No hybrid user with permanent role assignment on Control Plane

Waarom dit belangrijk is

Als een hybride gebruiker (een gebruiker die is gesynchroniseerd vanuit on-premises Active Directory) een permanente, hoogbevoegde rol heeft op het Microsoft 365-controlplane, kan een aanvaller die uw on-premises omgeving compromitteert, zonder aanvullende authenticatie overstappen naar cloudresources. Dit omzeilt uw cloudbeveiligingscontroles en creëert een directe laterale bewegingspad. Beheerders moeten prioriteit geven aan het verwijderen van deze hybride roltoewijzingen om een strikte scheiding tussen on-premises en cloudidentiteiten af te dwingen.

Wat Aether365 controleert

Deze controle scant alle Azure Active Directory-roltoewijzingen op het controlplane om te identificeren of een hybride gebruiker (gesynchroniseerd vanuit on-premises) een permanente, hoogbevoegde rol heeft, zoals Global Administrator of Privileged Role Administrator. Aether365 markeert deze als overtredingen in uw Microsoft 365-beveiligingsdashboard onder de controlegroep microsoft-365.

Hoe u het kunt oplossen

1. Identificeer de betrokken hybride gebruiker(s). Zoek naar gebruikers waarbij het OnPremisesSyncEnabled-kenmerk True is in het Azure AD-beheercentrum of via PowerShell.
2. Bepaal of de roltoewijzing echt nodig is. Als de gebruiker tijdelijke toegang nodig heeft, gebruik dan Azure AD Privileged Identity Management (PIM) om tijdsgebonden, in aanmerking komende toewijzingen te verlenen in plaats van permanente toewijzingen.
3. Als de rol niet essentieel is, verwijder dan de permanente toewijzing. Ga in Azure Portal naar Azure Active Directory > Roles and administrators, selecteer de rol en verwijder de gebruiker.
4. Maak voor eventuele resterende permanente roltoewijzingen aan hybride gebruikers een cloud-only account (niet gesynchroniseerd vanuit on-premises) en wijs de rol toe aan die cloud-only identiteit.
5. Voer na het aanbrengen van wijzigingen de Aether365-controle opnieuw uit om te bevestigen dat er geen overtredingen meer zijn.

Naleving

• Framework: Other
• Ernst: Medium (Aether365-beoordeling)
• Gerelateerde standaarden: Deze controle sluit aan bij het CISA Zero Trust-principe van het elimineren van impliciet vertrouwen tussen on-premises en cloudomgevingen. Het ondersteunt ook EIDSCA-basisconfiguraties voor identiteitsisolatie.

Gerelateerde bronnen

• Microsoft Learn: Secure privileged access in Azure AD
• Microsoft Learn: Plan a cloud-only identity
• Microsoft Learn: What is Privileged Identity Management?

Microsoft references

• Security planning
• Protect m365 from on premises attacks