Apps with high-risk permissions having an indirect path to Global Admin
Warum dies wichtig ist
Anwendungen mit Microsoft Graph-Berechtigungen mit hohem Risiko können einen indirekten Pfad zu einem Globalen Administrator schaffen und einem Angreifer die vollständige Übernahme eines Mandanten ermöglichen. Wenn eine Anwendung über Berechtigungen der Stufe 0 verfügt, kann ein Angreifer, der deren Anmeldeinformationen oder Geheimnisse kompromittiert, die Berechtigungen ohne direkte Zuweisung erweitern. Dieses Risiko ist besonders gefährlich, da es die üblichen administrativen Kontrollen umgeht und über längere Zeiträume unentdeckt bleiben kann.
Was Aether365 prüft
Diese Prüfung identifiziert Anwendungen in Ihrem Microsoft 365-Mandanten, denen Microsoft Graph-Berechtigungen der Stufe 0 zugewiesen sind und die einen indirekten Pfad zu einem Globalen Administrator bieten könnten. Im Aether365-Dashboard im Bereich der microsoft-365-Prüfungen durchsucht sie alle registrierten Anwendungen und markiert jene mit risikoreichen Berechtigungssätzen, die eine Rechteausweitung ermöglichen könnten.
So beheben Sie das Problem
Überprüfen Sie die Anwendungsberechtigungen über das Microsoft Entra admin center.
- Melden Sie sich beim Microsoft Entra admin center an.
- Navigieren Sie zu Identity, dann zu Applications, und wählen Sie All applications aus.
- Suchen Sie die markierte Anwendung und öffnen Sie deren Details.
- Gehen Sie zu API permissions und überprüfen Sie die aufgelisteten Microsoft Graph-Berechtigungen.
- Entfernen Sie alle risikoreichen Berechtigungen, die für die Funktion der Anwendung nicht unbedingt erforderlich sind.
- Stellen Sie sicher, dass nur autorisierte Benutzer und Dienste Zugriff auf die Anwendung sowie deren Geheimnisse oder Zertifikate haben.
Compliance
Diese Prüfung ist nicht direkt einem bestimmten Compliance-Framework zugeordnet, unterstützt jedoch die Sicherheitsbest Practices von Microsoft und CISA zur Begrenzung risikoreicher Anwendungsberechtigungen.
Verwandte Ressourcen
- Microsoft Graph permissions reference
- Privileged identity management for applications
- Secure application access in Microsoft Entra ID