Apps with high-risk permissions having a direct path to Global Admin
Warum dies wichtig ist
Anwendungen mit Microsoft Graph-Berechtigungen der Stufe 0 können direkten administrativen Zugriff auf Ihren Mandanten gewähren, einschließlich vollständiger Global Admin-Berechtigungen. Wenn ein Angreifer die Kontrolle über eine solche Anwendung erlangt oder deren Berechtigungen ausnutzt, kann er den gesamten Mandanten übernehmen, auf sensible Daten zugreifen und alle Benutzerkonten kompromittieren. IT-Administratoren müssen regelmäßig Berechtigungen mit hohem Risiko prüfen, um laterale Bewegungen und Berechtigungsausweitungsangriffe zu verhindern.
Was Aether365 prüft
Diese Aether365-Prüfung, die in Ihrem Dashboard unter den Prüfungen für Microsoft 365 aufgeführt ist, identifiziert jede in Ihrem Mandanten registrierte Anwendung, die Microsoft Graph-Berechtigungen mit hohem Risiko und einem direkten Pfad zu Global Admin besitzt. Sie kennzeichnet Apps, bei denen solche Berechtigungen eine vollständige Mandantenübernahme ermöglichen könnten, falls die Anwendung kompromittiert wird.
Behebung
So überprüfen und beheben Sie Anwendungsberechtigungen mit hohem Risiko:
- Melden Sie sich im Microsoft Entra admin center an.
- Erweitern Sie Identity > Applications und wählen Sie All applications aus.
- Suchen Sie die gekennzeichnete Anwendung und klicken Sie auf deren Namen, um die Übersichtsseite zu öffnen.
- Wählen Sie unter Manage die Option API permissions aus.
- Überprüfen Sie alle Microsoft Graph-Berechtigungen auf Stufe-0-Bereiche oder Bereiche mit hohem Risiko wie
User.Read.All,Directory.ReadWrite.AlloderAppRoleAssignment.ReadWrite.All. - Entfernen Sie nicht benötigte Berechtigungen mit hohem Risiko, indem Sie auf die drei Punkte (Weitere Optionen) neben der Berechtigung klicken und Remove auswählen.
- Stellen Sie sicher, dass nur autorisierte Benutzer und Dienstprinzipale Zugriff auf die Anwendung, ihre Geheimnisse und Zertifikate haben. Rotieren Sie umgehend alle kompromittierten Anmeldeinformationen.
Compliance
Diese Sicherheitsprüfung ist folgenden Rahmenwerken und Standards zugeordnet:
- Keine direkte Zuordnung zu einem bestimmten Rahmenwerk; es handelt sich um eine interne Aether365-Best-Practice-Prüfung.
Verwandte Ressourcen
- Microsoft Learn: Schutz vor Berechtigungsausweitung durch Anwendungsberechtigungen
- Microsoft Entra admin center Leitfaden zur Anwendungsregistrierung