Apps with high-risk permissions having a direct path to Global Admin
Por qué es importante
Las aplicaciones con permisos de Microsoft Graph de nivel 0 pueden conceder acceso administrativo directo a su inquilino, incluidos todos los privilegios de Administrador Global. Si un actor malintencionado toma el control de dicha aplicación o explota sus permisos, podría apoderarse de todo el inquilino, acceder a datos confidenciales y comprometer todas las cuentas de usuario. Los administradores de TI deben auditar periódicamente los permisos de aplicaciones de alto riesgo para evitar ataques de movimiento lateral y escalada de privilegios.
Qué comprueba Aether365
Esta comprobación de Aether365, incluida en microsoft-365 checks dentro de su panel de control, identifica cualquier aplicación registrada en su inquilino que tenga permisos de Microsoft Graph de alto riesgo con una ruta directa al rol de Administrador Global. Marca las aplicaciones cuyos permisos podrían permitir la toma total del inquilino si la aplicación se viera comprometida.
Cómo solucionarlo
Para revisar y corregir los permisos de aplicaciones de alto riesgo:
- Inicie sesión en el Microsoft Entra admin center.
- Expanda Identity > Applications y seleccione All applications.
- Localice la aplicación marcada y haga clic en su nombre para abrir la página de información general.
- En Manage, seleccione API permissions.
- Revise todos los permisos de Microsoft Graph para alcances de nivel 0 o alto riesgo como
User.Read.All,Directory.ReadWrite.AlloAppRoleAssignment.ReadWrite.All. - Elimine los permisos de alto riesgo innecesarios haciendo clic en los tres puntos (más opciones) junto al permiso y seleccionando Remove.
- Verifique que solo los usuarios y los service principals autorizados tengan acceso a la aplicación, sus secretos y certificados. Rote inmediatamente cualquier credencial comprometida.
Cumplimiento normativo
Esta comprobación de seguridad se asigna a los siguientes marcos y estándares:
- No está asignada directamente a un marco específico; es una comprobación interna de las mejores prácticas de Aether365.
Recursos relacionados
- Microsoft Learn: Protección contra la escalada de privilegios con permisos de aplicaciones
- Guía de registro de aplicaciones del Microsoft Entra admin center