Apps with high-risk permissions having a direct path to Global Admin
De ce este important
Aplicațiile cu permisiuni Microsoft Graph de nivel 0 pot acorda acces administrativ direct la entitatea dvs. găzduită, inclusiv privilegii complete de Administrator Global. Dacă un actor malițios preia controlul asupra unei astfel de aplicații sau exploatează permisiunile acesteia, poate prelua întreaga entitate găzduită, poate accesa date sensibile și poate compromite toate conturile de utilizator. Administratorii IT trebuie să auditeze periodic permisiunile aplicațiilor cu risc ridicat pentru a preveni atacurile de deplasare laterală și de escaladare a privilegiilor.
Ce verifică Aether365
Această verificare Aether365, listată sub verificări microsoft-365 în tabloul de bord, identifică orice aplicație înregistrată în entitatea dvs. găzduită care are permisiuni Microsoft Graph cu risc ridicat și o cale directă către Administrator Global. Semnalează aplicațiile în care astfel de permisiuni ar putea permite o preluare completă a entității găzduite dacă aplicația este compromisă.
Cum se remediază
Pentru a examina și remedia permisiunile aplicațiilor cu risc ridicat:
- Conectați-vă la Microsoft Entra admin center.
- Extindeți Identity > Applications și selectați All applications.
- Găsiți aplicația semnalată și faceți clic pe numele acesteia pentru a deschide pagina de prezentare generală.
- Sub Manage, selectați API permissions.
- Examinați toate permisiunile Microsoft Graph pentru domenii de nivel 0 sau cu risc ridicat, cum ar fi
User.Read.All,Directory.ReadWrite.AllsauAppRoleAssignment.ReadWrite.All. - Eliminați orice permisiuni inutile cu risc ridicat făcând clic pe cele trei puncte (mai multe opțiuni) de lângă permisiune și selectând Remove.
- Verificați că numai utilizatorii autorizați și entitățile de serviciu au acces la aplicație, la secretele și certificatele acesteia. Rotiți imediat orice credențiale compromise.
Conformitate
Această verificare de securitate se aliniază la următoarele cadre și standarde:
- Nu este mapată direct la un cadru specific; este o verificare internă de cele mai bune practici Aether365.
Resurse conexe
- Microsoft Learn: Protejarea împotriva escaladării privilegiilor cu permisiunile aplicației
- Ghidul de înregistrare a aplicațiilor Microsoft Entra admin center