MS-102

Ein Microsoft-365-Mandant ist zuerst einmal eine Verwaltungsgrenze. Alles, was danach kommt, hängt daran: die Domänen, die Nutzer, die Lizenzen, die Rollen. Deshalb steht dieser Bereich am Anfang.

Eine eigene Domäne wird über einen TXT-Eintrag im DNS nachgewiesen. Danach entscheidet sich, welche Dienste über diese Domäne laufen, und dafür sind weitere Einträge nötig: MX für Exchange Online, CNAME für Autodiscover, SRV für Teams, dazu SPF, DKIM und DMARCRichtlinie, was bei fehlgeschlagener SPF- oder DKIM-Prüfung geschehen soll. für den Postausgang. Die Standarddomäne endet auf onmicrosoft.com und lässt sich nicht löschen.

Nutzer entstehen entweder im Mandanten oder werden aus der lokalen Verzeichnisumgebung synchronisiert. Ein synchronisiertes Konto wird an der Quelle gepflegt, nicht in der Cloud; wer es dort ändern will, ändert es am falschen Ende. Lizenzen kommen entweder direkt an das Konto oder über die gruppenbasierte LizenzierungLizenzzuweisung über die Mitgliedschaft in einer Gruppe, sie ersetzt bestehende Direktzuweisungen nicht automatisch., die in größeren UmgebungenEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten. die einzige haltbare Variante ist.

Die Verwaltung selbst läuft über Rollen. Der Grundsatz ist die geringste nötige Berechtigung: Wer Kennwörter zurücksetzen soll, braucht keine globale Administratorrolle. VerwaltungseinheitenBehälter in Entra, der den Wirkungsbereich einer Rolle auf einen Ausschnitt des Verzeichnisses begrenzt. grenzen den Wirkungsbereich einer Rolle auf eine Teilmenge des Verzeichnisses ein, etwa auf einen Standort. Für den ZustandZuordnung zwischen beschriebenen Ressourcen und tatsächlichen Objekten. des Mandanten gibt es den Dienstzustand, die Nachrichtenzentrale für angekündigte Änderungen und die Berichte im Portal.

Identität ist die eigentliche SicherheitsgrenzeÜbergang, an dem Verkehr gefiltert und protokolliert wird. in der Cloud. Dieser Bereich behandelt, wie Konten in Entra ID entstehen, wie sie sich anmelden und wie der Zugriff begrenzt wird.

Die Synchronisierung übernimmt Entra Connect Sync oder die Cloud-Synchronisierung. Beide bringen Konten aus der lokalen Domäne in die Cloud, unterscheiden sich aber in Umfang und Aufbau: Der klassische Dienst kann mehr, die Cloud-Synchronisierung läuft über einen leichten AgentenVerfolgt ein Ziel über mehrere Schritte und ruft dafür selbstständig Werkzeuge auf. und passt für getrennte Gesamtstrukturen. Für die Anmeldung stehen die KennworthashsynchronisierungVerfahren, bei dem ein Hash des Kennworthashes in Entra liegt. Die Anmeldung funktioniert auch bei Ausfall der lokalen Verbindung., die Passthrough-AuthentifizierungVerfahren, bei dem ein lokaler Agent jedes Kennwort gegen Active Directory prüft. Kein Hash in der Cloud, dafür abhängig von der Erreichbarkeit. und die Verbundanmeldung zur Wahl. Die Kennworthashsynchronisierung ist der robusteste Weg, weil sie auch dann noch funktioniert, wenn die lokale UmgebungEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten. nicht erreichbar ist.

Darauf setzen die Schutzfunktionen. Die mehrstufige Authentifizierung wird heute über RichtlinienVerbindliche Vorgabe der Leitung, was in der Organisation gilt. für bedingten Zugriff gesteuert, nicht mehr über den Schalter am einzelnen Konto. Bedingter ZugriffRegelwerk, das Signale wie Nutzer, Standort, Gerät und Risiko auswertet und daraus eine Zugriffsentscheidung ableitet. funktioniert als Wenn-Dann: Wenn dieser Nutzer, diese App, dieses RisikoErgebnis aus Bedrohung, Schwachstelle und Auswirkung., dann diese Anforderung. Die Standardeinstellungen für Sicherheit sind die einfache Alternative für kleine Mandanten und schließen den bedingten Zugriff aus.

Identity ProtectionErkennung riskanter Anmeldungen und gefährdeter Konten mit automatischer Reaktion. bewertet RisikoErgebnis aus Bedrohung, Schwachstelle und Auswirkung. auf zwei Ebenen: AnmelderisikoBewertung eines einzelnen Anmeldeversuchs, etwa aus einem anonymen Netzwerk. Passende Reaktion ist eine mehrstufige Authentifizierung. für den einzelnen Vorgang, BenutzerrisikoBewertung eines Kontos insgesamt, etwa nach durchgesickerten Anmeldeinformationen. Passende Reaktion ist eine Kennwortänderung. für das Konto insgesamt. Privileged Identity ManagementVergabe privilegierter Rollen auf Zeit, mit Begründung, Genehmigung und Protokoll. vergibt hohe Rollen nur auf Zeit und mit Begründung, statt sie dauerhaft zu setzen.

Defender XDRZusammenführung der Signale aus Geräten, Identitäten, Mail und Clouddiensten zu gemeinsamen Vorfällen. ist kein einzelnes Produkt, sondern die Klammer über mehreren: Defender für Office 365 schützt Mail und Zusammenarbeit, Defender for EndpointSchutz für Endgeräte mit Erkennung, Untersuchung und Reaktion bis hin zur Geräteisolierung. die Geräte, Defender for IdentityErkennung von Angriffsmustern im lokalen Active Directory über Sensoren auf den Domänencontrollern. die lokale Verzeichnisumgebung und Defender for Cloud AppsErkennung und Steuerung genutzter SaaS-Dienste samt Berechtigungen. die Nutzung von Diensten im Netz.

Auf der Office-Seite sind zwei Funktionen prüfungsrelevant: Sichere AnlagenPrüfung unbekannter Anhänge in einer abgeschotteten Umgebung vor der Zustellung. öffnet Anhänge in einer abgeschotteten UmgebungEigener Container für Apps, Flows und Daten mit eigener Region und eigenen Rechten., bevor sie zugestellt werden. Sichere LinksPrüfung von Verweisen beim Anklicken, getrennt einschaltbar für Mail, Teams und Office-Apps. schreibt Adressen um und prüft sie im Moment des Klicks, nicht im Moment der Zustellung. Beides ergänzt die Antischadsoftware- und Antispamrichtlinien, ersetzt sie aber nicht. Voreinstellungsrichtlinien liefern einen Standardsatz, der über eigenen RichtlinienVerbindliche Vorgabe der Leitung, was in der Organisation gilt. steht.

Defender for EndpointSchutz für Endgeräte mit Erkennung, Untersuchung und Reaktion bis hin zur Geräteisolierung. bringt die Geräteseite ein: Onboarding, Erkennung, automatisierte Untersuchung, AngriffsflächenreduzierungRegelwerk in Defender für Endpunkt, das typische Angriffswege wie Makros mit Prozessstart blockiert.. Defender for IdentityErkennung von Angriffsmustern im lokalen Active Directory über Sensoren auf den Domänencontrollern. läuft als Sensor auf Domänencontrollern und erkennt Angriffe auf das lokale Verzeichnis. Defender for Cloud AppsErkennung und Steuerung genutzter SaaS-Dienste samt Berechtigungen. arbeitet mit ProtokollenEintrag mit Text und Struktur, der im Log-Analytics-Arbeitsbereich landet und mit KQL abgefragt wird. und Anwendungsverbindungen und macht sichtbar, welche Dienste tatsächlich genutzt werden.

Zusammengeführt wird das im Sicherheitsportal: Vorfälle bündeln zusammengehörige Warnungen, die erweiterte SucheAbfragesprache KQL über Rohdatentabellen aus Endpunkt, Identität, Mail und Cloud-Apps, standardmäßig 30 Tage. fragt die Rohdaten mit KQLKusto-Abfragesprache; Abfragen werden von oben nach unten abgearbeitet, frühe Filter sparen Laufzeit. ab, und die SicherheitsbewertungProzentwert in Defender for Cloud, der den Umsetzungsstand der Sicherheitsempfehlungen zusammenfasst. zeigt, was noch offen ist.

Purview kümmert sich um die Daten selbst und um die Frage, was mit ihnen passieren darf. Der Einstieg sind VertraulichkeitsbezeichnungenKennzeichnung am Inhalt selbst, die verschlüsseln, kennzeichnen und Rechte durchsetzen kann.. Eine Bezeichnung hängt am Dokument oder an der Mail, sie reist mit und wirkt auch außerhalb des Mandanten, weil die Verschlüsselung im Dokument steckt. Bezeichnungen lassen sich manuell setzen, empfehlen oder automatisch vergeben.

Davon zu unterscheiden sind die AufbewahrungsbezeichnungenHängt am einzelnen Element, trägt eine eigene Frist und kann einen Datensatz deklarieren. und AufbewahrungsrichtlinienBewahrt Inhalte bis zum Ablauf der Frist und löscht sie danach.. Sie regeln, wie lange etwas erhalten bleibt und wann es verschwindet. Eine RichtlinieVerbindliche Vorgabe der Leitung, was in der Organisation gilt. wirkt auf einen Ort, eine Bezeichnung auf ein einzelnes Element. Bei mehreren Vorgaben gewinnt immer die längere Aufbewahrung, und Aufbewahren schlägt Löschen. Diese Regel wird gern geprüft.

Die Verhinderung von DatenverlustRichtlinien, die riskante Vorgänge mit vertraulichen Inhalten warnen oder blockieren. arbeitet mit vertraulichen Informationstypen und mit Bedingungen: Wenn ein Dokument in einem bestimmten Ort eine Kreditkartennummer enthält und geteilt werden soll, dann warnen, blockieren oder eine Begründung verlangen. Der TestmodusBetrieb ohne Eingriff, wahlweise mit Richtlinientipps; zeigt, was passieren würde. zeigt die Wirkung, bevor sie greift, und ist der richtige erste Schritt.

Dazu kommen die WerkzeugeFähigkeit, die ein Agent aufrufen darf, etwa die Suche in hochgeladenen Dateien. für den Ernstfall: eDiscoverySichert, sichtet und exportiert Inhalte für rechtliche Verfahren. für Suche und Beweissicherung, das ÜberwachungsprotokollProtokoll aller Änderungen an Verzeichnisobjekten mit altem und neuem Wert. für die Nachvollziehbarkeit und das Insider-RisikomanagementErkennt riskantes Verhalten der eigenen Belegschaft, standardmäßig pseudonymisiert. für Muster im Verhalten.