Apps with high-risk permissions having a direct path to Global Admin
Γιατί Έχει Σημασία
Οι εφαρμογές με δικαιώματα Microsoft Graph επιπέδου-0 μπορούν να παραχωρήσουν άμεση διοικητική πρόσβαση στον tenant σας, συμπεριλαμβανομένων πλήρων δικαιωμάτων Global Admin. Εάν ένας κακόβουλος χρήστης αποκτήσει τον έλεγχο μιας τέτοιας εφαρμογής ή εκμεταλλευτεί τα δικαιώματά της, μπορεί να καταλάβει ολόκληρο τον tenant, να αποκτήσει πρόσβαση σε ευαίσθητα δεδομένα και να θέσει σε κίνδυνο όλους τους λογαριασμούς χρηστών. Οι διαχειριστές IT πρέπει να ελέγχουν τακτικά τα δικαιώματα εφαρμογών υψηλού κινδύνου για την πρόληψη επιθέσεων πλευρικής μετακίνησης και κλιμάκωσης προνομίων.
Τι Ελέγχει το Aether365
Αυτός ο έλεγχος Aether365, που αναφέρεται ως έλεγχος microsoft-365 στον πίνακα ελέγχου σας, εντοπίζει οποιαδήποτε εφαρμογή είναι καταχωρημένη στον tenant σας και διαθέτει δικαιώματα υψηλού κινδύνου Microsoft Graph με άμεση πρόσβαση στο Global Admin. Επισημαίνει εφαρμογές όπου τέτοια δικαιώματα θα μπορούσαν να επιτρέψουν πλήρη κατάληψη του tenant εάν η εφαρμογή παραβιαστεί.
Πώς να Διορθώσετε
Για να ελέγξετε και να διορθώσετε δικαιώματα εφαρμογών υψηλού κινδύνου:
- Συνδεθείτε στο Microsoft Entra admin center.
- Αναπτύξτε την επιλογή Identity > Applications και επιλέξτε All applications.
- Εντοπίστε την επισημασμένη εφαρμογή και κάντε κλικ στο όνομά της για να ανοίξετε τη σελίδα επισκόπησης.
- Στην ενότητα Manage, επιλέξτε API permissions.
- Ελέγξτε όλα τα δικαιώματα Microsoft Graph για εμβέλειες επιπέδου-0 ή υψηλού κινδύνου, όπως
User.Read.All,Directory.ReadWrite.AllήAppRoleAssignment.ReadWrite.All. - Καταργήστε τυχόν περιττά δικαιώματα υψηλού κινδύνου κάνοντας κλικ στις τρεις τελείες (περισσότερες επιλογές) δίπλα στο δικαίωμα και επιλέγοντας Remove.
- Βεβαιωθείτε ότι μόνο εξουσιοδοτημένοι χρήστες και κύριοι υπηρεσιών (service principals) έχουν πρόσβαση στην εφαρμογή, τα μυστικά (secrets) και τα πιστοποιητικά της. Ανανεώστε άμεσα τυχόν παραβιασμένα διαπιστευτήρια.
Συμμόρφωση
Αυτός ο έλεγχος ασφαλείας αντιστοιχίζεται στα ακόλουθα πλαίσια και πρότυπα:
- Δεν αντιστοιχίζεται άμεσα σε συγκεκριμένο πλαίσιο· αποτελεί εσωτερική βέλτιστη πρακτική ελέγχου του Aether365.
Σχετικοί Πόροι
- Microsoft Learn: Προστασία από κλιμάκωση προνομίων με δικαιώματα εφαρμογών
- Οδηγός καταχώρησης εφαρμογών του Microsoft Entra admin center