Apps with high-risk permissions having a direct path to Global Admin
Чому це важливо
Застосунки з дозволами Microsoft Graph нульового рівня (tier-0) можуть надавати прямий адміністративний доступ до вашого клієнта, включно з повними привілеями глобального адміністратора. Якщо зловмисник отримає контроль над таким застосунком або використає його дозволи, він зможе захопити весь клієнт, отримати доступ до конфіденційних даних і скомпрометувати всі облікові записи користувачів. ІТ-адміністратори повинні регулярно перевіряти високоризикові дозволи застосунків, щоб запобігти атакам з латеральним переміщенням та ескалацією привілеїв.
Що перевіряє Aether365
Ця перевірка Aether365, яка відображається в розділі microsoft-365 checks вашої панелі керування, виявляє будь-який зареєстрований у вашому клієнті застосунок, що має високоризикові дозволи Microsoft Graph з прямим шляхом до глобального адміністратора. Вона позначає застосунки, дозволи яких можуть призвести до повного захоплення клієнта в разі компрометації.
Як виправити
Щоб переглянути та усунути високоризикові дозволи застосунків:
- Увійдіть у Microsoft Entra admin center.
- Розгорніть Identity > Applications та виберіть All applications.
- Знайдіть позначений застосунок і натисніть його назву, щоб відкрити сторінку огляду.
- У розділі Manage виберіть API permissions.
- Перегляньте всі дозволи Microsoft Graph на предмет областей нульового рівня або високого ризику, як-от
User.Read.All,Directory.ReadWrite.AllабоAppRoleAssignment.ReadWrite.All. - Видаліть усі непотрібні дозволи високого ризику, натиснувши три крапки (додаткові варіанти) поряд з дозволом і вибравши Remove.
- Переконайтеся, що лише авторизовані користувачі та суб'єкти-служби мають доступ до застосунку, його секретів і сертифікатів. Негайно змініть будь-які скомпрометовані облікові дані.
Відповідність вимогам
Ця перевірка безпеки відповідає таким фреймворкам і стандартам:
- Безпосередньо не прив'язана до конкретного фреймворку; це внутрішня найкраща практика перевірки Aether365.
Пов'язані ресурси
- Microsoft Learn: Захист від ескалації привілеїв за допомогою дозволів застосунків
- Посібник із реєстрації застосунків у Microsoft Entra admin center