Die wichtigsten Punkte
- Entra ID Sign-In Audit automatisieren: Bauen Sie mit Microsoft Graph PowerShell eine mandantenübergreifende Pipeline für das Entra ID Sign-In Audit auf, um die Protokollerfassung zu automatisieren, Filter zu standardisieren und wiederholbare Nachweise für Compliance- und Sicherheitsaudits zu liefern.
- App-Registrierung und Berechtigungen absichern: Nutzen Sie für die unbeaufsichtigte, mandantenübergreifende Erfassung Anwendungsberechtigungen statt delegierter Berechtigungen, schützen Sie Anmeldeinformationen und stellen Sie die Administratorzustimmung pro Mandant sicher, damit der Datenzugriff sicher und skalierbar bleibt.
- Einheitliches Schema definieren und Anmeldeprotokolle anreichern: Legen Sie ein normalisiertes Schema für Anmeldeprotokolle fest und reichern Sie Felder an (Geodaten, ASN), um die Erkennungsgenauigkeit zu erhöhen und die Filterung bei Untersuchungen zu vereinheitlichen.
- Auditdaten in Sicherheitssignale verwandeln: Wandeln Sie Auditdaten in Sicherheitssignale um, indem Sie aussagekräftige Filter anwenden (Legacy-Authentifizierung, MFA-Fehlschläge, riskante Sitzungen) und automatisierte Berichte sowie monatliche Compliance-Auswertungen erzeugen.
- Entra ID-Exporte planen, speichern und aufbewahren: Richten Sie geplante Exporte mit Aufbewahrungsrichtlinien ein und sichern Sie so dauerhafte, versionierte Nachweise.
Microsoft Entra Audit-Logs sind der schnellste Weg, um Übernahmeversuche von Konten, riskante Sitzungen und Abweichungen von Richtlinien zu bestätigen. In Umgebungen mit Mehrmandantenfähigkeit lässt sich das allerdings kaum skalieren. Sie brauchen eine Graph-gestützte PowerShell-Pipeline, die eine wiederholbare, geplante Erfassung, einheitliche Filter und dauerhafte Nachweise liefert.
So holen Sie das Maximum aus Ihren Microsoft Entra ID-Logs heraus
📌 Voraussetzungen:
- Microsoft Graph PowerShell sollte bereits installiert und aktualisiert sein.
- Sie sollten in Microsoft Entra eine App-Registrierung mit Berechtigungen nach dem Least-Privilege-Prinzip für die Anmeldeberichterstattung anlegen können (Anwendungsberechtigungen empfohlen).
- Die Zustimmung muss pro Mandant erfasst werden, und Sie benötigen eine sichere Strategie für Geheimnisse bzw. verwaltete Identitäten.
- Sie benötigen einen zentralen Speicherort für Exporte.
- Sie benötigen einen Reporting-Workspace für monatliche Auswertungen und QBR-Nachweise.
Schritt 1: Quellen auswählen und Schema definieren
Anmeldeprotokolle sind wichtige Informationsquellen. Beim Aufbau einer mandantenübergreifenden Pipeline für das Entra Sign-In Audit müssen Sie genau wissen, welche Daten Sie erfassen und wie Sie sie verwenden. Gehen Sie dazu so vor:
- Priorisieren Sie Anmeldeprotokolle (Benutzer:innen und Dienstprinzipale) und entscheiden Sie, ob Sie zusätzlich das Verzeichnisüberwachungsprotokoll benötigen, um die Vorgänge richtig einordnen zu können.
- Definieren Sie einen minimalen, einheitlichen Satz an Spalten. Dazu können gehören: Zeitstempel, Benutzer-UPN/objectId, App displayName/appId, clientAppUsed (modern vs. Legacy), IP/Standort, MFA-Ergebnis, Status (Fehlercodes) und correlationId. Je nach Ihren konkreten Anforderungen können Sie Daten ergänzen oder weglassen.
Am Ende sollten Sie einen klaren Plan haben, welche Daten Sie während des Audits erfassen. Das erleichtert Erkennungen und sorgt für verlässliche Berichte.
Schritt 2: App-Registrierung und Berechtigungen absichern
Um Ihre Entra-Anmeldedaten voll auszuschöpfen, müssen Sie eine unbeaufsichtigte, mandantenübergreifende Erfassung sicher ermöglichen, indem Sie die aktivierte App-Registrierung und die Berechtigungen absichern.
Registrieren Sie dafür zunächst eine App in Entra für die Berichterstattung:
- Öffnen Sie das Microsoft Entra Admin Center und melden Sie sich an.
- Gehen Sie zu Entra ID > App-Registrierungen > Neue Registrierung.
- Vergeben Sie einen Namen für Ihre Reporting-App.
- Unter Unterstützte Kontotypen legen Sie fest, wer die App nutzen darf. Diese Optionen stehen zur Verfügung:
- Nur Konten in diesem Organisationsverzeichnis
- Konten in einem beliebigen Organisationsverzeichnis
- Konten in einem beliebigen Organisationsverzeichnis und persönliche Microsoft-Konten
- Persönliche Microsoft-Konten
- Wählen Sie Registrieren.
💡Hinweis: Vergeben Sie ausschließlich die Berechtigungen, die für Anmeldeberichterstattung und Audit erforderlich sind (Anwendungsberechtigungen).
Sobald die Reporting-App eingerichtet ist, speichern Sie die Anmeldeinformationen in einem sicheren Tresor und rotieren Sie den Zugriff auf die Protokolle. Halten Sie den Zustimmungsstatus der Mandanten mit der Reporting-App fest und stellen Sie die Daten für die nächsten Prüftermine bereit.
Am Ende steht ein gehärtetes, prüfbares Fundament für die automatisierte Erfassung.
Schritt 3: Verbindung über Graph PowerShell und Basisabfragen
Laden Sie zunächst das Microsoft Graph PowerShell-Modul herunter. Verbinden Sie anschließend Windows PowerShell mit Ihrem Microsoft Entra ID-Mandanten:
- Setzen Sie die PowerShell-Ausführungsrichtlinie auf „RemoteSigned“, indem Sie diesen Befehl ausführen:
Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser - Führen Sie diesen Befehl aus, um das Microsoft Graph PowerShell-Modul zu installieren:
Install-Module -Name Microsoft.Entra -Repository PSGallery -Scope CurrentUser -Force -AllowClobber - Führen Sie
Connect-Entra -Scopes 'User.Read.All'aus und melden Sie sich bei Aufforderung mit einem Administratorkonto Ihres Mandanten an.
Danach können Sie:
- sich mithilfe der App-Registrierung nicht-interaktiv bei jedem Mandanten authentifizieren;
- Basisabfragen für ein Zeitfenster von 24 bis 72 Stunden ausführen und nach CSV/JSON exportieren;
- zentrale Felder (Client-App, MFA-Ergebnis, Fehlercodes) und die Zeitzonenbehandlung validieren.
Nach der Verbindung mit Microsoft Graph können Sie gezieltere Abfragen stellen und genau die Daten exportieren, die Sie für Ihr Audit benötigen.
Schritt 4: Aussagekräftige Filter und Erkennungen aufbauen
Jetzt, da Ihnen die Rohprotokolle vorliegen, folgt der nächste Schritt: Sie müssen all diese Daten in verwertbare Sicherheitssignale überführen. Dafür können Sie:
- in Microsoft Entra gespeicherte Filter für Legacy-Authentifizierung, wiederholte MFA-Fehlschläge, ungewohnte Standorte/ASNs, risikoreiche Anmeldungen und ungewöhnliche Client-Apps anlegen;
- Anreicherungen (Geodaten, ASN, Abteilung der Benutzer:innen) und mandantenspezifische Zulassungslisten ergänzen, um Rauschen zu reduzieren;
- Schwellenwerte und Schweregrade festlegen, die auf Playbooks verweisen (untersuchen, CSM benachrichtigen, Vorfall eröffnen).
Danach erkennen Sie Probleme deutlich leichter. Das verkürzt die Zeit für die Triage und ermöglicht Ihrem Team ein einheitlicheres Vorgehen.
Schritt 5: Nachweise planen, speichern und aufbewahren
Behalten Sie Ihre Daten und die Ergebnisse interner Audits im Blick. So werden sie dauerhafter und besser für externe Prüfungen gerüstet.
Gehen Sie dazu so vor:
- Planen Sie stündliche oder tägliche Abrufe mit Nachlade-Logik, um Lücken zu vermeiden.
- Schreiben Sie Exporte pro Mandant in strukturierte Ordner und wenden Sie Versionierung und Aufbewahrungsfristen an.
- Erstellen Sie tägliche und monatliche Auswertungen mit Erkennungszahlen und Trendveränderungen.
Wer alle Daten im Blick behält, verfügt über eine verlässliche Historie für Untersuchungen, Compliance und die Argumentation in der Vierteljährlichen Geschäftsüberprüfung (QBR).
Schritt 6: Alarmierung und Berichterstattung über viele Mandanten hinweg
Da Daten und Berichte nun bereitstehen, können Sie Risiken schneller sichtbar machen und Fortschritte belegen. Zeigen Sie die Daten allen relevanten Stakeholdern und bereiten Sie sie QBR-tauglich auf.
So binden Sie Erkennungen sauber in Ihre regulären Workflows ein:
- Richten Sie Alarmierungswege für kritische Erkennungen ein (z. B. Spitzen bei Legacy-Authentifizierung, dauerhafte MFA-Fehlschläge).
- Veröffentlichen Sie monatliche Sicherheits-Scorecards zu Anmeldungen pro Mandant: Anteil Legacy-Authentifizierung, MFA-Fehlerquote, risikoreiche Anmeldungen, Geo-Anomalien und Mittlere Reparaturzeit (MTTR).
- Verfolgen Sie Maßnahmen zur Behebung (Legacy-Protokolle deaktivieren, Conditional Access verschärfen, Benutzer:innen schulen) und bestätigen Sie die Verbesserung in der Auswertung des Folgemonats.
So entsteht ein geschlossener Regelkreis, der Risiken senkt und den Nutzen sichtbar macht. Die Audit-Pipeline fügt sich damit nahtlos in Ihren Betrieb ein.
Ideen für die NinjaOne-Integration bei der Verarbeitung von Microsoft Entra-Anmeldeprotokollen und weiteren Daten
- Automatisierung: Führen Sie geplante PowerShell-Skripte aus und kennzeichnen Sie Mandanten nach Zustimmungsstatus und Zustand der Erfassung.
- Überwachung: Richten Sie eine Alarmierung für fehlgeschlagene Jobs, leere Exporte oder ungewöhnliche Erkennungsspitzen ein.
Quick-Start-Guide
Für den Aufbau einer solchen Pipeline brauchen Sie in der Regel Folgendes:
1. Entra ID einrichten: Stellen Sie sicher, dass Sie mehrere Mandanten in Entra ID konfiguriert haben.
2. Microsoft Graph API nutzen: Greifen Sie über die Microsoft Graph API mandantenübergreifend auf Anmeldeprotokolle zu.
3. PowerShell-Module: Verwenden Sie Module wie Microsoft.Graph für PowerShell, um mit Entra ID zu interagieren.
4. Skripting: Schreiben Sie PowerShell-Skripte, um Anmeldeprotokolle abzufragen, Auditdaten zu filtern und Berichte zu exportieren.
Mit Microsoft Entra Audit-Logs den Betrieb verbessern
Eine Pipeline auf Basis von Microsoft Graph und PowerShell macht aus Entra-Anmeldeprotokollen ein wirkungsvolles Betriebsinstrument. Sie erhalten eine wiederholbare Erfassung, verlässliche Erkennungen und auditfähige Nachweise.
Verwandte Themen:
