Apps with high-risk permissions having a direct path to Global Admin
Pourquoi cela est important
Les applications disposant d'autorisations Microsoft Graph de niveau 0 peuvent accorder un accès administratif direct à votre locataire, y compris les privilèges complets d'administrateur général. Si un acteur malveillant prend le contrôle d'une telle application ou exploite ses autorisations, il peut s'emparer de l'ensemble du locataire, accéder aux données sensibles et compromettre tous les comptes utilisateurs. Les administrateurs informatiques doivent auditer régulièrement les autorisations d'applications à haut risque pour empêcher les mouvements latéraux et les attaques par élévation de privilèges.
Ce que vérifie Aether365
Cette vérification Aether365, listée sous les vérifications microsoft-365 dans votre tableau de bord, identifie toute application enregistrée dans votre locataire qui possède des autorisations Microsoft Graph à haut risque offrant un accès direct à l'administrateur général. Elle signale les applications dont ces autorisations pourraient permettre une prise de contrôle complète du locataire en cas de compromission de l'application.
Comment résoudre le problème
Pour examiner et corriger les autorisations d'applications à haut risque :
- Connectez-vous au Microsoft Entra admin center.
- Développez Identity > Applications et sélectionnez All applications.
- Localisez l'application signalée et cliquez sur son nom pour ouvrir sa page d'aperçu.
- Sous Manage, sélectionnez API permissions.
- Examinez toutes les autorisations Microsoft Graph pour détecter des étendues de niveau 0 ou à haut risque comme
User.Read.All,Directory.ReadWrite.AllouAppRoleAssignment.ReadWrite.All. - Supprimez toute autorisation à haut risque inutile en cliquant sur les trois points (plus d'options) à côté de l'autorisation et en sélectionnant Remove.
- Vérifiez que seuls des utilisateurs et principaux de service autorisés ont accès à l'application, à ses secrets et à ses certificats. Effectuez immédiatement une rotation des informations d'identification compromises.
Conformité
Cette vérification de sécurité correspond aux cadres et normes suivants :
- Non mappée directement à un cadre spécifique ; il s'agit d'une vérification interne des bonnes pratiques d'Aether365.
Ressources connexes
- Microsoft Learn: Protect against privilege escalation with application permissions
- Microsoft Entra admin center application registration guide