Wie wir Ihre Daten in Azure AD schützen

Hallo zusammen,

in den letzten Jahren häufen sich die Fälle kompromittierter Identitätsservices in der Cloud. Daher fragen sich viele Kunden, wie wir ihre Daten schützen. Im heutigen Blog gehen wir ausführlich auf den Schutz von Kundendaten in Azure AD ein.

Sicherheit von Rechenzentren und Diensten

Beginnen wir mit unseren Rechenzentren. Zunächst werden alle Mitarbeiter von Microsoft-Rechenzentren einer Hintergrundprüfung unterzogen. Der gesamte Zugang zu unseren Rechenzentren ist streng reglementiert, und jeder Zutritt/Austritt wird überwacht. Kritische Azure AD-Dienste mit gespeicherten Kundendaten befinden sich im Rechenzentrum in speziellen verschlossenen Racks. Der physische Zugang ist stark beschränkt und steht rund um die Uhr unter Kameraüberwachung. Bei Außerbetriebnahme eines Servers werden zudem alle Datenträger logisch und physisch zerstört, um Datenpannen zu verhindern.

Als Nächstes beschränken wir die Anzahl der Mitarbeiter, die auf die Azure AD-Dienste zugreifen dürfen. Selbst diejenigen, die zugriffsberechtigt sind, führen nach der Anmeldung ihre Routinetätigkeiten ohne diese Berechtigungen aus. Wenn sie Berechtigungen zum Zugriff auf den Dienst benötigen, müssen sie eine mehrstufige Authentifizierung unter Verwendung einer Smartcard durchführen, um ihre Identität zu bestätigen und eine Anfrage einzureichen. Sobald die Anfrage genehmigt wurde, erhält der Benutzer die Berechtigungen auf Just-in-Time-Basis. Außerdem werden die Berechtigungen nach einer festgelegten Zeitspanne automatisch widerrufen. Jeder, der mehr Zeit benötigt, muss den Anfrage-/Genehmigungsprozess wiederholen.

Nachdem die Berechtigungen gewährt wurden, erfolgt der gesamte Zugriff über eine verwaltete Administrator-Workstation (gemäß den veröffentlichten PAW (Privileged Access Workstation)-Leitlinien). Diese Anforderung wird durch eine Richtlinie geregelt und engmaschig überwacht. Die Workstations verwenden ein Image mit fester Größe, und die gesamte Software auf dem Computer ist vollständig verwaltet. Um die Angriffsfläche möglichst gering zu halten, sind nur bestimmte Aktionen zulässig. Darüber hinaus haben Benutzer keine Möglichkeit, das Design der Administrator-Workstation versehentlich zu verändern, da sie keine Administratorberechtigungen für das Gerät haben. Jeder Zugriff auf die Workstations muss per Smartcard erfolgen und ist einer begrenzten Anzahl von Benutzern vorbehalten, um den Schutz weiter zu verbessern.

Zuletzt verfügen wir über eine geringe Anzahl (weniger als fünf) „Break Glass“-Konten. Die Konten sind ausschließlich für Notfälle vorgesehen und durch mehrstufige „Break Glass“-Verfahren abgesichert. Die Verwendung dieser Konten wird überwacht und löst eine Warnung aus.

Bedrohungserkennung

Wir führen in Minutenabständen regelmäßige Überprüfungen durch, um einen einwandfreien Betrieb sicherzustellen. Dies gilt selbst für Funktionserweiterungen im Auftrag des Kunden:

• Erkennung von Sicherheitsverletzungen: Wir ermitteln Muster, die auf Sicherheitsverletzungen hinweisen. Die erkannten Muster werden regelmäßig erweitert. Darüber hinaus überprüfen wir anhand automatischer Tests, die diese Angriffsmuster nachbilden, ob unsere Erkennungslogik ordnungsgemäß funktioniert.
  
• Penetrationstests: Diese Tests werden kontinuierlich durchgeführt. Dabei wird auf jede erdenkliche Weise versucht, unseren Dienst zu kompromittieren. Die Tests sollten immer fehlschlagen. Falls ein Test positiv ausfällt, wissen wir, dass ein Sicherheitsrisiko aufgetreten ist, das wir unverzüglich beheben können.
  
• Überwachung: Alle administrativen Aktivitäten werden protokolliert. Bei einer unerwarteten Aktivität (z. B., wenn ein Administrator ein Konto mit Berechtigungen erstellt) wird eine Warnung ausgelöst. So können wir die Aktion eingehend untersuchen, um Anomalien auszuschließen.
  

Haben wir erwähnt, dass sämtliche Daten in Azure AD verschlüsselt werden? Tatsächlich werden alle ruhenden Identitätsdaten von Azure AD mit BitLocker verschlüsselt. Und während der Übertragung? Geschieht dasselbe. Alle Azure AD-APIs sind webbasiert und nutzen SSL über HTTPS für die Datenverschlüsselung. Alle Azure AD-Server sind für die Verwendung von TLS 1.2 konfiguriert. Wir lassen eingehende Verbindungen über TLS 1.1 und 1.0 zu, um externe Clients zu unterstützen. Verbindungen über ältere SSL-Versionen, einschließlich SSL 3.0 und 2.0, sind ausdrücklich untersagt. Der Informationszugriff wird durch die tokenbasierte Autorisierung beschränkt. Auf die Daten der einzelnen Mandanten kann nur über Konten zugegriffen, werden die auf dem jeweiligen Mandanten zugelassen sind. Außerdem gilt für unsere internen APIs die zusätzliche Anforderung, bei vertrauenswürdigen Zertifikaten und Ausstellungsketten die SSL-Client/Server-Authentifizierung zu verwenden.

Zu guter Letzt

Azure AD wird auf zwei Weisen bereitgestellt. In diesem Beitrag werden die Sicherheit und Verschlüsselung für den öffentlichen, von Microsoft betriebenen Dienst beschrieben. Falls Sie ähnliche Fragen zu unseren nationalen Cloudinstanzen haben, die von bewährten Partnern betrieben werden, sollten Sie sich mit Ihrem Kundenteam in Verbindung setzen.

(Hinweis: Als einfache Faustregel gilt: Wenn der Zugriff auf oder die Verwaltung der Microsoft-Onlinedienste über URLs erfolgt, die auf „.com“ enden, beschreibt dieser Beitrag, wie wir Ihre Daten schützen und verschlüsseln.)

Die Sicherheit Ihrer Daten hat für uns oberste Priorität und ist uns EXTREM wichtig. Ich hoffe, dass dieser Überblick über unser Datenverschlüsselungs- und Sicherheitsprotokoll hilfreich war und eventuelle Zweifel zerstreuen konnte.

Beste Grüße,

Alex Simons (Twitter: @Alex_A_Simons)

Director of Program Management

Microsoft Identity Division

[Am 3.10.2017 mit spezifischen Versionsinformation zu unserer Nutzung von TLS und SSL aktualisiert.]