Apps with high-risk permissions having a direct path to Global Admin
Miks See Oluline On
Rakendused, millel on taseme-0 Microsoft Graph'i õigused, võivad anda otsese administratiivse juurdepääsu teie tenantile, sealhulgas täielikud Global Admin'i privileegid. Kui pahatahtlik tegutseja saab sellise rakenduse üle kontrolli või kasutab ära selle õigusi, võib ta üle võtta kogu tenanti, pääseda ligi tundlikele andmetele ja ohustada kõiki kasutajakontosid. IT-administraatorid peavad regulaarselt auditeerima kõrge riskitasemega rakenduse õigusi, et vältida külgsuunalist liikumist ja privileegide eskaleerimise rünnakuid.
Mida Aether365 Kontrollib
See Aether365 kontroll, mis on teie töölaual loetletud microsoft-365 kontrollide all, tuvastab teie tenantis registreeritud rakendused, millel on kõrge riskitasemega Microsoft Graph'i õigused, mis tagavad otsese tee Global Admin'ini. See märgistab rakendused, kus sellised õigused võimaldaksid kogu tenanti üle võtta, kui rakendus peaks kompromiteeritama.
Kuidas Parandada
Rakenduste kõrge riskitasemega õiguste ülevaatamiseks ja parandamiseks:
- Logige sisse Microsoft Entra admin center'i.
- Laiendage Identity > Applications ja valige All applications.
- Leidke märgistatud rakendus ja klõpsake selle nime, et avada ülevaateleht.
- Valige Manage all API permissions.
- Vaadake üle kõik Microsoft Graph õigused taseme-0 või kõrge riskitasemega ulatuste jaoks, nagu
User.Read.All,Directory.ReadWrite.AllvõiAppRoleAssignment.ReadWrite.All. - Eemaldage kõik mittevajalikud kõrge riskitasemega õigused, klõpsates kolmel punktil (rohkem valikuid) õiguse kõrval ja valides Remove.
- Veenduge, et ainult volitatud kasutajad ja teenusepõhimõtted (service principals) omavad juurdepääsu rakendusele, selle saladustele ja sertifikaatidele. Vahetage viivitamatult kõik kompromiteeritud mandaadid.
Vastavus
See turvakontroll vastab järgmistele raamistikele ja standarditele:
- Pole otseselt seotud konkreetse raamistikuga; see on sisemine Aether365 parima tava kontroll.
Seotud Ressursid
- Microsoft Learn: Kaitske privilegeeritud eskaleerimise eest rakenduse õigustega
- Microsoft Entra admin center'i rakenduse registreerimise juhend