eine intelligente Kontosperrung für ungültige Anmeldeversuche.

Implementierungsleitfaden

Zero-Trust-Sicherheitsmodell

AC-11(1)
Das Informationssystem verbirgt über die Sitzungssperre Informationen, die zuvor auf dem Anzeigegerät sichtbar waren, mit einem allgemein sichtbaren Bild.

Implementieren Sie eine Gerätesperre mithilfe einer Richtlinie für bedingten Zugriff, um den Zugriff auf kompatible Geräte zu beschränken. Konfigurieren Sie Richtlinieneinstellungen auf dem Gerät, um die Gerätesperre auf Betriebssystemebene mit MDM-Lösungen wie Intune zu erzwingen. In Hybridbereitstellungen können auch Endpoint Manager oder Gruppenrichtlinienobjekte berücksichtigt werden. Für nicht verwaltete Geräte konfigurieren Sie die Anmeldefrequenz-Einstellung um Benutzer zu zwingen, sich erneut zu authentifizieren.

Bedingter Zugriff

Implementieren Sie die automatische Neubewertung der Benutzersitzung mit Microsoft Entra Features wie risikobasiertem bedingtem Zugriff und kontinuierlicher Zugriffsauswertung. Sie können Inaktivitätsbedingungen auf Geräteebene implementieren, wie es unter AC-11 beschrieben ist.

Ressourcen

AC-8 Zusätzliche FedRAMP-Anforderungen und Anleitungen:
Anleitung: Testen der Abmeldefunktionalität (OTG-SESS-006) Testen der Abmeldefunktionalität

Alle in Microsoft Entra ID angezeigten Webschnittstellen bieten eine Logout-Funktion für vom Benutzer initiierte Kommunikationssitzungen. Wenn SAML-Anwendungen in Microsoft Entra ID integriert sind, implementieren Sie einmaliges Abmelden.

Abmeldefunktion

AC-20(1)
Die Organisation erlaubt autorisierten Personen nur dann, ein externes Informationssystem zu nutzen, um auf das Informationssystem zuzugreifen oder um von der Organisation kontrollierte Informationen zu verarbeiten, zu speichern oder zu übertragen, wenn die Organisation:
(a.) die Implementierung der erforderlichen Sicherheitskontrollen auf dem externen System, wie in der Informationssicherheitsrichtlinie und dem Sicherheitsplan der Organisation angegeben, überprüft; oder
(b.) Beibehaltung von genehmigten Informationssystem-Verbindungs- oder -Verarbeitungsvereinbarungen mit der Organisationseinheit, die das externe Informationssystem hostet.

Fordern Sie die Annahme von Nutzungsbedingungen für autorisierte Benutzer, die von externen Systemen auf Ressourcen zugreifen. Implementieren Sie Richtlinien für den bedingten Zugriff, um den Zugriff von externen Systemen einzuschränken. Richtlinien für bedingten Zugriff können in Defender for Cloud-Apps integriert werden, um Steuerungsmöglichkeiten für cloudbasierte und lokale Anwendungen aus externen Systemen bereitzustellen. Die Verwaltung mobiler Anwendungen in Intune kann Daten der Organisation auf Anwendungsebene, einschließlich benutzerdefinierter Apps und Store-Apps, auf verwalteten Geräten schützen, die mit externen Systemen interagieren. Ein Beispiel wäre der Zugriff auf Clouddienste. Sie können die App-Verwaltung auf Geräten im Besitz der Organisation und persönlichen Geräten verwenden.

Geschäftsbedingungen