Einführung in Microsoft Global Secure Access (GSA)
Einleitung
Allgemein verfügbar und mit fast jedem Release grösser: Global Secure Access. Als Teil des Identity-Security-Portfolios von Microsoft Entra ist GSA die neue Komponente für Netzwerksicherheit, die ganzheitliche Sicherheit liefert.
Global Secure Access in Microsoft Entra vereint Internet Access und Private Access auf Basis von Zero-Trust-Prinzipien. Es sichert den Zugriff auf SaaS-Apps, das Internet und private Ressourcen, schützt Benutzer und Daten mit verschiedenen Security-Komponenten und ermöglicht ortsunabhängigen Zugriff auf interne Ressourcen. Der Dienst läuft über das globale Netzwerk von Microsoft, optimiert Sicherheit und Performance und ist in Microsoft Entra Security integriert.
Warum ich GSA mag
- Alles ist ins Microsoft-Ökosystem integriert und ergibt eine ganzheitliche Security-Architektur
- Zugriff auf On-Premises-Apps ohne zusätzliche Software von Drittanbietern und gesicherter Web-Traffic ins Internet
- Setup und Konfiguration sind sehr einfach
- Keine Wartungsarbeiten und laufende Verbesserungen durch Microsoft 😉
Identitätszentrierte SSE-Lösung
SSE 🌐
Der Network Security Service Edge von Microsoft setzt Security Policies wie Threat Protection und Zugriffskontrolle direkt am Edge durch, nahe beim Benutzer, ohne klassische Netzwerk-Security-Tools. Er läuft auf Microsofts globalem Netzwerk mit über 190 Edge Sites und liefert so Verbindungen mit tiefer Latenz und hoher Performance sowie sicheren Zugriff auf Apps und Ressourcen überall auf der Welt.
Ziele 🎯
- Sicherheit durch identitätsgesteuerten Zugriff stärken
- Networking, aber Cloud-native, mit dem Ziel, die Sicherheit zu erhöhen durch:
-
- Policy-Profile anwenden / Traffic routen
- Web-Filtering-Policies festlegen
- Anbindung an Conditional-Access-Policies, um Zugriffskontrollen durchzusetzen
- Grenzen zwischen Firmen-/privaten Netzwerken und öffentlichen Netzwerken überbrücken
- Das globale Backbone-Netzwerk von Microsoft für optimierte Konnektivität nutzen
- Eine reibungslose Benutzererfahrung bieten
Anwendungsfälle
Diese Anwendungsfälle sind bei Kunden und ihrer GSA-Nutzung am verbreitetsten:
- VPN > RDP mit Conditional Access + moderner Authentifizierung auf On-Premises-Server
- Gängige Web-Content-Kategorien einschränken
- Compliant Device verlangen, um auf Netzwerkressourcen zuzugreifen (Signal in CA)
- Internetzugriff auf spezialisierten Endpoints einschränken
- Netzwerk-Traffic überwachen und Einschränkungen anwenden
Security 🔐
- Das neue Produkt ist Teil von Entra und integriert sich direkt in Identity Protection und Conditional Access, um sichere Authentifizierung zu liefern, Tenant Restrictions anzuwenden oder (Risiko-)Signale zu erkennen und mit Aktivitätsdaten zu korrelieren, nach den Prinzipien von Zero Trust
- Der Global Secure Access Client für Windows, macOS, Android und iOS/iPadOS ist ein Agent, der Netzwerk-Traffic überwachen, über das Microsoft-Backbone routen und Kontrollen anwenden kann
- Oder konfiguriere ein Remote Network, bei dem sich die Customer Premises Equipment (CPE) deines Netzwerks über einen IPSec-Tunnel mit dem Global-Secure-Access-Dienst verbindet (dafür ist keine Client-Installation nötig, es hängt aber vom Netzwerk ab)
- Defender for Cloud Apps liefert weitere Einblicke als Cloud Access Security Broker (CASB) zwischen der Kommunikation deiner Identitäten und Cloud-Apps und erlaubt Policies für App Governance
Access Channels 🚦
Der Traffic aus drei App-/Ressourcenkanälen lässt sich unterschiedlich behandeln:
- Microsoft traffic: der gesamte Traffic zu unterstützten Microsoft-Diensten wie Microsoft 365
- Private Access: Traffic zu On-Premises gehosteten Apps
- Internet Access: Traffic zu jedem anderen Netzwerk bzw. dem Internet
Komponenten
| Begriff | Beschreibung | Microsoft-Lösung |
|---|---|---|
| Software-defined wide area network (SD-WAN) | Technologie, die mehrere Quellen der Netzwerkkonnektivität optimiert und verwaltet, um Leistung, Effizienz, Verwaltbarkeit und Sicherheit von Weitverkehrsnetzen zu verbessern | Entra SSE |
| Secure web gateway (SWG) | Schutz am Netzwerkrand, der den Traffic für bestimmte Netzwerke filtert | Microsoft Entra Internet Access |
| Cloud access security broker (CASB) | Security-Lösung, die Transparenz und Kontrolle über Daten und Anwendungen bietet, während sie zwischen der On-Premises-Infrastruktur einer Organisation und Cloud-Umgebungen wandern | Microsoft Defender for Cloud Apps |
| Firewall as a service (FWaaS) | Cloud-basierte Security-Lösung, die Firewall-Funktionen wie Traffic-Filterung, Netzwerkschutz und Policies liefert | Microsoft Entra Internet Access |
| Zero Trust Network Access (ZTNA) | Security-Framework, das Zero Trust und Least Privilege verlangt: Alle Identitäten müssen authentifiziert, autorisiert und laufend validiert werden, bevor sie Zugriff auf private Firmenanwendungen und Daten erhalten | Microsoft Entra Private Access |
Voraussetzungen
| Voraussetzung | Beschreibung |
|---|---|
| Lizenzierung | - Microsoft traffic profile: ✅ in Entra ID P1/P2 enthalten - Internet Access und Private Access: Entra Suite oder Einzellizenz, zusätzlich zu Entra ID P1/P2 - Remote Networks: mindestens 50 Lizenzen insgesamt |
| Netzwerk-Endpoints | Microsoft-365-Endpoints |
| Geräte | - Windows: Entra joined oder Hybrid joined (Entra registered in Preview, nur Private Access) - Jeweils aktuelle Versionen von: - Windows 11, x64 oder Arm64 (eigener Installer für Arm) - Windows 365 und AVD Single-Session ✅, AVD Multi-Session ❌ - macOS - Android - iOS/iPadOS |
| Rollen | - Global Secure Access Administrator - Conditional Access Administrator für die Policies - Application Administrator für Connectors und Private-Access-Apps - Global Admin ist nicht nötig |
| Browser-Einstellungen | - QUIC und DNS over HTTPS in Edge, Chrome und Firefox deaktivieren (Intune Settings Catalog) - IPv4 bevorzugen, sonst umgeht Traffic Internet Access |
| Client-Software | - Global Secure Access Client installiert |
| Conditional Access | - Optional, aber empfohlen |
Conditional-Access-Integration
Conditional Access aktiviert und erzwingt die GSA-Channel-Profile. Es steuert die Durchsetzung von Private Access und Internet Access, sodass sich bekannte Policies anwenden lassen.
- Mit verschiedenen Conditional-Access-Policies lassen sich bestimmte Benutzergruppen ansprechen und unterschiedliche Sicherheitsstandards anwenden
- Private Access wird in Conditional Access als Ziel-App behandelt (GSA-fähig)
- Internet Access wird als Traffic Profile behandelt und über Session Control durchgesetzt
Mehr zu Conditional Access:
Internet Access
Mit Internet Access von Global Secure Access lassen sich der Zugriff auf Internetressourcen und Apps absichern, ähnlich wie mit einem Proxy. Das ist möglich:
- Websitezugriff mit Security Policies und Conditional Access erlauben oder blockieren
- Web-Content-Filtering-Policies nach Kategorien anwenden
- Traffic überwachen
Setup und Voraussetzungen
Stelle diese Voraussetzungen sicher:
- Rolle Global Secure Access Administrator
- Entra-joined Windows-Testgerät
Das sind die wichtigsten Schritte für das Setup:
- GSA für den Tenant aktivieren (falls noch nicht geschehen)
- Internet Access Profile aktivieren
- Security Profiles und Web-Content-Filter-Regeln erstellen
- Global Secure Access Client installieren
- Mit Conditional Access kombinieren
1. Internet Access Profile aktivieren
Gehe zu Entra > GSA > Connect > Traffic forwarding und aktiviere Internet Access auf Tenant-Ebene als Feature
2. Security Profiles und Web-Content-Filter-Regeln erstellen
Die eigentliche Konfiguration findet unter Global Secure Access > Secure statt:
- Security Profiles: Policy-Profile, die Conditional Access zugewiesen werden. Sie enthalten Regeln aus Web-Content-Filtering-Policies (eine eindeutige Priorität bestimmt, welches Vorrang hat)
Die Konfiguration ist recht einfach, du musst nur Folgendes tun:
- Ein Security Profile erstellen und die Priorität wählen (❗️ Das Baseline Profile mit Priorität 65000 gilt für den gesamten Internet-Access-Traffic, auch für Remote Networks, ohne Conditional Access. Es hat die niedrigste Priorität, deshalb gewinnen Profile, die über Conditional Access verknüpft sind)
- Bestehende Web-Content-Filtering-Policies verknüpfen oder neue erstellen
- Bei einer neuen Policy den Aktionstyp festlegen, entweder «allow» oder «block», und darin eine oder mehrere Regeln erstellen. Auch hier kannst du zwischen einer vordefinierten Kategorie von Microsoft oder einem eigenen FQDN (mit Wildcards) wählen
Private Access
Mit Private Access von Global Secure Access wird der Zugriff auf interne Ressourcen und Apps möglich, ähnlich wie ein VPN-Zugriff, aber App-basiert und voll in Entra ID integriert.
- Ermöglicht app-spezifischen Zugriff aus jedem Netzwerk auf On-Premises-Ressourcen
- Modernisiert und sichert Authentifizierung und Zugriff für Legacy-Apps mit Conditional Access
Schritte
- Microsoft Entra Private Access aktivieren
- Global Secure Access Client herunterladen und installieren
- Quick Access konfigurieren
- Conditional-Access-Policy umsetzen
Setup und Voraussetzungen
Als Voraussetzung musst du einen Microsoft Entra private network connector (früher Application-Proxy-Connector) auf einem aktuellen Windows Server installieren. Ich empfehle mindestens zwei für Hochverfügbarkeit. Wichtig ist, dass dieser Connector Konnektivität zur internen Ressource hat (im Kern IP oder FQDN), die wir später angeben.
1. Microsoft Entra Private Access aktivieren
Gehe ins Microsoft Entra admin center und klappe den Bereich Global Secure Access auf. Eventuell musst du dieses Feature zuerst für den Tenant aktivieren.
Gehe zu Traffic forwarding und stelle sicher, dass das Private-access-Profil aktiviert ist. (Fürs Troubleshooting kannst du es auch aus- und wieder einschalten)
2. Global Secure Access Client herunterladen und installieren
Installiere die Client-Datei auf einem beliebigen Gerät und melde dich mit deinem Entra-ID-Konto an.
3. Quick Access konfigurieren
Quick Access ist eine Enterprise Application in deinem Tenant, die von Microsoft Entra SSE stammt. Wie du siehst, ist das eine Global-Secure-Access-Anwendung, bei der ein neuer Tab Network access properties sichtbar ist. Das legst du hier fest:
- Eine (App-Proxy-)Connector-Gruppe wählen
- Einen oder mehrere Einträge für Application Segments hinzufügen / die IP oder den FQDN einer beliebigen internen Ressource und den Port angeben (3389 für RDP, 445 für SMB)
4. Conditional-Access-Policy umsetzen
Erstelle eine neue Conditional-Access-Policy und füge die Quick-Access-App (sie lässt sich im GSA-Segment auch umbenennen) als Zielressource hinzu. Wähle «Grant access» und eine der Kontrollen. Bei mir habe ich eine Authentication Strength hinzugefügt, damit die Verbindung MFA verlangt. Damit bei jeder Verbindung nach MFA gefragt wird, kombiniere sie mit der Sign-in Frequency «Every time».
Was seit 2025 neu ist
Seit diesem Post hat Microsoft viel ausgeliefert. Diese Features würde ich mir zuerst ansehen:
- TLS inspection, um Web Filtering und Policies auf verschlüsselten Traffic anzuwenden
- Threat intelligence filtering, um bekannte bösartige Ziele zu blockieren
- AI-Kontrollen wie Shadow AI discovery und Prompt-Injection-Schutz, mehr dazu in meinem Post How to control AI with GSA
- Network content filtering für Data Loss Prevention mit Microsoft Purview
- Private DNS und Kerberos SSO für Private-Access-Apps
Was heisst das für Schweizer Firmen?
- Lizenz: Das Microsoft traffic profile ist in Entra ID P1/P2 enthalten. Internet Access und Private Access brauchen zusätzlich Entra Suite oder eine Einzellizenz. Plane das vor dem Pilot ein
- Remote Networks verlangen mindestens 50 Lizenzen insgesamt. Für kleinere Firmen ist darum meist der Client der praktische Weg
- Private Access ist für Firmen mit On-Premises-Servern und VPN der naheliegende Einstieg: App-basierter Zugriff mit Conditional Access statt Netzwerkzugriff für alle
- revDSG: Traffic-Logs enthalten personenbezogene Daten (Benutzer, Gerät, Ziel). Kläre Zweck, Aufbewahrung und Information der Mitarbeitenden, bevor du Internet Access breit ausrollst
Fazit
Aus meiner Sicht erweitert Microsoft sein Identity-Portfolio um Netzwerktechnologie, um die Sicherheit zu erhöhen und neue Features zu liefern, die bisher anderen Anbietern vorbehalten waren.
Für eine Organisation mit einer Single-Vendor- und Cloud-Strategie ist das eine sehr willkommene Ergänzung im Technologie-Stack. Netzwerk-Traffic wird so zu einer wichtigeren Quelle als je zuvor, um mit Entra ID, Enterprise-App-Verwaltung und Conditional Access (und mehr) den Internet Access auf externe Ressourcen zu steuern. Und für Private Access eröffnet das ganz neue Möglichkeiten, indem On-Premises-Apps, -Ressourcen und -Protokolle an Endpoints angebunden werden.
Microsoft Global Secure Access ist eine starke Ergänzung im Microsoft-Cloud-Security-Ökosystem.
powered by Oceanleaf
Verwandte Beiträge
