Apps with high-risk permissions having an indirect path to Global Admin

Por que es importante

Las aplicaciones con permisos de Graph de alto riesgo pueden crear una ruta indirecta hacia el rol de Administrador Global, lo que permite que un actor malintencionado tome el control completo del inquilino. Si una aplicacion tiene permisos de nivel 0, un atacante que comprometa sus credenciales o secretos puede escalar privilegios sin una asignacion directa. Este riesgo es particularmente peligroso porque evade los controles administrativos estandar y puede pasar desapercibido durante periodos prolongados.

Que comprueba Aether365

Esta comprobacion identifica aplicaciones en su inquilino de Microsoft 365 que tienen asignados permisos de Microsoft Graph de nivel 0 y que podrian proporcionar una ruta indirecta hacia el rol de Administrador Global. En el panel de Aether365, en la seccion de comprobaciones de microsoft-365, analiza todas las aplicaciones registradas y marca aquellas con conjuntos de permisos de alto riesgo que podrian permitir la escalada de privilegios.

Como corregirlo

Revise los permisos de las aplicaciones mediante el Microsoft Entra admin center.

1. Inicie sesion en el Microsoft Entra admin center.
2. Navegue a Identity, luego a Applications y seleccione All applications.
3. Localice la aplicacion marcada y abra sus detalles.
4. Vaya a API permissions y examine los permisos de Microsoft Graph que aparecen.
5. Elimine cualquier permiso de alto riesgo que no sea estrictamente necesario para la funcion de la aplicacion.
6. Verifique que solo los usuarios y servicios autorizados tengan acceso a la aplicacion y a sus secretos o certificados.

Cumplimiento normativo

Esta comprobacion no se asigna directamente a un marco de cumplimiento normativo especifico, pero respalda las practicas recomendadas de seguridad de Microsoft y CISA para limitar los permisos de aplicaciones de alto riesgo.

Recursos relacionados

• Microsoft Graph permissions reference
• Privileged identity management for applications
• Secure application access in Microsoft Entra ID

Microsoft references

• Permissions reference