Apps with high-risk permissions having a direct path to Global Admin
Proč na tom záleží
Aplikace s oprávněními Microsoft Graph na úrovni tier-0 mohou poskytnout přímý administrativní přístup k vašemu tenantovi, včetně plných oprávnění globálního správce. Pokud se škodlivému aktérovi podaří získat kontrolu nad takovou aplikací nebo zneužít její oprávnění, může převzít celého tenanta, získat přístup k citlivým datům a ohrozit všechny uživatelské účty. Správci IT musí pravidelně auditovat vysoce riziková oprávnění aplikací, aby zabránili laterálnímu pohybu a eskalaci oprávnění.
Co Aether365 kontroluje
Tato kontrola Aether365, uvedená v části microsoft-365 checks na vašem dashboardu, identifikuje jakoukoli aplikaci registrovanou ve vašem tenantovi, která má vysoce riziková oprávnění Microsoft Graph s přímou cestou k oprávněním globálního správce. Označuje aplikace, u kterých by tato oprávnění mohla umožnit úplné převzetí tenanta v případě kompromitace aplikace.
Jak opravit
Pro kontrolu a nápravu vysoce rizikových oprávnění aplikací:
- Přihlaste se do Microsoft Entra admin center.
- Rozbalte položku Identity > Applications a vyberte All applications.
- Najděte označenou aplikaci a kliknutím na její název otevřete stránku s přehledem.
- V části Manage vyberte API permissions.
- Zkontrolujte všechna oprávnění Microsoft Graph pro rozsahy tier-0 nebo vysoce rizikové rozsahy, jako jsou
User.Read.All,Directory.ReadWrite.AllneboAppRoleAssignment.ReadWrite.All. - Odstraňte všechna nepotřebná vysoce riziková oprávnění kliknutím na tři tečky (další možnosti) vedle oprávnění a výběrem možnosti Remove.
- Ověřte, že k aplikaci, jejím tajným klíčům a certifikátům mají přístup pouze autorizovaní uživatelé a instanční objekty. Okamžitě rotujte všechny kompromitované přihlašovací údaje.
Shoda s předpisy
Tato bezpečnostní kontrola se vztahuje k následujícím rámcům a standardům:
- Není přímo mapována na konkrétní rámec; jedná se o interní kontrolu osvědčených postupů Aether365.
Související zdroje
- Microsoft Learn: Ochrana před eskalací oprávnění pomocí oprávnění aplikací
- Průvodce registrací aplikací v Microsoft Entra admin center