> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-de/mdr/deploy/crowdstrike/add-on/itp.md). # ITP mit Entra ID Verbinden Sie jeden Entra ID-Mandanten mit CrowdStrike Identity Threat Protection (ITP), indem Sie über Ihre Falcon-Konsole eine Azure-Registrierung erstellen. Am Ende senden Sie Stoïk Ihre Mandanten-ID per E-Mail, damit die Überwachung aktiviert werden kann. ## Voraussetzungen * Ein **Microsoft Entra ID P1 oder P2** Lizenz. Microsoft Entra ID Free wird nicht unterstützt. * Ein **Azure-Abonnement** im Mandanten. CrowdStrike stellt dort seine Ressourcen für die Protokollaufnahme bereit. * Eine Person mit der **Globaler Administrator** oder **Administrator für privilegierte Rollen** Rolle in Entra ID, um die Administratorzustimmung zu erteilen. * Eine Person mit der **Besitzer** und **Azure Deployment Stack-Besitzer** Azure-Rollen auf der **Tenant-Root-Gruppe** -Ebene, um die Ressourcen bereitzustellen. * Ein **Falcon-Konsolenkonto** mit den Berechtigungen zur Einrichtung des Connectors. Stoïk erstellt es in Schritt 1 für Sie. {% hint style="warning" %} Die Rolle Globaler Administrator in Entra ID **nicht** gewährt die oben genannten Azure-Rollen nicht. Sie müssen explizit auf Ebene der Tenant-Root-Gruppe zugewiesen werden, andernfalls schlägt die Bereitstellung fehl. {% endhint %} ## Zweck von ITP ITP überwacht fortlaufend Kontenaktivitäten und Active Directory, um abnormales Verhalten zu erkennen. * **Identitätszentrierte Verhaltensanalyse:** erkennt verdächtige Authentifizierungen, ungewöhnliche Zugriffsmuster, nicht autorisierte Anmeldeversuche und Anomalien bei Benutzerkonten. Beispiele sind verdächtige Verbindungen von Arbeitsstationen zu Servern, Netzwerkscans, Brute-Force-Versuche und das Extrahieren von Anmeldeinformationen. Das Modul kann kritische Ereignisse automatisch blockieren. * **Sicherheitslage von Active Directory:** gibt einen Echtzeitüberblick über die AD-Sicherheit mit fortgeschritteneren Optionen als der Stoïk Protect AD-Scan. Er identifiziert Konfigurationsprobleme, Konten mit kompromittierten Passwörtern und Probleme bei der Rechteverwaltung. * **Überwachung von Cloud-Bedrohungen (optional):** Sobald Entra ID verbunden ist, nimmt ITP Ihre Cloud- und Hybridkonten, Entra ID-Auditprotokolle, Anmeldeprotokolle und Azure-Aktivitätsprotokolle auf. Es korreliert SSO-Aktivitäten mit Ihren On-Premises-Konten und erkennt Anmeldungen von verdächtigen IP-Adressen sowie ungewöhnliche Zugriffsversuche. ## Integration CrowdStrike hat diese Integration 2026 geändert: Der Entra ID-Connector wird jetzt als **Azure-Registrierung** in Falcon Cloud Connectors eingerichtet. Sie erstellen keine Anwendung, kein Clientgeheimnis und keine benutzerdefinierte Rolle mehr manuell. Wenn Sie den vorherigen Connector bereits eingerichtet haben, siehe [Migration vom Legacy-Connector](#migrating-from-the-legacy-connector). Sie führen die gesamte Einrichtung selbst über Ihre Falcon-Konsole durch, **für jeden Entra ID-Mandanten**. Stoïk gibt Ihnen den benötigten Zugriff und prüft das Ergebnis. **Es wird kein Geheimnis mit Stoïk ausgetauscht**: Sie generieren die CrowdStrike-API-Anmeldedaten in der Konsole und verwenden sie nur in Ihrer eigenen Azure Cloud Shell. Idealerweise führt dieselbe Person die Schritte 3 bis 6 aus und verfügt sowohl über die oben genannten Entra-ID- als auch Azure-Rollen. Andernfalls planen Sie eine kurze Sitzung mit den betreffenden Personen: Der Assistent muss von Schritt 3 bis Schritt 6 geöffnet bleiben.
Wer macht was
SchrittWer
1. Holen Sie sich Ihren Zugriff auf die Falcon-KonsoleSie und Stoïk
2. Überprüfen Sie Ihre Azure-RollenSie (Azure-Administrator)
3. Erstellen Sie die Azure-Registrierung in FalconSie
4. Erteilen Sie die AdministratorzustimmungSie (Globaler Administrator oder Administrator für privilegierte Rollen)
5. Stellen Sie die Ressourcen über Azure Cloud Shell bereitSie (Azure-Administrator)
6. Schließen Sie die Registrierung ab und bestätigen Sie sieSie, dann Stoïk
7. Gewähren Sie Stoïk den Remediation-ZugriffSie (Globaler Administrator)
{% stepper %} {% step %} ### Holen Sie sich Ihren Zugriff auf die Falcon-Konsole 1. E-Mail mit den **Namen und der E-Mail-Adresse** der Person, die die Einrichtung durchführen wird. 2. Stoïk erstellt für diese Person ein Falcon-Benutzerkonto mit den Berechtigungen, die zur Konfiguration des Entra-ID-Connectors erforderlich sind. 3. Die Person erhält eine Aktivierungs-E-Mail von CrowdStrike. Sie legt ihr Passwort und **MFA**fest und meldet sich dann an der [Falcon-Konsole an](https://falcon.eu-1.crowdstrike.com). {% endstep %} {% step %} ### Überprüfen Sie Ihre Azure-Rollen Die Person, die die Bereitstellung durchführt, öffnet [Azure Cloud Shell](https://shell.azure.com) im **Bash-** Modus und führt aus: ```bash az role assignment list \ --assignee $(az ad signed-in-user show --query id -o tsv) \ --scope "/providers/Microsoft.Management/managementGroups/$(az account show --query tenantId -o tsv)" \ --include-groups \ --query "[?roleDefinitionName=='Owner' || roleDefinitionName=='Azure Deployment Stack Owner'].{Role:roleDefinitionName, Scope:scope}" \ -o table ``` Die Ausgabe muss beide enthalten **Besitzer** und **Azure Deployment Stack-Besitzer**. Wenn eine der beiden Rollen fehlt, lassen Sie sie vor dem Fortfahren auf Ebene der Tenant-Root-Gruppe zuweisen.
Tenant-Root-Gruppe nicht anzeigen oder verwalten können Ein Globaler Administrator muss zunächst `Verwaltung des Zugriffs auf Azure-Ressourcen` im `in Entra ID` > `Eigenschaften`aktivieren. Dadurch erhält er das Recht, die oben genannten Rollen zuzuweisen. Sie können es danach wieder deaktivieren.
{% endstep %} {% step %} ### Erstellen Sie die Azure-Registrierung in Falcon Bevor Sie beginnen, kopieren Sie aus Ihren Microsoft-Konsolen: * die `Mandanten-ID`: [Microsoft Entra Admin Center](https://entra.microsoft.com) > `in Entra ID` > `Übersicht` * die `Abonnement-ID` unter der die CrowdStrike-Ressourcen bereitgestellt werden: [Azure-Portal](https://portal.azure.com) > `Abonnements` Dann in der Falcon-Konsole: 1. **Öffnen Sie den Assistenten:** * Wenn Sie einen Legacy-Entra-ID-Connector haben, gehen Sie zu `Identitätsschutz` > `Einstellungen` > `Konfigurationen` > `Connectors` und klicken Sie auf **Jetzt aktualisieren** Darin ist Ihr Mandant bereits vorausgefüllt. * Andernfalls gehen Sie zu `Connectors` > `Cloud-Connectors` > `Cloud-Verbindungen`, öffnen Sie die `Azure` Registerkarte und klicken Sie auf **Neue Registrierung hinzufügen**. Wenn Sie dazu aufgefordert werden, wählen Sie **Neue Bereitstellungsmethoden**, dann **Weiter**. 2. **Registrierungsparameter:** geben Sie einen Registrierungsnamen, Ihre `Microsoft Entra-Mandanten-ID`, wählen Sie `Bicep` ein und geben Sie die `Abonnement-ID`. Klicken Sie auf **Mit der Standardeinrichtung fortfahren**. 3. **Funktionen:** wählen Sie `Echtzeit-Transparenz und Erkennung`, dann **Weiter**. 4. **Erweiterte Einstellungen:** lassen Sie `Ich möchte die Entra-ID-Berechtigungen anpassen` deaktiviert. Ändern Sie die Region für Ressourcen zur Protokollaufnahme nur, wenn nötig. Klicken Sie auf **Weiter**. 5. **API-Anmeldedaten:** klicken Sie auf **API-Client generieren**. Kopieren Sie die `Client-ID` und `Clientgeheimnis` und halten Sie sie für Schritt 5 bereit. Das Geheimnis wird nur einmal angezeigt. Klicken Sie auf **Fertig**, dann **Weiter**. {% hint style="warning" %} Bewahren Sie das Clientgeheimnis für sich. Senden Sie es niemals per E-Mail, Chat oder Ticket, auch nicht an Stoïk. Sie benötigen es nur in Azure Cloud Shell während Schritt 5. {% endhint %} {% endstep %} {% step %} ### Erteilen Sie die Administratorzustimmung Ausgeführt von einem Globalen Administrator oder Administrator für privilegierte Rollen. Ohne Administratorzustimmung kann Falcon die Entra-ID-Daten nicht lesen und der Identitätsschutz funktioniert nicht. 1. Auf der `Bereitstellungskonfiguration` Seite des Assistenten klicken Sie auf **Erteilen Sie die Administratorzustimmung** und melden Sie sich mit Ihrem Microsoft-Administratorkonto an. 2. Überprüfen Sie, ob die **Mandanten-ID in der URL mit Ihrem Mandanten übereinstimmt**. 3. Überprüfen Sie die angeforderten Berechtigungen und klicken Sie auf **Akzeptieren**. 4. Zurück im Assistenten klicken Sie auf **Überprüfen**. Die von CrowdStrike erstellte Anwendung hat nur **Nur-Lese-** Berechtigungen für Ihr Verzeichnis. {% endstep %} {% step %} ### Stellen Sie die Ressourcen aus Azure Cloud Shell bereit 1. Auf der `Bereitstellungskonfiguration` Seite öffnen Sie die `Bash-` Registerkarte und klicken Sie auf **Download ZIP** um `crowdstrike-fcs-azure-bicep-generated.zip`. 2. Laden Sie in Azure Cloud Shell (Bash) die ZIP-Datei hoch. 3. Entpacken Sie sie: ```bash unzip crowdstrike-fcs-azure-bicep-generated.zip ``` 4. Überprüfen Sie, ob die Parameterdatei vorhanden ist: ```bash ls parameters.bicepparam ``` Wenn die Datei nicht aufgelistet wird, überprüfen Sie, ob Sie die richtige Datei hochgeladen und entpackt haben. 5. Kopieren Sie die auf der `Bash-` Registerkarte angezeigten Befehle und führen Sie sie der Reihe nach aus: * `az login -t ''` * `export FALCON_CLIENT_SECRET=` * `az stack mg create ...`, wodurch die Bicep-Vorlage bereitgestellt wird 6. Warten Sie, bis der letzte Befehl abgeschlossen ist. Während die Bereitstellung läuft, wirkt das Terminal inaktiv und zeigt nur Fehler an. Das ist normal. {% endstep %} {% step %} ### Schließen Sie die Registrierung ab und bestätigen Sie sie 1. Klicken Sie im Assistenten auf **Validieren und abschließen**. 2. Auf der `Azure` Registerkarte von `Cloud-Verbindungen`, die Registrierung wird zunächst als `ausstehend zur`, dann `Aktiv`angezeigt **2 Stunden** , bis Daten angezeigt werden. 3. Die Registrierung ist abgeschlossen, wenn beide `Assets` und `Echtzeit-Transparenz und Erkennung` anzeigen `Aktiv`. {% hint style="warning" %} E-Mail mit Ihrer Mandanten-ID. Stoïk prüft die Registrierung und aktiviert die Überwachung auf seiner Seite. Ohne sie kann die Überwachung nicht aktiviert werden. {% endhint %} Sobald die Registrierung aktiv ist, entfernt Stoïk die Konfigurationsberechtigungen von Ihrem Falcon-Konto. {% endstep %} {% step %} ### Gewähren Sie Stoïk den Remediation-Zugriff Wenn ein Konto außerhalb der Geschäftszeiten kompromittiert wird, ist Ihr Team möglicherweise nicht verfügbar. Durch das Gewähren dieses Zugriffs kann Stoïk betroffene Konten deaktivieren, sobald eine Kompromittierung bestätigt ist. 1. Melden Sie sich als Globaler Administrator an und öffnen Sie den [Administratorzustimmungslink](https://login.microsoftonline.com/organizations/adminconsent?client_id=72f25200-dfe6-4c66-959d-103731ae6215\&redirect_uri=https://login.microsoftonline.com/common/oauth2/nativeclient). 2. Überprüfen Sie die angeforderten Berechtigungen und klicken Sie auf **Akzeptieren**. 3. Sie landen auf einer leeren Seite. Sie können sie schließen.
Was die Remediation-Anwendung tun kann Die Anwendung kann nur vorhandene Konten aktivieren oder deaktivieren. Sie kann keine Konten erstellen oder andere Attribute ändern. Jede Aktion erfordert MFA, wird protokolliert und mit einem Zeitstempel versehen. Stoïk kann das vollständige Prüfprotokoll auf Anfrage bereitstellen.
{% endstep %} {% endstepper %} ## Migration vom Legacy-Connector Wenn Sie den [früheren Entra-ID-Connector](/help/help-de/mdr/deploy/crowdstrike/add-on/itp-legacy.md) (Anwendung `stoik-connector-itp` mit einem Clientgeheimnis), muss er migriert werden: 1. Fordern Sie Ihren Zugriff auf die Falcon-Konsole an (Schritt 1). 2. Führen Sie die Schritte 2 bis 6 aus. Beginnen Sie in Schritt 3 von **Jetzt aktualisieren** beim Legacy-Connector. 3. Sobald die neue Registrierung aktiv ist, zeigt der Legacy-Connector `Bereit zur Außerbetriebnahme`. Löschen Sie ihn in `Identitätsschutz` > `Einstellungen` > `Konfigurationen` > `Connectors`, oder bitten Sie Stoïk, dies zu tun. 4. Sie können dann das alte `stoik-connector-itp` die Anwendung, ihr Clientgeheimnis und die `RBAC-Reader für Identity Protection` benutzerdefinierte Rolle aus Ihrem Mandanten löschen. Sie werden nicht mehr verwendet. ## Selbst verwaltete Falcon-Konsole Wenn Sie Ihre eigene Falcon-Konsole verwalten, überspringen Sie Schritt 1 und verwenden Sie ein Konto mit den Berechtigungen zum Verwalten von Cloud-Registrierungen und API-Clients. Folgen Sie den Schritten 2 bis 7. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.stoik.io/help/help-de/mdr/deploy/crowdstrike/add-on/itp.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.