• Startseite
• Inhaltsbibliothek
• Admin-Dokumente
• Adaptive Zugriffsrichtlinie

Adaptive Zugriffsrichtlinie

---

Die Konfiguration einer adaptiven Zugriffsrichtlinie (MFA) ist aufgrund der erweiterten Berechtigungen der Benutzer von entscheidender Bedeutung. Bestimmte Benutzer haben Zugriff auf sensible Systeme und Daten und sind daher anfällig für Angriffe.

Administratoren können die Authentifizierungsanforderungen dynamisch an Risikofaktoren wie Standort, Gerät und Verhalten anpassen, indem sie adaptive Multi-Faktor-Authentifizierung (MFA) implementieren. Dadurch wird sichergestellt, dass Angreifer selbst bei Zugriff auf Administratorzugangsdaten erhebliche Hürden überwinden müssen, wodurch die Wahrscheinlichkeit eines erfolgreichen Angriffs deutlich reduziert wird.

Während die Balance zwischen Sicherheit und Benutzerfreundlichkeit für normale Benutzer von entscheidender Bedeutung ist, sollte die Sicherheit von Administratorkonten Vorrang haben. Adaptive MFA ermöglicht strengere Authentifizierungsrichtlinien für Administratoren, ohne den täglichen Arbeitsablauf typischer Benutzer zu beeinträchtigen.

Adaptive MFA-Konfiguration

• Melden Sie sich bei der miniOrange-Administrationskonsole an und navigieren Sie zu Richtlinien >> Richtlinie für adaptiven Zugang.
• Klicken Sie auf Richtlinie erstellen Schaltfläche oben rechts.



• Geben Sie ein Versicherungsname für Ihre adaptive Authentifizierungsrichtlinie im erforderlichen Feld.

1. Versicherungsbedingungen

Eine Richtlinie für adaptiven Zugriff kann in vier verschiedene Abschnitte konfiguriert werden:

• IP-basierte Zugriffsbeschränkung
• Gerätebasierte Zugriffsbeschränkung
• Standortbasierte Zugriffsbeschränkung
• Zeitbasierte Zugriffsbeschränkung

1.1 IP-basierte Zugriffsbeschränkung

Bei der IP-Beschränkung konfiguriert der Administrator eine Liste von IP-Adressen, für die der Zugriff erlaubt oder verweigert werden soll. Wenn sich ein Benutzer bei einer Anwendung anmeldet, die mit einer adaptiven Zugriffsrichtlinie konfiguriert ist, wird seine IP-Adresse mit der konfigurierten IP-Liste abgeglichen und die Aktion entsprechend der Konfiguration entschieden (z. B. Zulassen, Verweigern oder Hinterfragen).

So konfigurieren Sie die IP-Adresse:

• Erweitern Sie die IP-basierte Zugriffsbeschränkung Klicken Sie auf das Dropdown-Symbol, um den Abschnitt zu konfigurieren und IP-basierte Zugriffsregeln festzulegen.
• Klicken Sie auf IP-Bereich hinzufügen Schaltfläche zum Hinzufügen einer neuen IP-Adresse oder eines neuen IP-Bereichs zur Richtlinie.



• Auswählen IP hinzufügen wenn der Benutzer IP Address ist nicht in der konfigurierten Liste.
• Geben Sie die IP-Adresse an, die Sie auf die Whitelist setzen möchten. Für andere IP-Bereiche als die auf der Whitelist können Sie die oben stehende Einstellung auswählen.
• Wählen Sie entweder „Zulassen“ oder „Ablehnen“, indem Sie das Optionsfeld daneben aktivieren.
• Wenn ein Benutzer versucht, sich mit einer auf der Whitelist stehenden IP-Adresse anzumelden, wird ihm der Zugriff immer gewährt.
• Wir unterstützen IP-Adressbereiche in drei Formaten, nämlich: IPv4, IPv4 CIDR und IPv6. Sie können aus dem Dropdown-Menü auswählen, was für Sie geeignet ist.
• Sie können mehrere IP-Adressen und IP-Bereiche hinzufügen, indem Sie auf das IP-Bereich hinzufügen.






1.2 Gerätebasierte Zugriffsbeschränkung

Die Gerätebeschränkung ermöglicht Administratoren die Steuerung des Anwendungszugriffs mithilfe des Gerätevertrauens. Sie können verwenden Agentenlose Gerätebeschränkung (browserbasiertes Fingerprinting) oder Agentenbasierte Gerätebeschränkung (Installierter Agent mit Risikobewertung) abhängig von Ihren Sicherheitsanforderungen.

So konfigurieren Sie gerätebasierte Zugriffsbeschränkungen:

• Aktivieren Sie die Gerätekonfiguration Umschalten.



• Sie können die Gerätebeschränkung entweder über die eine oder die andere Methode konfigurieren. Agentenlos oder agentenbasiert Methoden:

Agentenlose Gerätebeschränkung

• Anzahl der zulässigen Geräteregistrierungen: Gibt die maximale Anzahl an Geräten an, die ein Benutzer registrieren kann.
• Mobilgerätebeschränkung aktivieren: Blockiert Anmeldeversuche von Mobilgeräten.
• Automatische Geräteregistrierung aktivieren: Ermöglicht die automatische Geräteregistrierung.




Agentenbasierte Gerätebeschränkung

• Voraussetzungen für die Aktivierung der agentenbasierten Gerätebeschränkung:
• Alle Endbenutzer müssen die Geräteagent auf ihren Geräten, bevor sie auf die Anwendung zugreifen.
• Nutzer ohne Agent werden blockiert und sehen Folgendes: Bitte installieren Sie den miniOrange Device Agent auf Ihrem Gerät und versuchen Sie es erneut.
• Der Geräteagent wird derzeit unterstützt auf Nur für Windows-Geräte.
• Klicken Sie auf Agent herunterladen um die Installationsdatei für Endbenutzer zu erhalten.
• Der GeräteregistrierungsmethodeWählen Sie eine der folgenden Optionen:
• Selbstregistrierung durch den Benutzer: Nutzer können ihre eigenen Geräte bis zum festgelegten Limit registrieren. Bietet Flexibilität bei moderater Sicherheit.



• Anzahl der zulässigen Geräteregistrierungen: Gibt die maximale Anzahl an Geräten an, die ein Benutzer registrieren kann.
• Mobilgerätebeschränkung aktivieren: Blockiert Anmeldeversuche von Mobilgeräten.
• Automatische Geräteregistrierung aktivieren: Ermöglicht die automatische Geräteregistrierung.
• Nur vorab genehmigte, vertrauenswürdige Geräte: Höhere Sicherheit. Der Administrator verwaltet die Informationen vertrauenswürdiger Geräte manuell. Wählen Sie diese Option und klicken Sie auf „Weiter“. Hochladen von vorab genehmigten vertrauenswürdigen Geräten (CSV) Geräte importieren (Sie können diesen Schritt überspringen, wenn die Geräte bereits hochgeladen wurden).



• Ein hochladen CSV-Datei enthält vorab genehmigte Benutzer und Geräte (Benutzer müssen bereits in miniOrange vorhanden sein). Beispiel-CSV herunterladen als Referenz.
• Konfigurieren Sie die folgenden Optionen:
• Mobilgerätebeschränkung aktivieren: Blockiert Anmeldeversuche von Mobilgeräten.
• Automatische Geräteregistrierung aktivieren: Ermöglicht die automatische Geräteregistrierung.
• Risikomodul für die Gerätevertrauensbewertung konfigurieren

  Die Risikoanalyse ermöglicht die Bewertung der Vertrauenswürdigkeit von Geräten durch die Analyse verschiedener Geräteattribute und die Berechnung eines Risikoscores. Basierend auf diesem Score wird der Benutzerzugriff bei der Anmeldung und Geräteregistrierung gewährt, geprüft oder verweigert .

• Navigieren Sie zu der Risiko-Engine Abschnitt und klicken Sie auf Einrichtung.



• Risikoparameter konfigurieren:
• Im Risikoparameter Klicken Sie auf die Registerkarte, um die Liste der Geräteattribute, gruppiert nach Kategorien, zu überprüfen.
• Das Gerätekennungen Diese Kategorie enthält obligatorische Attribute (wie Installations-ID, BIOS-UUID, Maschinen-SID usw.). Diese Attribute sind immer aktiviert und können weder deaktiviert noch neu priorisiert werden, da sie für das Geräte-Fingerprinting unerlässlich sind.
• Aktivieren Sie für andere Kategorien (Hardware, Netzwerk, Software, Standort) die Attribute, die Sie für die Vertrauenswürdigkeitsbewertung von Geräten verwenden möchten.
• Weisen Sie jedem aktivierten Attribut eine Priorität zu:
• Hoch: Starker Einfluss auf die Risikobewertung
• Medium: Moderate Auswirkungen
• Niedrig: Minimale Auswirkung



• Klicken Sie auf Änderungen speichern.
• Risikobewertung konfigurieren
• Im Risiko-Score, definieren Sie die Punktebereiche (0–100), die das Ergebnis der Authentifizierung während der Benutzeranmeldung bestimmen.
• Niedrigere Risikowerte deuten auf vertrauenswürdige Geräte hin.
• Höhere Risikobewertungen weisen auf potenzielle Sicherheitsrisiken oder Anomalien hin.
• Konfigurieren Sie die Schwellenwerte wie folgt:
• Ermöglichen: Ermöglichen Sie dem Benutzer die Authentifizierung ohne Abfrage und Registrierung.
• Herausforderung: Ermöglichen Sie die Benutzerauthentifizierung mit einer Herausforderung, z. B. wenn das Gerätelimit überschritten wird.
• Leugnen: Die Benutzerauthentifizierung wird verweigert, z. B. wenn das Gerätelimit überschritten wird oder wenn die Geräteattribute nicht übereinstimmen.






1.3 Standortbasierte Zugriffsbeschränkung

Bei Standortbeschränkungen konfiguriert der Administrator eine Liste von Standorten, für die der Zugriff von Endbenutzern je nach den von ihm festgelegten Bedingungen erlaubt oder verweigert werden soll. Wenn sich ein Benutzer mit aktivierter adaptiver Zugriffsrichtlinie anmeldet, werden seine Standortattribute (z. B. Breitengrad, Längengrad und Ländercode) mit der vom Administrator konfigurierten Standortliste abgeglichen. Basierend darauf wird dem Benutzer der Zugriff entweder erlaubt, eine Abfrage durchgeführt oder verweigert.

So konfigurieren Sie standortbasierte Zugriffsbeschränkungen:

• Erweitern Sie die Standortbasierte Zugriffsbeschränkung Klicken Sie auf das Dropdown-Symbol, um die Regeln für standortbasierte Zugriffsbeschränkungen zu konfigurieren.
• Klicken Sie auf Ort hinzufügen.



• Geben Sie im Eingabefeld „Standort eingeben“ den Standortnamen ein und wählen Sie dann mit den Navigationstasten AUF und AB den richtigen Standort aus den Suchergebnissen aus.
• Fügen Sie im nächsten Eingabefeld die Entfernung in und um Ihren Standort hinzu. Dies ist die Gesamtfläche in und um den Standort, die wir mithilfe der Breiten- und Längengrade konfiguriert haben.
• Wählen Sie in der nächsten Auswahlliste Ihre Entfernungseinheit aus: entweder Kilometer (KMS) oder Meilen. Für jeden hinzugefügten Ort können Sie die Anzeige zulassen oder verweigern, indem Sie den Schalter daneben aktivieren oder deaktivieren.
• Sie können auf die Schaltfläche Ort hinzufügen um mehr als einen Standort hinzuzufügen.



• Speichern Sie die vorgenommenen Änderungen, indem Sie am Ende der Seite nach unten scrollen.



1.4 Zeitbasierte Zugriffsbeschränkung

Bei der zeitlichen Beschränkung konfiguriert der Administrator eine Zeitzone mit Start- und Endzeit. Benutzer erhalten je nach den in der Richtlinie festgelegten Bedingungen entweder Zugriff, werden abgewiesen oder zur Eingabe einer Sicherheitsabfrage aufgefordert. Wenn sich ein Endbenutzer mit aktivierter adaptiver Zugriffsrichtlinie anmeldet, werden seine zeitzonenbezogenen Attribute, wie Zeitzone und aktuelle Systemzeit, mit der vom Administrator konfigurierten Liste abgeglichen. Basierend auf der Konfiguration erhält der Benutzer entweder Zugriff, wird abgewiesen oder zur Eingabe einer Sicherheitsabfrage aufgefordert.

So konfigurieren Sie zeitbasierte Zugriffsbeschränkungen:

• Erweitern Sie die Zeitbasierte Zugriffsbeschränkung Klicken Sie auf das Dropdown-Symbol, um die Regeln für zeitbasierte Zugriffsbeschränkungen zu konfigurieren.



• Klicken Sie auf Zeit hinzufügen.



• Wählen Sie in der Liste „Zeitzone auswählen“ die gewünschte Zeitzone aus. Wählen Sie in den Listen „Startzeit“ und „Endzeit“ die entsprechenden Werte aus. Verwenden Sie für jede hinzugefügte Zeitkonfiguration das Dropdown-Menü, um auszuwählen, ob … Erlauben or Ablehnen es.



• Geben Sie den Wert in Minuten in das Eingabefeld neben dem Anmeldefenster-Pufferzeit (Minuten)Mit diesem Wert können Sie eine Toleranz vor und nach dem Startzeitpunkt festlegen. (Wenn der Startzeitpunkt beispielsweise 6:00 Uhr und der Endzeitpunkt 18:00 Uhr ist und die Zeitdifferenz auf 30 Minuten eingestellt ist, berücksichtigt die Richtlinie den Zeitraum von 5:30 Uhr bis 18:30 Uhr.) Wird in diesem Feld kein Wert eingegeben, wird der Standardwert von 0 Minuten verwendet.
• Sie können auf die Schaltfläche Schaltfläche „Zeit hinzufügen“ um mehr als eine Zeitkonfiguration einzuschließen und folgen Sie dann dem obigen Schritt.
• Klicken Sie auf Weiter.

2. Maßnahmen zur Verhaltensänderung

• Sie können eine der drei möglichen Aktionen für Ihre Richtlinie für adaptiven Zugriff konfigurieren, wie nachfolgend erläutert:




Attribut	Beschreibung
Erlauben	Benutzern die Authentifizierung und Nutzung von Diensten ermöglichen, wenn die Bedingung der Richtlinie für adaptiven Zugriff erfüllt ist.
Ablehnen	Verweigere die Benutzerauthentifizierung und den Zugriff auf Dienste, wenn die Bedingung der adaptiven Zugriffsrichtlinie erfüllt ist.
Herausforderung	Fordern Sie Benutzer mit einer der drei unten genannten Methoden zur Überprüfung der Benutzerauthentizität heraus.




Optionen für den Herausforderungstyp:




Faktoren	Beschreibung
Zweiter Faktor des Nutzers	Der Benutzer muss sich mit dem zweiten Faktor authentifizieren, den er ausgewählt oder zugewiesen bekommen hat, zum Beispiel OTP über SMS Push-Benachrichtigung OTP per E-Mail und viele mehr.
KBA	Das System fragt den Benutzer nach zwei von drei Fragen, die er in seiner Self-Service-Konsole konfiguriert hat. Erst nach korrekter Beantwortung beider Fragen kann der Benutzer fortfahren.
OTP über alternative E-Mail	Der Benutzer erhält ein OTP an die alternative E-Mail-Adresse, die er über die Self-Service-Konsole konfiguriert hat. Sobald der Benutzer das richtige OTP angegeben hat, kann er fortfahren.

3. E-Mail-Benachrichtigungen und benutzerdefinierte Fehlermeldungen

Dieser Abschnitt behandelt Benachrichtigungen und Warnmeldungen im Zusammenhang mit der adaptiven Authentifizierung. Er bietet folgende Optionen:

• E-Mail-Benachrichtigungen senden: Konfigurieren Sie die Empfänger, die E-Mail-Benachrichtigungen bei Ereignissen der adaptiven Authentifizierung erhalten sollen. Benachrichtigungen können je nach Ihren Überwachungs- und Sicherheitsanforderungen an Administratoren, Endbenutzer oder beide gesendet werden.
• E-Mail-Benachrichtigungen an Administratoren senden: Aktivieren Sie diese Option, um Administratoren zu benachrichtigen, wenn konfigurierte Ereignisse der adaptiven Authentifizierung ausgelöst werden. Optional können Sie hier eine E-Mail-Adresse angeben. E-Mail-Adresse des Administrators zum Empfangen von Benachrichtigungen um Benachrichtigungen zu erhalten; andernfalls werden Benachrichtigungen an das Standard-Administratorkonto gesendet.



• Senden Sie E-Mail-Benachrichtigungen an Endbenutzer: Aktivieren Sie diese Option, um Endbenutzer zu benachrichtigen, wenn adaptive Authentifizierungsereignisse ihre Anmeldeversuche oder Geräteregistrierungen beeinträchtigen.
• Anzahl der Geräteregistrierungen überschreitet zulässige Anzahl: Wenn diese Funktion aktiviert ist, erhalten Endbenutzer eine E-Mail-Benachrichtigung, wenn sie versuchen, mehr Geräte zu registrieren als die durch die konfigurierte Gerätebeschränkungsrichtlinie maximal zulässige Anzahl.Nur für Endbenutzerbenachrichtigungen verfügbar.)



• Erhalten Sie E-Mail-Benachrichtigungen, wenn sich Benutzer von unbekannten Geräten oder Standorten aus anmelden: Administratoren müssen diese Option aktivieren, um Benachrichtigungen für verschiedene Benachrichtigungsoptionen zu erhalten.



Option	Beschreibung
Benutzer melden sich von unbekannten IP-Adressen, Geräten oder Standorten aus an	Durch Aktivieren dieser Option können Sie sich von unbekannten IP-Adressen oder Geräten und sogar Standorten aus anmelden.
Herausforderung abgeschlossen und Gerät registriert	Durch Aktivieren dieser Option können Sie eine E-Mail-Benachrichtigung senden, wenn ein Endbenutzer eine Herausforderung abschließt und ein Gerät registriert.
Herausforderung abgeschlossen, aber Gerät nicht registriert	Durch Aktivieren dieser Option können Sie eine E-Mail-Benachrichtigung senden, wenn ein Endbenutzer eine Herausforderung abschließt, das Gerät jedoch nicht registriert.
Herausforderung fehlgeschlagen	Durch Aktivieren dieser Option können Sie eine E-Mail-Benachrichtigung senden, wenn ein Endbenutzer die Herausforderung nicht meistert.





• Falls mehrere Administratorkonten Benachrichtigungen erhalten sollen, können Sie die Option für Administratoren aktivieren und anschließend die E-Mail-Adressen der Administratoren durch ein Komma getrennt in das Eingabefeld daneben eingeben. E-Mail-Adresse des Administrators zum Empfangen von Benachrichtigungen Bezeichnung. Um Warnungen für Endbenutzer zu aktivieren, können Sie die Endbenutzer Kontrollkästchen.
• Falls Sie die Ablehnungsnachricht anpassen möchten, die der Endbenutzer erhält, wenn seine Authentifizierung aufgrund einer adaptiven Richtlinie verweigert wird, können Sie dies tun, indem Sie die Nachricht in Nachricht ablehnen Textfeld ein.

4. Überprüfung

Überprüfen Sie die konfigurierten Richtlinienbedingungen, Verhaltensänderungsaktionen, E-Mail-Benachrichtigungseinstellungen und benutzerdefinierten Fehlermeldungen, bevor Sie die adaptive Authentifizierungsrichtlinie erstellen. Dieser Schritt bietet eine Übersicht aller konfigurierten Einstellungen, sodass Sie die Richtlinienkonfiguration überprüfen und gegebenenfalls Änderungen vornehmen können, bevor Sie sie speichern.

• Sobald Sie alle Konfigurationen überprüft haben, klicken Sie Richtlinie erstellen um die Richtlinie zu speichern und zu aktivieren.
• Sobald die Richtlinie erfolgreich hinzugefügt wurde, wird sie in der Liste angezeigt.



• Klicken Sie auf Bearbeiten Symbol neben der Anmelderichtlinie, die Sie bearbeiten möchten.