Ensure Sign-in frequency is enabled and browser sessions are not persistent for Administrative users

Miért fontos ez

A korlátlan munkamenet-élettartammal rendelkező adminisztrációs fiókok kritikus biztonsági rést jelentenek. Ha egy támadó kompromittál egy aktív munkamenetet, tartós hozzáférést szerezhet a privilegizált szerepkörökhöz anélkül, hogy MFA-kéréseket váltana ki. A bejelentkezési gyakoriság korlátozása és az állandó böngésző-munkamenetek blokkolása jelentősen csökkenti a munkamenet-eltérítéses és a drive-by támadások lehetőségét.

Mit ellenőriz az Aether365

Az Aether365 ellenőrzi, hogy a feltételes hozzáférési szabályzatok adminisztratív felhasználók esetén maximum 4 órás (E3-bérlők) vagy 24 órás (E5-bérlők PIM használatával) bejelentkezési gyakoriságot kényszerítenek-e ki, valamint hogy az állandó böngésző-munkamenetek beállítása "Soha ne maradjon meg". Ez az ellenőrzés az Aether365 irányítópultján az entra-id ellenőrzések között ENTRA.1117 néven jelenik meg.

Javítás menete

1. Jelentkezzen be az Azure Portalra, és nyissa meg a Microsoft Entra ID-t.
2. A bal oldali menüben válassza a Security, majd a Conditional Access lehetőséget.
3. Kattintson a + New policy gombra, és nevezze el megfelelően az adminisztratív felhasználók számára.
4. Az Assignments alatt válassza a Users and groups lehetőséget, és foglalja bele az összes adminisztratív szerepkört.
5. A Cloud apps or actions alatt válassza a All cloud apps lehetőséget.
6. A Conditions alatt konfigurálja a munkamenet-beállításokat a bérlői licencének megfelelően.
7. A Session alatt állítsa a Sign-in frequency értékét 4 órára (E3) vagy 24 órára (E5 PIM-mel).
8. A Session alatt állítsa a Persistent browser session értékét Never persist értékre.
9. Állítsa a Enable policy értékét először Report only értékre, majd az érvényesítés után engedélyezze.

Megfelelőség

• CIS Microsoft 365 Foundations Benchmark 5.0.0 Control 5.2.2.4 (E3 Level 1)
• Microsoft Entra ID biztonsági ajánlott eljárások
• Azure biztonsági teljesítménytesztek identitáskezelés (IM-7)

Kapcsolódó források

• A feltételes hozzáférési szabályzatok konfigurálása rendszergazdai MFA-hoz
• Feltételes hozzáférési telepítés megtervezése
• Feltételes hozzáférés hibaelhárítása a What If eszközzel
• Munkamenet-élettartam és bejelentkezési gyakoriság konfigurálása

Microsoft references

• Howto conditional access policy admin mfa
• Security emergency access
• Troubleshoot conditional access what if
• Plan conditional access
• Security controls v3 identity management
• Howto conditional access session lifetime