Apps with high-risk permissions having a direct path to Global Admin
Perché è Importante
Le applicazioni con autorizzazioni Microsoft Graph di livello 0 possono concedere accesso amministrativo diretto al tenant, inclusi i privilegi completi di amministratore globale. Se un attore malevolo prende il controllo di tale applicazione o sfrutta le sue autorizzazioni, può assumere il controllo dell'intero tenant, accedere a dati sensibili e compromettere tutti gli account utente. Gli amministratori IT devono controllare regolarmente le autorizzazioni delle app ad alto rischio per prevenire attacchi di movimento laterale ed escalation dei privilegi.
Cosa Controlla Aether365
Questo controllo Aether365, elencato sotto microsoft-365 checks nel tuo dashboard, identifica qualsiasi applicazione registrata nel tuo tenant che dispone di autorizzazioni Microsoft Graph ad alto rischio con un percorso diretto verso l'amministratore globale. Segnala le app in cui tali autorizzazioni potrebbero consentire la completa compromissione del tenant se l'applicazione venisse violata.
Come Risolvere
Per rivedere e correggere le autorizzazioni delle applicazioni ad alto rischio:
- Accedi al Microsoft Entra admin center.
- Espandi Identity > Applications e seleziona All applications.
- Individua l'applicazione segnalata e fai clic sul suo nome per aprire la pagina di panoramica.
- In Manage, seleziona API permissions.
- Rivedi tutte le autorizzazioni Microsoft Graph per ambiti di livello 0 o ad alto rischio come
User.Read.All,Directory.ReadWrite.AlloAppRoleAssignment.ReadWrite.All. - Rimuovi eventuali autorizzazioni ad alto rischio non necessarie facendo clic sui tre puntini (altre opzioni) accanto all'autorizzazione e selezionando Remove.
- Verifica che solo utenti e service principal autorizzati abbiano accesso all'applicazione, ai suoi segreti e ai certificati. Ruota immediatamente eventuali credenziali compromesse.
Conformità
Questo controllo di sicurezza è mappato ai seguenti framework e standard:
- Non direttamente mappato a un framework specifico; è un controllo interno delle best practice di Aether365.
Risorse Correlate
- Microsoft Learn: Proteggere dall'escalation dei privilegi con le autorizzazioni delle applicazioni
- Guida alla registrazione delle applicazioni del Microsoft Entra admin center