Waarom beheerders extra aandacht vragen
Met een Globale beheerder kan een aanvaller vrijwel alles in de tenant aanpassen: beveiligingsinstellingen uitschakelen, mailboxen doorsturen, nieuwe accounts aanmaken of data exporteren. Bij incidenten zien we vaak dat beheerrechten veel breder zijn verdeeld dan nodig, bijvoorbeeld omdat een medewerker ooit tijdelijk rechten kreeg voor een project.
Beperk het aantal Globale beheerders
Microsoft adviseert minder dan vijf accounts met de rol Globale beheerder, inclusief noodaccounts. Kies voor dagelijkse taken een beperktere rol. Een medewerker die gebruikers aanmaakt, heeft genoeg aan Gebruikersbeheerder. Wie mailinstellingen beheert, gebruikt Exchange-beheerder. Een overzicht van wie welke rol heeft, is de eerste stap.
Aparte accounts voor beheer
Gebruik voor beheertaken een apart account, los van het account waarmee iemand e-mail leest en op internet surft. Maak beheerdersaccounts cloud-only, dus niet gesynchroniseerd vanuit een lokale Active Directory. Geef ze geen mailbox of andere licenties die ze niet nodig hebben. Zo verkleint u de kans dat een phishingmail of een gecompromitteerde lokale omgeving direct leidt tot beheerrechten in de cloud.
Rechten alleen wanneer nodig
Met Privileged Identity Management, onderdeel van Entra ID P2, zijn beheerrechten niet permanent actief. Een beheerder activeert de rol wanneer hij die nodig heeft, voor een beperkte tijd en eventueel na goedkeuring en met een opgegeven reden. Iedere activering wordt gelogd. Ook zonder P2 kunt u rechten periodiek herzien en overbodige toewijzingen intrekken.
Sterke aanmelding en monitoring
Vereis phishingbestendige MFA voor alle beheerdersrollen via Conditional Access. Stel meldingen in bij het toewijzen van beheerrollen en bij aanmeldingen met noodaccounts. Controleer ook applicaties en service-principals met vergaande rechten, zoals toegang tot alle mailboxen. Die vallen buiten het zicht wanneer u alleen naar gebruikersaccounts kijkt.