ITP mit Entra ID

Vergessen Sie den letzten Teil von Schritt 6 nicht, Schließen Sie die Registrierung ab und bestätigen Sie sie: Senden Sie Stoïk per E-Mail Ihre Mandanten-ID. Ohne sie kann die Überwachung auf unserer Seite nicht aktiviert werden.

CrowdStrike hat diese Integration 2026 geändert. Der Entra-ID-Connector wird jetzt als eine Azure-Registrierung in Falcon Cloud Connectors eingerichtet. Sie erstellen nun nicht mehr manuell eine Anwendung, einen Client-Secret oder eine benutzerdefinierte Rolle. Wenn Sie den vorherigen Connector bereits eingerichtet haben, siehe Migration vom Legacy-Connector.

Zweck von ITP

Identity Threat Protection (ITP) überwacht kontinuierlich Kontobewegungen und Active Directory, um abnormales Verhalten zu erkennen.

• Identitätszentrierte Verhaltensanalyse: erkennt verdächtige Authentifizierungen, ungewöhnliche Zugriffsmuster, unautorisierte Anmeldeversuche und Anomalien bei Benutzerkonten. Beispiele sind verdächtige Verbindungen zwischen Arbeitsstation und Server, Netzwerkscans, Brute-Force-Versuche und das Extrahieren von Anmeldedaten. Das Modul kann kritische Ereignisse automatisch blockieren.

• Sicherheitslage von Active Directory: bietet eine Echtzeitansicht der AD-Sicherheit mit fortschrittlicheren Optionen als der Stoïk Protect AD-Scan. Es erkennt Konfigurationsprobleme, Konten mit kompromittierten Passwörtern und Probleme bei der Rechteverwaltung.

• Cloud-Bedrohungsüberwachung (optional): Sobald Entra ID verbunden ist, erfasst ITP Ihre Cloud- und Hybrid-Konten, Entra-ID-Auditprotokolle, Anmeldeprotokolle und Azure-Aktivitätsprotokolle. Es korreliert SSO-Aktivitäten mit Ihren On-Premises-Konten und erkennt Anmeldungen von verdächtigen IP-Adressen sowie ungewöhnliche Zugriffsversuche.

Voraussetzungen

• Eine Microsoft Entra ID P1- oder P2 Lizenz. Microsoft Entra ID Free wird nicht unterstützt.

• Ein Azure-Abonnement im Mandanten. CrowdStrike stellt dort seine Ressourcen für die Protokollaufnahme bereit.

• Eine Person mit der Global Administrator oder Privileged Role Administrator Rolle in Entra ID, um die Administratoreinwilligung zu erteilen.

• Eine Person mit der Besitzer und Azure Deployment Stack Owner Azure-Rollen auf der Tenant Root Group Ebene, um die Ressourcen bereitzustellen.

• Eine Falcon-Console-Konto mit den Berechtigungen, den Connector einzurichten. Stoïk erstellt es in Schritt 1 für Sie.

Die Rolle Global Administrator in Entra ID nicht verleiht nicht die oben genannten Azure-Rollen. Sie müssen ausdrücklich auf der Ebene der Tenant Root Group zugewiesen werden, andernfalls schlägt die Bereitstellung fehl.

Integration

Sie führen die gesamte Einrichtung selbst über Ihre Falcon-Konsole durch. Stoïk gewährt Ihnen den benötigten Zugriff und prüft das Ergebnis. Mit Stoïk wird kein Geheimnis ausgetauscht: Die für die Bereitstellung benötigten CrowdStrike-API-Anmeldedaten werden von Ihnen in der Konsole generiert und nur in Ihrer eigenen Azure Cloud Shell verwendet.

Führen Sie diesen Vorgang für jeden Entra-ID-Mandanten.

Schritt	Wer
1. Holen Sie sich Ihren Zugriff auf die Falcon-Konsole	Sie und Stoïk
2. Überprüfen Sie Ihre Azure-Rollen	Sie (Azure-Administrator)
3. Erstellen Sie die Azure-Registrierung in Falcon	Sie
4. Erteilen Sie die Administratoreinwilligung	Sie (Global Administrator oder Privileged Role Administrator)
5. Stellen Sie die Ressourcen aus Azure Cloud Shell bereit	Sie (Azure-Administrator)
6. Schließen Sie die Registrierung ab und bestätigen Sie sie	Sie, dann Stoïk
7. Erteilen Sie Stoïk Zugriff für Abhilfemaßnahmen	Sie (Global Administrator)

Idealerweise führt dieselbe Person die Schritte 3 bis 6 aus und verfügt über die oben genannten Entra-ID- und Azure-Rollen. Andernfalls planen Sie eine kurze Sitzung mit den betreffenden Personen: Der Assistent muss von Schritt 3 bis Schritt 6 geöffnet bleiben.

1

Holen Sie sich Ihren Zugriff auf die Falcon-Konsole

1. E-Mail [e-mail] mit dem Namen und der E-Mail-Adresse der Person, die die Einrichtung durchführen wird.

2. Stoïk erstellt für diese Person ein Falcon-Benutzerkonto mit den zum Konfigurieren des Entra-ID-Connectors erforderlichen Berechtigungen.

3. Die Person erhält eine Aktivierungs-E-Mail von CrowdStrike. Sie legt ihr Passwort fest und MFA, meldet sich dann in der Falcon-Konsole.

2

Überprüfen Sie Ihre Azure-Rollen

Die Person, die die Bereitstellung durchführt, öffnet Azure Cloud Shell im Bash Modus und führt Folgendes aus:

az role assignment list \
  --assignee $(az ad signed-in-user show --query id -o tsv) \
  --scope "/providers/Microsoft.Management/managementGroups/$(az account show --query tenantId -o tsv)" \
  --include-groups \
  --query "[?roleDefinitionName=='Owner' || roleDefinitionName=='Azure Deployment Stack Owner'].{Role:roleDefinitionName, Scope:scope}" \
  -o table

Die Ausgabe muss beide anzeigen Besitzer und Azure Deployment Stack Owner. Wenn eine der Rollen fehlt, lassen Sie sie auf der Ebene der Tenant Root Group zuweisen, bevor Sie fortfahren.

Wenn Sie die Tenant Root Group nicht sehen oder verwalten können, muss ein Global Administrator zuerst Zugriffsverwaltung für Azure-Ressourcen im Entra ID > Eigenschaften. Dadurch erhalten sie das Recht, die oben genannten Rollen zuzuweisen. Sie können es danach wieder deaktivieren.

3

Erstellen Sie die Azure-Registrierung in Falcon

Bevor Sie beginnen, kopieren Sie aus Ihren Microsoft-Konsolen:

• die Mandanten-ID: Microsoft Entra Admin Center > Entra ID > Übersicht

• die Abonnement-ID wo die CrowdStrike-Ressourcen bereitgestellt werden: Azure-Portal > Abonnements

Dann in der Falcon-Konsole:

1. Öffnen Sie den Assistenten:

   • Wenn Sie einen Legacy-Entra-ID-Connector haben, gehen Sie zu Identitätsschutz > Einstellungen > Konfigurationen > Connectoren und klicken Sie auf Jetzt aktualisieren dort. Der Assistent wird mit vorab ausgefülltem Mandanten geöffnet.

   • Andernfalls gehen Sie zu Connectoren > Cloud-Connectoren > Cloud-Verbindungen, öffnen Sie die Azure Registerkarte und klicken Sie auf Neue Registrierung hinzufügen. Wenn Sie dazu aufgefordert werden, wählen Sie Neue Bereitstellungsmethoden, dann Weiter.

2. Registrierungsparameter: Geben Sie einen Registrierungsnamen und Ihre Microsoft-Entra-Mandanten-ID, wählen Sie Bicep und geben Sie die Abonnement-ID. Mit Standardeinrichtung fortfahren.

3. Funktionen: wählen Sie Echtzeittransparenz und Erkennung, dann Weiter.

4. Erweiterte Einstellungen: lassen Sie Ich möchte die Entra-ID-Berechtigungen anpassen deaktiviert. Ändern Sie die Region für die Ressourcen zur Protokollaufnahme nur bei Bedarf. Klicken Sie auf Weiter.

5. API-Anmeldedaten: klicken Sie auf API-Client generieren. Kopieren Sie die Client-ID und Client-Secret und halten Sie sie für Schritt 5 bereit. Das Secret wird nur einmal angezeigt. Klicken Sie auf Fertig, dann Weiter.

Behalten Sie das Client-Secret für sich. Senden Sie es niemals per E-Mail, Chat oder Ticket weiter, auch nicht an Stoïk. Sie benötigen es nur in Azure Cloud Shell während Schritt 5.

4

Administratoreinwilligung erteilen

Dieser Schritt muss von einem Global Administrator oder Privileged Role Administrator durchgeführt werden. Ohne Administratoreinwilligung kann Falcon keine Entra-ID-Daten lesen und Identity Protection funktioniert nicht.

1. Auf der Bereitstellungskonfiguration Seite des Assistenten klicken Sie auf Administratoreinwilligung erteilen und melden Sie sich mit Ihrem Microsoft-Administratorkonto an.

2. Überprüfen Sie, ob die Mandanten-ID in der URL mit Ihrem Mandanten übereinstimmt.

3. Überprüfen Sie die angeforderten Berechtigungen und klicken Sie auf Akzeptieren.

4. Zurück im Assistenten klicken Sie auf Überprüfen.

Die von CrowdStrike erstellte Anwendung verfügt nur über Nur-Lese- Berechtigungen für Ihr Verzeichnis.

5

Stellen Sie die Ressourcen aus Azure Cloud Shell bereit

1. Auf der Bereitstellungskonfiguration Seite öffnen Sie die Bash Registerkarte und klicken Sie auf ZIP herunterladen um crowdstrike-fcs-azure-bicep-generated.zip.

2. Laden Sie in Azure Cloud Shell (Bash) die ZIP-Datei hoch.

3. Entpacken Sie sie:

   unzip crowdstrike-fcs-azure-bicep-generated.zip

4. Überprüfen Sie, ob die Parameterdatei vorhanden ist:

   ls parameters.bicepparam

   Wenn die Datei nicht aufgeführt ist, überprüfen Sie, ob Sie die richtige Datei hochgeladen und entpackt haben.

5. Kopieren Sie die Befehle, die auf der Bash Registerkarte angezeigt werden, und führen Sie sie der Reihe nach aus:

   • az login -t '<tenant ID>'

   • export FALCON_CLIENT_SECRET=<client secret from step 3>

   • az stack mg create ..., wodurch die Bicep-Vorlage bereitgestellt wird

6. Warten Sie, bis der letzte Befehl abgeschlossen ist. Während die Bereitstellung läuft, wirkt das Terminal inaktiv und zeigt nur Fehler an. Das ist normal.

6

Schließen Sie die Registrierung ab und bestätigen Sie sie

1. Klicken Sie im Assistenten auf Validieren und abschließen.

2. Auf der Azure Registerkarte von Cloud-Verbindungen, wird bei der Registrierung zuerst Ausstehend, dann Aktiv. Planen Sie etwa 2 Stunden ein, bis Daten angezeigt werden.

3. Die Registrierung ist abgeschlossen, wenn sowohl Assets und Echtzeittransparenz und Erkennung angezeigt werden Aktiv.

4. E-Mail [e-mail] mit Ihrer Mandanten-ID angezeigt werden. Stoïk prüft die Registrierung und aktiviert die Überwachung auf seiner Seite.

Sobald die Registrierung aktiv ist, entfernt Stoïk die Konfigurationsberechtigungen aus Ihrem Falcon-Konto.

7

Erteilen Sie Stoïk Zugriff für Abhilfemaßnahmen

Wenn ein Konto außerhalb der Geschäftszeiten kompromittiert wird, ist Ihr Team möglicherweise nicht verfügbar. Wenn Sie diesen Zugriff gewähren, kann Stoïk betroffene Konten deaktivieren, sobald ein Kompromittierung bestätigt ist.

1. Melden Sie sich als Global Administrator an und öffnen Sie den Link zur Administratoreinwilligung.

2. Überprüfen Sie die angeforderten Berechtigungen und klicken Sie auf Akzeptieren.

3. Sie gelangen auf eine leere Seite. Sie können sie schließen.

Die Anwendung kann nur vorhandene Konten aktivieren oder deaktivieren. Sie kann keine Konten erstellen oder andere Attribute ändern. Jede Aktion erfordert MFA, wird protokolliert und mit Zeitstempel versehen. Stoïk kann auf Anfrage das vollständige Prüfprotokoll bereitstellen.

Migration vom Legacy-Connector

Wenn Sie den vorherigen Entra-ID-Connector eingerichtet haben (Anwendung stoik-connector-itp mit einem Client-Secret), muss er migriert werden:

1. Fordern Sie Ihren Zugriff auf die Falcon-Konsole an (Schritt 1).

2. Führen Sie die Schritte 2 bis 6 aus. Beginnen Sie in Schritt 3 mit Jetzt aktualisieren beim Legacy-Connector.

3. Sobald die neue Registrierung aktiv ist, zeigt der Legacy-Connector Bereit zur Außerbetriebnahme. Löschen Sie ihn in Identitätsschutz > Einstellungen > Konfigurationen > Connectoren, oder bitten Sie Stoïk, dies zu tun.

4. Sie können dann die alte stoik-connector-itp Anwendung, ihr Client-Secret und die Identity Protection RBAC Reader benutzerdefinierte Rolle aus Ihrem Mandanten löschen. Sie werden nicht mehr verwendet.

Eigenverwaltete Falcon-Konsole

Wenn Sie Ihre eigene Falcon-Konsole verwalten, überspringen Sie Schritt 1 und verwenden Sie ein Konto mit den Berechtigungen zur Verwaltung von Cloud-Registrierungen und API-Clients. Folgen Sie den Schritten 2 bis 7.