Menyelidiki jalur serangan aplikasi OAuth di Defender for Cloud Apps (Pratinjau)

Microsoft Security Exposure Management membantu Anda mengelola permukaan serangan perusahaan dan risiko paparan secara efektif. Dengan menggabungkan aset dan teknik, jalur serangan menggambarkan jalur end-to-end yang dapat digunakan penyerang untuk berpindah dari titik masuk dalam organisasi Anda ke aset penting Anda. Microsoft Defender for Cloud Apps mengamati peningkatan penyerang yang menggunakan aplikasi OAuth untuk mengakses data sensitif dalam aplikasi penting bisnis seperti Microsoft Teams, SharePoint, Outlook, dan banyak lagi. Untuk mendukung penyelidikan dan mitigasi, aplikasi ini diintegrasikan ke dalam jalur serangan dan tampilan peta permukaan serangan di Microsoft Security Exposure Management.

Prasyarat

Untuk mulai menggunakan fitur jalur serangan aplikasi OAuth di Manajemen Paparan, pastikan Anda memenuhi persyaratan berikut.

Peran dan izin yang diperlukan

Untuk mengakses semua pengalaman Manajemen Eksposur, Anda membutuhkan peran Unified Role-Based Access Control (RBAC) atau peran Entra ID. Hanya satu yang diperlukan.

  • Pengelolaan Paparan (baca saja) (RBAC Terpadu)

Atau, Anda dapat menggunakan salah satu peran Entra ID berikut:

Persetujuan Tindakan
Admin Keamanan (izin baca dan tulis)
Petugas Keamanan (izin baca dan tulis terbatas)
Pembaca Global (izin membaca)
Pembaca Keamanan (izin membaca)

Note

Saat ini hanya tersedia di lingkungan cloud komersial. Data dan kemampuan Microsoft Security Exposure Management saat ini tidak tersedia di cloud pemerintah AS - GCC, GCC High, DoD, dan China Gov.

Manajemen Aset Kritis - Prinsipal Layanan

Perwakilan layanan adalah identitas yang Microsoft Entra ID tetapkan ke aplikasi sehingga mereka dapat mengautentikasi dan mengakses sumber daya atas nama aplikasi daripada pengguna. Microsoft Defender for Cloud Apps mendefinisikan sekumpulan izin OAuth hak istimewa penting. Aplikasi OAuth dengan izin ini dianggap sebagai aset bernilai tinggi. Jika aplikasi OAuth bernilai tinggi dikompromikan, penyerang dapat memperoleh hak istimewa tinggi ke aplikasi SaaS. Untuk mencerminkan risiko ini, jalur serangan menganggap prinsipal layanan dengan izin ini sebagai target.

Melihat izin untuk aset penting

Untuk melihat daftar lengkap izin, buka portal Microsoft Defender dan navigasi ke Pengaturan > Microsoft Defender XDR > Manajemen aset Penting Aturan>.

Cuplikan layar halaman Manajemen aset penting di portal Microsoft Defender.

Alur pengguna investigasi: Melihat jalur serangan yang melibatkan aplikasi OAuth

Setelah Anda memahami izin mana yang mewakili target bernilai tinggi, gunakan langkah-langkah berikut untuk menyelidiki bagaimana aplikasi ini muncul di jalur serangan lingkungan Anda. Untuk organisasi yang lebih kecil dengan sejumlah jalur serangan yang dapat dikelola, sebaiknya ikuti pendekatan terstruktur ini untuk menyelidiki setiap jalur serangan:

Note

Aplikasi OAuth ditampilkan di peta permukaan jalur serangan hanya saat kondisi tertentu terdeteksi.
Misalnya, aplikasi OAuth mungkin muncul di jalur serangan jika komponen yang rentan dengan titik masuk yang mudah dieksploitasi terdeteksi. Titik akses ini memungkinkan pergerakan lateral menuju prinsipal layanan dengan hak istimewa tinggi.

  1. Buka Manajemen Paparan > Permukaan serangan > Jalur serangan.

  2. Filter menurut 'Jenis target: Perwakilan Layanan AAD'

    Tangkapan layar layanan jalur serangan yang menambahkan jenis target prinsipal

  3. Pilih jalur serangan berjudul: "Perangkat dengan kerentanan tingkat keparahan tinggi memungkinkan pergerakan lateral ke perwakilan layanan dengan izin sensitif"

    Cuplikan layar nama jalur serangan

  4. Klik tombol Tampilkan di peta untuk melihat jalur serangan.

    Cuplikan layar tampilan di tombol peta

  5. Pilih tanda + untuk memperluas simpul dan melihat koneksi terperinci.

    Cuplikan layar peta permukaan serangan

  6. Arahkan atau pilih simpul dan tepi untuk menjelajahi data tambahan seperti izin mana yang dimiliki aplikasi OAuth ini.

    Cuplikan layar memperlihatkan izin yang ditetapkan ke aplikasi OAuth seperti yang ditunjukkan di peta permukaan serangan

  7. Salin nama aplikasi OAuth dan tempelkan ke bilah pencarian di halaman Aplikasi.

    Cuplikan layar memperlihatkan tab aplikasi OAuth

  8. Pilih nama aplikasi untuk meninjau izin dan wawasan penggunaan yang ditetapkan, termasuk apakah izin hak istimewa tinggi digunakan secara aktif.

    Cuplikan layar memperlihatkan izin yang ditetapkan ke aplikasi Oauth

  9. Opsional: Jika Anda menentukan aplikasi OAuth harus dinonaktifkan, Anda dapat menonaktifkannya dari halaman Aplikasi.

    Peringatan

    Menonaktifkan aplikasi OAuth dapat menyebabkan gangguan layanan dan hilangnya akses bagi pengguna serta layanan yang bergantung padanya. Verifikasi penggunaan dan ketergantungan aplikasi sebelum Anda menonaktifkannya.

Alur pengguna pengambil keputusan: Memprioritaskan jalur serangan menggunakan titik hambat

Untuk organisasi yang lebih besar dengan banyak jalur serangan yang tidak dapat diselidiki secara manual, sebaiknya gunakan data jalur serangan dan gunakan pengalaman Choke Points sebagai alat prioritas. Pendekatan ini memungkinkan Anda untuk:

  • Identifikasi aset yang terhubung dengan jalur serangan terbanyak.
  • Buat keputusan berdasarkan informasi tentang aset mana yang akan diprioritaskan untuk penyelidikan.
  • Filter berdasarkan aplikasi OAuth Microsoft Entra untuk melihat aplikasi OAuth mana yang terlibat dalam jalur serangan terbanyak.
  • Tentukan aplikasi OAuth mana yang akan menerapkan izin hak istimewa paling sedikit.

Untuk memulai:

  1. Buka halaman Titik Tersedak > Jalur Serangan.

    Cuplikan layar yang menampilkan halaman titik hambatan

  2. Pilih nama titik kritis untuk melihat detail lebih lanjut tentang jalur serangan utama seperti nama, titik masuk, dan target.

  3. Klik Lihat radius dampak untuk menyelidiki lebih lanjut titik hambatan di Peta Permukaan Serangan. Cuplikan layar yang menampilkan tombol lihat radius ledakan

Jika titik tersedak adalah aplikasi OAuth, lanjutkan penyelidikan dengan mencari aplikasi berdasarkan nama di halaman Aplikasi , meninjau izin dan wawasan penggunaan yang ditetapkan, dan secara opsional menonaktifkan aplikasi jika sesuai.

Analisis peta permukaan serangan dan lakukan perburuan dengan kueri

Di peta permukaan Serangan, Anda dapat melihat koneksi dari aplikasi milik pengguna, aplikasi OAuth, dan perwakilan layanan. Data tentang koneksi antar aplikasi milik pengguna, aplikasi OAuth, dan prinsipal layanan tersedia di:

  • Tabel ExposureGraphEdges (memperlihatkan koneksi)

  • Tabel ExposureGraphNodes (termasuk properti simpul seperti izin akses)

Gunakan kueri Perburuan Tingkat Lanjut berikut untuk mengidentifikasi semua aplikasi OAuth dengan izin penting. Kueri ini menggabungkan tabel ExposureGraphNodes dan ExposureGraphEdges untuk menemukan pendaftaran aplikasi OAuth Microsoft Entra yang dapat diautentikasi sebagai prinsipal layanan yang diklasifikasikan sebagai kritis (tingkat kekritisan 0) dan yang memiliki izin ke Microsoft Graph. Gunakan untuk menemukan aplikasi OAuth mana di penyewa Anda yang memiliki akses hak istimewa tinggi dan untuk memprioritaskannya untuk ditinjau:

let RelevantNodes = ExposureGraphNodes
| where NodeLabel == "Microsoft Entra OAuth App" or NodeLabel == "serviceprincipal"
| project NodeId, NodeLabel, NodeName, NodeProperties;
ExposureGraphEdges
| where EdgeLabel == "has permissions to" or EdgeLabel == "can authenticate as"
| make-graph SourceNodeId --> TargetNodeId with RelevantNodes on NodeId
| graph-match (AppRegistration)-[canAuthAs]->(SPN)-[hasPermissionTo]->(Target)
        where AppRegistration.NodeLabel == "Microsoft Entra OAuth App" and
        canAuthAs.EdgeLabel == "can authenticate as" and
        SPN.NodeLabel == "serviceprincipal" and
        SPN.NodeProperties["rawData"]["criticalityLevel"]["criticalityLevel"] == 0 and
        hasPermissionTo.EdgeLabel == @"has permissions to" and
        Target.NodeLabel == "Microsoft Entra OAuth App" and
        Target.NodeName == "Microsoft Graph"
        project AppReg=AppRegistration.NodeLabel,
         canAuthAs=canAuthAs.EdgeLabel, SPN.NodeLabel, DisplayName=SPN.NodeProperties["rawData"]["accountDisplayName"],
         Enabled=SPN.NodeProperties["rawData"]["accountEnabled"], AppTenantID=SPN.NodeProperties["rawData"]["appOwnerOrganizationId"],
         hasPermissionTo=hasPermissionTo.EdgeLabel, Target=Target.NodeName,
         AppPerm=hasPermissionTo.EdgeProperties["rawData"]["applicationPermissions"]["permissions"]
| mv-apply AppPerm on (summarize AppPerm = make_list(AppPerm.permissionValue))
| project AppReg, canAuthAs, DisplayName, Enabled, AppTenantID, hasPermissionTo, Target, AppPerm

Langkah berikutnya

Untuk informasi selengkapnya, lihat:

  • Terakhir diperbarui pada