Esta página está traducida automáticamente y pendiente de revisión humana. Una guía de remediación de seguridad que no puedes verificar es una afirmación, así que el original en inglés está a un clic. English.
EIDAPP-006: Permisos excesivos de Microsoft Graph
- Plataforma
- Entra ID / M365
- Categoría
- Consent
- Severidad
- High
- Pilar de Zero Trust
- Applications & Workloads (peso 2)
- Fixtures de referencia
- 3
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
Las aplicaciones a las que se otorgan permisos de aplicación amplios de Microsoft Graph, como Directory.ReadWrite.All, Sites.ReadWrite.All o Mail.ReadWrite, obtienen acceso a datos y configuración en todo el inquilino sin contexto de usuario. Los permisos excesivos de Graph vulneran el principio de privilegio mínimo y proporcionan a los atacantes que comprometen la aplicación un acceso amplio a buzones, archivos, objetos de directorio y configuración del inquilino. Los permisos deben delimitarse al mínimo necesario para la funcionalidad de la aplicación.
Valor recomendado
Todos los permisos de Microsoft Graph delimitados al mínimo necesario, con los permisos de aplicación reemplazados por permisos delegados cuando sea posible
Remediación
Revise los permisos de Microsoft Graph de todos los registros de aplicaciones e identifique los que usan ámbitos .All amplios o permisos de nivel de aplicación cuando los permisos delegados serían suficientes. Reemplace los permisos amplios por alternativas granulares, como Mail.Read en lugar de Mail.ReadWrite.All o User.Read.All en lugar de Directory.Read.All. Use la referencia de permisos de Microsoft Graph para identificar el permiso de privilegio mínimo para cada llamada de API que realiza la aplicación.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | WARN |
| no-data | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-6(1)
- MITRE ATT&CK
- T1098.002
Cero analítica. Cero rastreo. Cero cookies. Este sitio no hace ninguna petición externa, así que no hay nada que consentir.
Guerrilla es gratuito y de código abierto. · Validación
Guerrilla is written and maintained by Jim Tyler. This copy lives on jimtyler.org; the project also publishes at guerrilla.army.