Zugriffe Optional
Wer hat die Schlüssel zu Defender?
Gapsio liest Defender XDR Unified RBAC: wer welche Defender-Rolle hat und auf welchem Weg – direkt, über eine Gruppe, berechtigt über PIM für Gruppen oder über ein Access Package im Entitlement Management –, für welche Datenquellen sie gilt und ob sie je genutzt wurde.
Wer kann was?
Suchen Sie nach einer Rolle oder einer einzelnen Berechtigung – etwa Live Response – und sehen Sie alle, die sie haben oder bekommen könnten.
Meine Rechte, für alle.
Alle Mitarbeitenden sehen ihre eigenen Defender-Rollen, mit Links zu PIM und My Access. Ohne Ticket.
Apps mit Defender-Rechten.
Service Principals, die über die Defender-APIs offboarden, isolieren oder Live Response ausführen können – mit Client Secrets, Laufzeit der Anmeldeinformationen und Besitzern. Dazu Rollengruppen ohne Access Review und PIM-Aktivierung ohne MFA.
Was im Portal passiert ist.
Aus dem Purview-Audit-Log: wer ein Offboarding-Paket heruntergeladen, wer Live Response ausgeführt, welche Einstellungen geändert hat. Nichts davon taucht in einer Geräte-Timeline auf.
Gehalten, aber nicht genutzt.
Für jede Berechtigung, die eine Person hält, prüft Gapsio, ob sie in den letzten 30 Tagen genutzt wurde – Response-Aktionen, Live Response, Alert-Bearbeitung, Einstellungsänderungen. „Nicht genutzt“ steht nur da, wenn jede Quelle, die die Nutzung zeigen könnte, gelesen wurde; sonst ist die Berechtigung „nicht messbar“, mit Grund.
Sehen Sie es in Ihrem eigenen Mandanten.
Nur lesend, selbst gehostet in Ihrer Azure-Subscription, in Minuten startklar. Jede Prüfung ist kostenlos.