Delen via

De beveiliging verbeteren met het principe van minimale bevoegdheden

Het informatiebeveiligingsprincipe van minimale bevoegdheden geeft aan dat gebruikers en toepassingen alleen toegang moeten krijgen tot de gegevens en bewerkingen die ze nodig hebben om hun taken uit te voeren. Volg de richtlijnen hier beschreven om de kwetsbaarheid voor aanvallen van een toepassing te verminderen en de impact van een beveiligingsschending (het impactgebied) als zich een voordoet in een geïntegreerde Microsoft Identity Platform-toepassing.

Aanbevelingen in één oogopslag

  • Voorkom overgeprivilegieerde toepassingen door ongebruikte en reducereerbare machtigingen in te trekken.
  • Gebruik het toestemmingsframework van het identiteitsplatform om te vereisen dat een mens toestemming geeft voor het verzoek van de applicatie om toegang tot beveiligde gegevens.
  • Bouw toepassingen met minimale bevoegdheden in gedachten tijdens alle fasen van de ontwikkeling.
  • Controleer regelmatig de ingezette toepassingen om de toepassingen te identificeren die overgeprivilegieerd zijn.

Toepassingen met te veel rechten

Elke toepassing waaraan een ongebruikte of verminderbare machtiging is verleend, wordt beschouwd als overprivileged. Niet-gebruikte en te reduceren machtigingen kunnen potentieel onbevoegde of onbedoelde toegang bieden tot gegevens of bewerkingen die niet noodzakelijk zijn voor de toepassing of haar gebruikers om hun taken uit te voeren. Vermijd beveiligingsrisico's die worden veroorzaakt door ongebruikte en verleidbare machtigingen door alleen de juiste machtigingen te verlenen. De juiste machtigingen zijn de machtigingen met de minst permissieve toegang die is vereist voor een toepassing of gebruiker om de vereiste taken uit te voeren.

Ongebruikte machtigingen

Een ongebruikte machtiging is een machtiging die is verleend aan een toepassing, maar waarvan de API of bewerking die door die machtiging wordt weergegeven, niet wordt aangeroepen door de toepassing wanneer deze wordt gebruikt zoals bedoeld.

  • Voorbeeld: In een toepassing wordt een lijst weergegeven met bestanden die zijn opgeslagen in oneDrive van de aangemelde gebruiker door de Microsoft Graph API aan te roepen met behulp van de machtiging Files.Read . De toepassing heeft echter ook de machtiging Calendars.Read gekregen, maar biedt geen agendafuncties en roept de API Agenda's niet aan.

  • Beveiligingsrisico: Ongebruikte machtigingen vormen een horizontaal risico op escalatie van bevoegdheden . Een entiteit die misbruik maakt van een beveiligingsprobleem in de toepassing, kan een ongebruikte machtiging gebruiken om toegang te krijgen tot een API of bewerking die normaal gesproken niet wordt ondersteund of toegestaan door de toepassing wanneer deze wordt gebruikt zoals bedoeld.

  • Risicobeperking: verwijder alle machtigingen die niet worden gebruikt in API-aanroepen die door de toepassing worden gedaan.

Reduceerbare machtigingen

Een beperkte machtiging is een machtiging die een tegenhanger heeft met lagere bevoegdheden die nog steeds aan de toepassing en de gebruikers de toegang verleent die zij nodig hebben om hun benodigde taken uit te voeren.

  • Voorbeeld: Een toepassing geeft de profielgegevens van de aangemelde gebruiker weer door de Microsoft Graph API aan te roepen, maar biedt geen ondersteuning voor het bewerken van profielen. De machtiging User.ReadWrite.All is echter aan de toepassing verleend. De machtiging User.ReadWrite.All wordt hier beschouwd als te reduceren omdat de minder permissieve User.Read.All machtiging voldoende alleen-lezentoegang verleent tot gebruikersprofielgegevens.

  • Beveiligingsrisico: Reduceerbare machtigingen vormen een beveiligingsrisico van verticale privilege-escalatie. Een entiteit die misbruik maakt van een beveiligingsprobleem in de toepassing, kan gebruikmaken van de verleidbare machtiging voor onbevoegde toegang tot gegevens of om bewerkingen uit te voeren die normaal gesproken niet zijn toegestaan door die rol van de entiteit.

  • Risicobeperking: Vervang elke reduceerbare machtiging in de toepassing door zijn minst permissieve tegenhanger die nog steeds de beoogde functionaliteit van de toepassing mogelijk maakt.

De meeste toepassingen hebben toegang nodig tot beveiligde gegevens en de eigenaar van die gegevens moet toestemming geven voor die toegang. Toestemming kan op verschillende manieren worden verleend, waaronder door een tenantbeheerder die toestemming kan geven voor alle gebruikers in een Microsoft Entra-tenant, of door de toepassingsgebruikers zelf die toegang kunnen verlenen.

Wanneer een toepassing die wordt uitgevoerd op een apparaat toegang vraagt tot beveiligde gegevens, moet de toepassing vragen om toestemming van de gebruiker voordat hij toegang verleent tot de beveiligde gegevens. De gebruiker moet toestemming verlenen (of weigeren) voor de aangevraagde machtiging voordat de toepassing kan worden voortgezet.

Minimale bevoegdheden tijdens het ontwikkelen van toepassingen

De beveiliging van een toepassing en de gebruikersgegevens waartoe deze toegang heeft, is de verantwoordelijkheid van de ontwikkelaar.

Houd zich aan deze richtlijnen tijdens het ontwikkelen van toepassingen om te voorkomen dat deze te veel wordt gebruikt:

  • Volledig inzicht in de machtigingen die zijn vereist voor de API-aanroepen die de toepassing moet maken.
  • Inzicht in de minst bevoegde machtiging voor elke API-aanroep die de toepassing moet maken met Graph Explorer.
  • Zoek de bijbehorende machtigingen van de minst naar de meeste bevoegdheden.
  • Verwijder eventuele dubbele sets machtigingen in gevallen waarin de toepassing API-aanroepen uitvoert die overlappende machtigingen hebben.
  • Pas alleen de minst bevoegde set machtigingen toe op de toepassing door de machtigingslijst met minimale bevoegdheden te kiezen.

Minimale bevoegdheid voor geïmplementeerde toepassingen

Organisaties aarzelen vaak om actieve toepassingen te wijzigen om te voorkomen dat ze van invloed zijn op hun normale bedrijfsactiviteiten. Een organisatie moet echter overwegen om het risico van een beveiligingsincident te beperken dat mogelijk of ernstiger is gemaakt door overprivilegeerde machtigingen te gebruiken om een geplande toepassingsupdate te kunnen bijwerken.

Zorg ervoor dat deze standaardpraktijken in een organisatie helpen ervoor te zorgen dat geïmplementeerde toepassingen niet overmatig gemachtigd zijn en niet overmatig gemachtigd raken in de loop van de tijd.

  • Evalueer de API-aanroepen die worden uitgevoerd vanuit de toepassingen.
  • Gebruik Graph Explorer en de Microsoft Graph-documentatie voor de vereiste en minst bevoegde machtigingen.
  • Controlebevoegdheden die worden verleend aan gebruikers of toepassingen.
  • Werk de toepassingen bij met de toestemmingsset met de laagste bevoegdheden.
  • Controleer regelmatig machtigingen om ervoor te zorgen dat alle geautoriseerde machtigingen nog steeds relevant zijn.

Volgende stappen