Zkoumání cest útoku na aplikace OAuth v Defender for Cloud Apps (Preview)

Správa míry rizika zabezpečení od Microsoftu vám pomůže efektivně řídit riziko útoku a expozice vaší společnosti. Spojením prostředků a technik cesty útoku znázorňují kompletní trasy, které mohou útočníci využít k přesunu ze vstupního bodu ve vaší organizaci až ke kritickým aktivům. Microsoft Defender for Cloud Apps zaznamenali nárůst počtu útočníků, kteří používají aplikace OAuth pro přístup k citlivým datům v důležitých podnikových aplikacích, jako jsou Microsoft Teams, SharePoint, Outlook a další. Pro podporu vyšetřování a zmírnění rizik jsou tyto aplikace integrovány do zobrazení cest útoku a map prostorů útoku v Správa míry rizika zabezpečení od Microsoftu.

Požadavky

Pokud chcete začít s funkcemi cest útoku na aplikace OAuth ve správě expozic, ujistěte se, že splňujete následující požadavky.

Licence k Microsoft Defender for Cloud Apps se zapnutou funkcí App Governance
Konektor aplikace Microsoft 365 musí být aktivovaný. Informace o připojení a o tom, které konektory aplikací poskytují doporučení k zabezpečení, najdete v tématu Připojení aplikací za účelem získání viditelnosti a řízení pomocí Microsoft Defender for Cloud Apps.
Volitelné: Pokud chcete získat úplný přístup k datům cest útoku, doporučujeme mít licenci zabezpečení E5, Defender for Endpoint nebo Defender for Identity.

Požadované role a oprávnění

Pro přístup ke všem prostředím správy expozic potřebujete buď roli Unified Role-Based-Access-Control (RBAC), nebo roli Entra ID. Vyžaduje se pouze jeden.

Správa vystavení rizikům (čtení) (Unified RBAC)

Alternativně můžete použít jednu z následujících rolí Entra ID:

Oprávnění	Akce
Správa zabezpečení	(oprávnění ke čtení a zápisu)
Operátor zabezpečení	(oprávnění ke čtení a omezenému zápisu)
Globální čtenář	(oprávnění ke čtení)
Bezpečnostní čtečka	(oprávnění ke čtení)

Poznámka

Aktuálně je k dispozici pouze v komerčních cloudových prostředích. Data a funkce zabezpečení od Microsoftu Exposure Management nejsou v současné době dostupné ve vládních cloudech USA – GCC, GCC High, DoD a China Gov.

Správa kritických aktiv – instanční objekty služby

Objekty služby jsou identity, které Microsoft Entra ID přiřazuje aplikacím, aby se mohly autentizovat a přistupovat k prostředkům jménem aplikace, nikoli uživatele. Microsoft Defender for Cloud Apps definuje sadu kritických oprávnění OAuth. Aplikace OAuth s těmito oprávněními se považují za prostředky vysoké hodnoty. V případě ohrožení zabezpečení může útočník získat vysoká oprávnění k aplikacím SaaS. Aby se toto riziko zohlednilo, považují cesty útoku instanční objekty služby s těmito oprávněními za cíle útoku.

Zobrazit oprávnění pro kritická aktiva

Úplný seznam oprávnění zobrazíte tak, že přejdete na portál Microsoft Defender a přejdete na Nastavení > Microsoft Defender XDR > Pravidla > – Kritická správa prostředků.

Šetření toku uživatele: Zobrazení cest útoku zahrnujících aplikace OAuth

Jakmile pochopíte, která oprávnění představují vysoce hodnotné cíle, pomocí následujícího postupu prozkoumejte, jak se tyto aplikace zobrazují v útočných cestách vašeho prostředí. Pro menší organizace, které mají zvládnutelný počet cest útoku, doporučujeme prošetřit jednotlivé cesty útoku pomocí tohoto strukturovaného přístupu:

Poznámka

Aplikace OAuth se v mapě povrchu cesty útoku zobrazují jenom v případech, kdy jsou zjištěny konkrétní podmínky.
Aplikace OAuth se například může objevit v cestě útoku, pokud je zjištěna zranitelná komponenta se snadno zneužitelným vstupním bodem. Tento vstupní bod umožňuje laterální přesun do instančních objektů s vysokými oprávněními.

Přejděte na Správa expozic > Plocha útoku > Cesty útoku.
Filtrovat podle „Typ cíle: objekt služby AAD“
Vyberte cestu útoku s názvem: „Zařízení s vysoce závažnými zranitelnostmi umožňuje laterální pohyb k instančnímu objektu služby s citlivými oprávněními“
Kliknutím na tlačítko Zobrazit v mapě zobrazíte cestu útoku.
Výběrem symbolu + rozbalte uzly a zobrazte podrobná připojení.
Najetím nebo výběrem uzlů a okrajů můžete prozkoumat další data, například jaká oprávnění má tato aplikace OAuth.
Zkopírujte název aplikace OAuth a vložte ho do panelu hledání na stránce Aplikace.
Výběrem názvu aplikace můžete zkontrolovat přiřazená oprávnění a přehledy o využití, včetně toho, jestli se oprávnění s vysokými oprávněními aktivně používají.
Volitelné: Pokud zjistíte, že by aplikace OAuth měla být zakázaná, můžete ji zakázat na stránce Aplikace.

Tok uživatele s rozhodovací pravomocí: Stanovení priority cesty útoku pomocí bodů tlumivky

Pro větší organizace s mnoha způsoby útoku, které nelze ručně prozkoumat, doporučujeme použít data o cestě útoku a použít prostředí Choke Points jako nástroj pro stanovení priority. Tento přístup umožňuje:

Identifikujte prostředky spojené s nejvíce cestami útoku.
Informovaně se rozhodovat, u kterých prostředků se má stanovit priorita pro účely šetření.
Filtrováním podle Microsoft Entra aplikace OAuth zjistíte, které aplikace OAuth jsou zapojeny do nejvíce cest útoku.
Rozhodněte, na které aplikace OAuth se mají použít nejnižší oprávnění.

Jak začít:

Přejděte na stránku Attack Paths > Choke Points.
Výběrem názvu bodu tlumivky zobrazíte další podrobnosti o hlavních cestách útoku, jako je název, vstupní bod a cíl.
Kliknutím na možnost Zobrazit rozsah dopadu můžete dále prozkoumat úzké místo v mapě plochy útoku.

Pokud je bod sytče aplikací OAuth, pokračujte v šetření vyhledáním aplikace podle názvu na stránce Aplikace , kontrolou přiřazených oprávnění a přehledů využití a případně zakázáním aplikace v případě potřeby.

Analýza mapy útoku a vyhledávání pomocí dotazů

V mapě plochy útoku můžete zobrazit připojení od aplikací vlastněných uživateli, aplikací OAuth a instančních objektů služby. Tato data relací jsou k dispozici v:

Tabulka ExposureGraphEdges (zobrazuje připojení)
Tabulka ExposureGraphNodes (zahrnuje vlastnosti uzlu, jako jsou oprávnění)

Pomocí následujícího dotazu rozšířeného proaktivního vyhledávání identifikujte všechny aplikace OAuth s kritickými oprávněními. Tento dotaz spojí tabulky ExposureGraphNodes a ExposureGraphEdges, aby našel registrace aplikací OAuth v Microsoft Entra, které se můžou ověřovat jako instanční objekty služeb klasifikované jako kritické (úroveň kritičnosti 0) a které mají oprávnění k Microsoft Graph. Použijte ho ke zjištění, které aplikace OAuth ve vašem tenantovi mají přístup s vysokými oprávněními, a k jejich určení priority ke kontrole:

let RelevantNodes = ExposureGraphNodes
| where NodeLabel == "Microsoft Entra OAuth App" or NodeLabel == "serviceprincipal"
| project NodeId, NodeLabel, NodeName, NodeProperties;
ExposureGraphEdges
| where EdgeLabel == "has permissions to" or EdgeLabel == "can authenticate as"
| make-graph SourceNodeId --> TargetNodeId with RelevantNodes on NodeId
| graph-match (AppRegistration)-[canAuthAs]->(SPN)-[hasPermissionTo]->(Target)
        where AppRegistration.NodeLabel == "Microsoft Entra OAuth App" and
        canAuthAs.EdgeLabel == "can authenticate as" and
        SPN.NodeLabel == "serviceprincipal" and
        SPN.NodeProperties["rawData"]["criticalityLevel"]["criticalityLevel"] == 0 and
        hasPermissionTo.EdgeLabel == @"has permissions to" and
        Target.NodeLabel == "Microsoft Entra OAuth App" and
        Target.NodeName == "Microsoft Graph"
        project AppReg=AppRegistration.NodeLabel,
         canAuthAs=canAuthAs.EdgeLabel, SPN.NodeLabel, DisplayName=SPN.NodeProperties["rawData"]["accountDisplayName"],
         Enabled=SPN.NodeProperties["rawData"]["accountEnabled"], AppTenantID=SPN.NodeProperties["rawData"]["appOwnerOrganizationId"],
         hasPermissionTo=hasPermissionTo.EdgeLabel, Target=Target.NodeName,
         AppPerm=hasPermissionTo.EdgeProperties["rawData"]["applicationPermissions"]["permissions"]
| mv-apply AppPerm on (summarize AppPerm = make_list(AppPerm.permissionValue))
| project AppReg, canAuthAs, DisplayName, Enabled, AppTenantID, hasPermissionTo, Target, AppPerm

Další kroky

Další informace najdete tady:

Váš názor

Byla tato stránka užitečná?

Last updated on 2026-07-16