Overzicht

Deze detectieregel monitort wanneer externe gebruikers (gastaccounts) geschikt worden gemaakt voor hoge privileges beheerdersrollen via Privileged Identity Management (PIM). Dit is een kritieke beveiligingsgebeurtenis die onmiddellijke aandacht vereist, omdat externe accounts met beheerdersprivileges aanzienlijke beveiligingsrisico's vormen voor uw Azure AD-tenant.

Rationale

Gastaccounts zijn externe gebruikers van andere organisaties of persoonlijke e-maildomeinen (zoals Gmail, Hotmail of Live) die zijn uitgenodigd om toegang te krijgen tot uw Azure AD-tenant. Hoewel gasttoegang in veel scenario's een legitieme bedrijfsvereiste is, brengt het toekennen van beheerdersprivileges aan externe accounts aanzienlijke beveiligingsrisico's met zich mee:

• Uitgebreid Aanvalsoppervlak: Externe accounts hebben mogelijk zwakkere beveiligingscontroles dan de interne accounts van uw organisatie
• Beperkte Zichtbaarheid: Uw organisatie heeft verminderde zichtbaarheid en controle over de beveiligingsstatus van externe accounts
• Persistentiemechanisme: Aanvallers gebruiken vaak externe account-escalatie als een manier om langdurige toegang tot gecompromitteerde omgevingen te behouden
• Compliance Zorgen: Veel regelgevingskaders vereisen strikte controles over privileged access, vooral voor externe entiteiten

Deze regel monitort specifiek PIM-roltoewijzingen omdat PIM vaak wordt gebruikt om tijdelijke of just-in-time beheerderstoegang te verlenen, waardoor het een veelvoorkomend doelwit is voor aanvallers die privileges willen escaleren.

Onderzoeksstappen

Wanneer deze alert wordt geactiveerd, volg dan deze onderzoeksstappen:

1. Verifieer de Legitimiteit: Bevestig bij de beheerder die de actie heeft uitgevoerd of dit opzettelijk en geautoriseerd was
2. Bekijk de Externe Gebruiker: Onderzoek de gastaccountdetails, inclusief hun e-maildomein en uitnodigingsgeschiedenis
3. Controleer Rolpermissies: Begrijp welke privileges de toegewezen rol biedt en of deze geschikt zijn voor de bedrijfsbehoefte
4. Bekijk Timing: Overweeg of de timing van deze actie overeenkomt met legitieme bedrijfsactiviteiten
5. Onderzoek Context: Zoek naar andere verdachte activiteiten van dezelfde beheerder of waarbij hetzelfde gastaccount betrokken is
6. Valideer Bedrijfsrechtvaardiging: Zorg ervoor dat er een legitieme business case is voor het toekennen van deze privileges aan de externe gebruiker

Aanvullende Bronnen

1. Azure AD Privileged Identity Management documentatie
2. Azure AD B2B-samenwerking en gastgebruikers
3. PIM Security Wizard
4. Toegangsbeoordelingen voor externe gebruikers