Berechtigungen
Übersicht
Diese Seite beschreibt die Berechtigungen und das Zugriffsmodell für das Attack Mapping Agent. Der Agent verwendet schreibgeschützten Zugriff auf Daten aus Microsoft Sentinel, Microsoft Defender und Security Copilot über dokumentierte Microsoft Graph API und Security Copilot Plugins. Er ist dafür ausgelegt, Konfigurationen von Analyseregeln, ATT&CK-Zuordnungen und Telemetrie-Korrelationen zu analysieren ohne Änderungen vorzunehmen an Ihrer Umgebung.
So funktioniert es
Der Agent verbindet sich sicher mit Ihrem Tenant und Ihrem Microsoft Sentinel Workspace, um Metadaten zu Analyseregeln, Zuordnungsdetails und zugehörige Telemetrie abzurufen. Er bewertet und validiert MITRE ATT&CK Taktik-, Technik- und Untertechnik-Zuweisungen und stellt sicher, dass Zuordnungen die Erkennungsabdeckung korrekt widerspiegeln.
Alle Interaktionen folgen diesen Grundsätzen:
Schreibgeschützter Zugriff: Der Agent ändert, erstellt oder löscht keine Analyseregeln.
Prinzip der minimalen Rechtevergabe: Es werden nur die minimal erforderlichen Rollen und Berechtigungen verwendet, um Sentinel- und Defender-Daten zu lesen.
Transparenz: Der gesamte Datenzugriff erfolgt über dokumentierte API-Endpunkte und kann in Microsoft Entra überprüft werden.
Erforderliche Entra ID- und Sentinel-Rollen
Weisen Sie dem Administratorkonto oder der verwalteten Identität, die den Agenten ausführt, die folgenden Rollen zu:
Microsoft Sentinel Reader
Bietet schreibgeschützten Zugriff auf Konfigurationen von Analyseregeln und Metadaten von Warnungen.
Microsoft Sentinel Responder (optional)
Fügt Daten zu Incident-Beziehungen hinzu, wenn eine erweiterte Analyse aktiviert ist.
Security Reader
Gewährt Einblick in Sicherheitsinformationen und Ereignisse von Defender ohne Änderungsrechte.
Directory Reader
Ermöglicht schreibgeschützten Zugriff auf Verzeichnisdaten von Benutzern und Gruppen für die Regelkorrelation.
Diese Rollen folgen dem Prinzip der geringsten Berechtigung und können je nach den Sicherheits-Governance-Richtlinien Ihrer Organisation angepasst werden.
Transparenz beim Datenzugriff
Die folgende Tabelle zeigt, auf welche Daten der Agent zugreifen kann und zu welchem Zweck:
Metadaten zu Sentinel-Analyseregeln
Schreibgeschützt
Um Analyseregeln zu inventarisieren, MITRE-Zuordnungen zu validieren und Inkonsistenzen zu erkennen.
Sicherheitswarnungen und Telemetriebeispiele
Schreibgeschützt
Um zu überprüfen, ob zugeordnete Techniken mit dem tatsächlichen Erkennungsverhalten übereinstimmen.
MITRE ATT&CK Wissensdatenbank
Schreibgeschützt
Um Taktik- und Technik-IDs zu validieren und die kanonische Übereinstimmung sicherzustellen.
Verzeichnis- und Workspace-Daten
Schreibgeschützt
Um Analyseregeln mit Besitzern und Konfigurationskontext abzugleichen.
Datenverarbeitung:
Der Agent ändert, erstellt oder löscht keine Daten in Ihrem Tenant.
Es werden keine Kundendaten außerhalb der Tenant-Grenze exportiert.
Der gesamte Zugriff erfolgt über Microsoft Graph und Security Copilot Plugins mit delegierten oder Anwendungsberechtigungen.
Zugriffsaktivitäten werden für vollständige Nachverfolgbarkeit in den Microsoft Entra Überwachungsprotokollen aufgezeichnet.
Agenteneinstellungen
Der Agent unterstützt konfigurierbare Parameter, die Umfang und Tiefe seiner Validierung festlegen:
Scope
analyticRules, telemetry, mappingValidation
Legt fest, welche Sentinel-Komponenten in die Analyse einbezogen werden.
Modus
quick, standard, deep
Legt die Analysentiefe und den Korrelationsgrad fest.
• quick – Grundlegende Überprüfung von Regelzuordnungen auf Syntax und Struktur.
• standard – Ausgewogene Validierung der Zuordnung mithilfe von MITRE-Wissen und begrenzter Telemetrie. (empfohlen)
• deep – Vollständige Validierung mit Telemetrie-Stichproben und Korrelation von Regel zu Erkennung.
Bevor Sie den Agenten ausführen, stellen Sie sicher, dass alle erforderlichen Rollen und Workspace-Berechtigungen zugewiesen sind.
Sicherheits- und Compliance-Überlegungen
Die gesamte Kommunikation mit Microsoft Sentinel und Microsoft Graph wird mit HTTPS verschlüsselt und durch Microsoft-Identitätsdienste.
Der Agent folgt Zero Trust und Prinzip der minimalen Rechtevergabe .
Der Zugriff kann jederzeit über Microsoft Entra Rollenzuweisungen oder Verwaltung von Anwendungszustimmungen.
überprüft oder widerrufen werden.
Nächste Schritte
Stellen Sie sicher, dass dem Administrator oder der verwalteten Identität, die den Agenten ausführt, die erforderlichen Rollen zugewiesen sind.
Bestätigen Sie, dass die Zugriffsberechtigungen für Microsoft Sentinel und Defender API aktiv sind.
Überprüfen Sie vor der Bereitstellung die Richtlinien Ihrer Organisation zu geringsten Berechtigungen und Rollenzuweisungen.
Zuletzt aktualisiert
War das hilfreich?