Für ein Sicherheitsaudit kann es notwendig sein zu prüfen, welche Multi-Faktor Authentifizierungsmethode bei jedem einzelnen Benutzer im Microsoft Tenant aktiviert ist.
Die Auswertung kann auch dazu verwendet werden, die Benutzer auf eine vielleicht für sie komfortablere Multi-Faktor Authentifizierungsmethode aufmerksam zu machen, als diese gerade aktiviert haben.
Als mögliche Multi-Faktor Authentifizierungsmethode gelten folgende:
- Mobile App (Microsoft Authenticator)
- SMS
- Telefonanruf
Vorbereitung
Microsoft hat für die Analyse der Multi-Faktor Authentifizierung ein PowerShell Script auf Github veröffentlicht, dieses Script herunterladen und entpacken:
https://github.com/azure-samples/azure-mfa-authentication-method-analysis/tree/master/
Für die Ausführung des Scripts wird die TenantID benötigt. Diese ist im Azure Portal (https://portal.azure.com) unter «Azure Active Directory» zu finden.
Auswertung als CSV Datei exportieren
Mit dem soeben entpackten Script «MfaAuthMethodAnalysis.ps1» und der TenantID kann nun die Auswertung gestartet werden. Dabei ist folgendes zu beachten:
- der nachfolgende PowerShell Code kann in «Windows PowerShell ISE» im Pfad ausgeführt werden, im dem sich das zuvor entpackte Script «MfaAuthMethodAnalysis.ps1» befindet
- <TenantID> mit dem Wert aus dem vorherigen Schritt ersetzen
- Bei der notwendigen Anmeldung darf kein Gastkonto verwendet werden
- das verwendete Benutzerkonto benötigt mindestens die Berechtigung «User Administrator»
- das Script setzt das PowerShell Modul «MSOnline» ab Version 1.1.183.57 voraus
1 2 3 4 5 6 7 8 9 | if (Get-Module -ListAvailable -Name MSOnline) { Write-Host "MSOnline exists, nothing to install" } else { Write-Host "Module MSOnline missing, installation in progress..." Install-Module MSOnline } .\MfaAuthMethodAnalysis.ps1 -TenantId <TenantID> -LocationInfo -CsvOutput |
PowerShell benötigt nun kurze Zeit, die Ergebnisse in eine CSV Datei zu schreiben.
Multi-Faktor Authentifizierungsmethoden analysieren
In unserem Beispiel wurde mit dem Script «MfaAuthMethodAnalysis.ps1» die CSV Datei mit folgenden Informationen erstellt.
- Der Benutzer hat die Multi-Faktor Authentifizierung mit einer Benachrichtigung über die Microsoft Authenticator App eingerichtet
- als Verbesserung wird vorgeschlagen, eine Telefonnummer hinzuzufügen, um eine weitere Option für den zweiten Authentifizierungsfaktor zu haben, sollte die Microsoft Authenticator App nicht zur Verfügung stehen.
Folge mir auf LinkedIn und lasse Dich über meine aktuellen Beiträge informieren.