Badanie ścieżek ataku aplikacji OAuth w Defender for Cloud Apps (wersja zapoznawcza)

Zarządzanie stopniem zagrożenia bezpieczeństwa przez firmę Microsoft pomaga efektywnie zarządzać powierzchnią ataków i ryzykiem narażenia firmy. Łącząc zasoby i techniki, ścieżki ataku ilustrują kompleksowe ścieżki, których osoby atakujące mogą użyć do przejścia z punktu wejścia w organizacji do krytycznych zasobów. Microsoft Defender for Cloud Apps zaobserwowano wzrost liczby osób atakujących korzystających z aplikacji OAuth w celu uzyskania dostępu do poufnych danych w aplikacjach krytycznych dla działania firmy, takich jak Microsoft Teams, SharePoint, Outlook i inne. Aby wspierać analizę i łagodzenie skutków, te aplikacje są zintegrowane z widokami ścieżki ataku i mapy powierzchni ataku w rozwiązania zabezpieczające firmy Microsoft Exposure Management.

Wymagania wstępne

Aby rozpocząć pracę z funkcjami ścieżki ataku aplikacji OAuth w usłudze Exposure Management, upewnij się, że spełniasz następujące wymagania.

• Licencja Microsoft Defender for Cloud Apps z włączonym zarządzaniem aplikacjami.

• Należy aktywować łącznik aplikacji platformy Microsoft 365. Aby uzyskać informacje o nawiązywaniu połączenia i o tym, które z łączników aplikacji zawierają zalecenia dotyczące zabezpieczeń, zobacz Łączenie aplikacji w celu uzyskania wglądu i kontroli za pomocą Microsoft Defender for Cloud Apps.

• Opcjonalnie: Aby uzyskać pełny dostęp do danych ścieżki ataku, zalecamy posiadanie licencji zabezpieczeń E5, usługi Defender for Endpoint lub usługi Defender for Identity.

Wymagane role i uprawnienia

Aby uzyskać dostęp do wszystkich środowisk zarządzania ekspozycjami, potrzebujesz roli Ujednoliconej kontroli dostępu opartej na rolach (RBAC) lub roli Entra ID. Wymagana jest tylko jedna.

• Zarządzanie narażeniami (odczyt) (Ujednolicony model RBAC)

Alternatywnie możesz użyć jednej z następujących ról identyfikatora Entra:

Uprawnienie	Działania
Administracja zabezpieczeń	(uprawnienia do odczytu i zapisu)
Operator zabezpieczeń	(uprawnienia do odczytu i zapisu ograniczone)
Czytelnik globalny	(uprawnienia do odczytu)
Czytelnik zabezpieczeń	(uprawnienia do odczytu)

Uwaga

Obecnie dostępne tylko w środowiskach chmury komercyjnej. Dane i możliwości rozwiązania rozwiązania zabezpieczające firmy Microsoft Exposure Management są obecnie niedostępne w chmurach rządowych USA — GCC, GCC High, DoD i China Gov.

Zarządzanie zasobami krytycznymi — nazwy główne usług

Jednostki usługi to tożsamości przypisywane przez Microsoft Entra ID do aplikacji, aby mogły się uwierzytelniać i uzyskiwać dostęp do zasobów w imieniu aplikacji, a nie użytkownika. Microsoft Defender for Cloud Apps definiuje zestaw krytycznych uprzywilejowanych uprawnień OAuth. Aplikacje OAuth z tymi uprawnieniami są uważane za zasoby o wysokiej wartości. W przypadku naruszenia zabezpieczeń osoba atakująca może uzyskać wysokie uprawnienia do aplikacji SaaS. Aby odzwierciedlić to ryzyko, ścieżki ataku traktują jednostki usługi z tymi uprawnieniami jako cele docelowe.

Wyświetlanie uprawnień dla zasobów krytycznych

Aby wyświetlić pełną listę uprawnień, przejdź do portalu Microsoft Defender i przejdź do pozycji Ustawienia > Microsoft Defender XDR > Reguły > Krytyczne zarządzanie zasobami.

Badanie przepływu użytkownika: wyświetlanie ścieżek ataku obejmujących aplikacje OAuth

Gdy zrozumiasz, które uprawnienia reprezentują cele o wysokiej wartości, wykonaj następujące kroki, aby zbadać, jak te aplikacje są wyświetlane w ścieżkach ataków w środowisku. W przypadku mniejszych organizacji o możliwej do zarządzania liczbie ścieżek ataków zalecamy zastosowanie tego ustrukturyzowanego podejścia w celu zbadania każdej ścieżki ataku:

Uwaga

Aplikacje OAuth są wyświetlane na mapie powierzchni ścieżki ataku tylko wtedy, gdy zostaną wykryte określone warunki.
Na przykład aplikacja OAuth może pojawić się na ścieżce ataku, jeśli zostanie wykryty składnik podatny na zagrożenia z łatwym do wykorzystania punktem wejścia. Ten punkt wejścia umożliwia przenoszenie boczne do jednostek usługi z wysokimi uprawnieniami.

1. Przejdź do Zarządzanie ekspozycją > Powierzchnia ataku > Ścieżki ataku.

2. Filtruj według „Typ docelowy: nazwa główna usługi AAD”

   

3. Wybierz ścieżkę ataku zatytułowaną: "Urządzenie z lukami w zabezpieczeniach o wysokiej ważności zezwala na przenoszenie boczne do jednostki usługi z uprawnieniami poufnymi"

   

4. Kliknij przycisk Widok na mapie, aby wyświetlić ścieżkę ataku.

   

5. Wybierz znak + , aby rozwinąć węzły i wyświetlić szczegółowe połączenia.

   

6. Zatrzymaj kursor lub wybierz węzły i krawędzie, aby eksplorować dodatkowe dane, takie jak uprawnienia, które ma ta aplikacja OAuth.

   

7. Skopiuj nazwę aplikacji OAuth i wklej ją na pasku wyszukiwania na stronie Aplikacje.

   

8. Wybierz nazwę aplikacji, aby przejrzeć przypisane uprawnienia i szczegółowe informacje o użyciu, w tym, czy uprawnienia o wysokich uprawnieniach są aktywnie używane.

   

9. Opcjonalnie: jeśli określisz, że aplikacja OAuth powinna zostać wyłączona, możesz ją wyłączyć na stronie Aplikacje.

Ścieżka użytkownika decydenta: Nadaj priorytet ścieżce ataku przy użyciu punktów krytycznych

W przypadku większych organizacji z licznymi ścieżkami ataku, których nie można ręcznie zbadać, zalecamy użycie danych ścieżki ataku i wykorzystanie środowiska Choke Points jako narzędzia do określania priorytetów. Takie podejście umożliwia:

• Identyfikowanie zasobów połączonych z największą liczbami ścieżek ataku.
• Podejmij świadome decyzje, które zasoby mają być priorytetowe do zbadania.
• Filtruj według aplikacji OAuth usługi Microsoft Entra, aby zobaczyć, które aplikacje OAuth są zaangażowane w największej liczbie ścieżek ataku.
• Zdecyduj, do których aplikacji OAuth mają być stosowane uprawnienia z najmniejszymi uprawnieniami.

Aby rozpocząć:

1. Przejdź do strony Ścieżki > ataku Zadławianie punktów.

   

2. Wybierz nazwę punktu zadławienia, aby wyświetlić więcej szczegółów na temat najważniejszych ścieżek ataku, takich jak nazwa, punkt wejścia i cel.

3. Kliknij pozycję Wyświetl promień wybuchu, aby dokładniej zbadać punkt zadławienia na mapie powierzchni ataku.

Jeśli punkt zadławiania jest aplikacją OAuth, kontynuuj badanie, wyszukując aplikację według nazwy na stronie Aplikacje , przeglądając przypisane uprawnienia i szczegółowe informacje o użyciu oraz opcjonalnie wyłączając aplikację, jeśli jest to konieczne.

Analizowanie mapy powierzchni ataków i wyszukiwanie za pomocą zapytań

Na mapie obszaru Atak można zobaczyć połączenia z aplikacji należących do użytkownika, aplikacji OAuth i jednostek usługi. Te dane relacji są dostępne w:

• Tabela ExposureGraphEdges (pokazuje połączenia)

• Tabela ExposureGraphNodes (zawiera właściwości węzła, takie jak uprawnienia)

Użyj następującego zapytania zaawansowanego wyszukiwania zagrożeń, aby zidentyfikować wszystkie aplikacje OAuth z krytycznymi uprawnieniami. To zapytanie łączy tabele ExposureGraphNodes i ExposureGraphEdges, aby znaleźć rejestracje aplikacji OAuth w usłudze Microsoft Entra, które mogą uwierzytelniać się jako jednostki usługi sklasyfikowane jako krytyczne (poziom krytyczności 0) i które mają uprawnienia do Microsoft Graph. Użyj tego, aby sprawdzić, które aplikacje OAuth w dzierżawie mają dostęp z wysokimi uprawnieniami, i nadać priorytet ich przeglądowi:

let RelevantNodes = ExposureGraphNodes
| where NodeLabel == "Microsoft Entra OAuth App" or NodeLabel == "serviceprincipal"
| project NodeId, NodeLabel, NodeName, NodeProperties;
ExposureGraphEdges
| where EdgeLabel == "has permissions to" or EdgeLabel == "can authenticate as"
| make-graph SourceNodeId --> TargetNodeId with RelevantNodes on NodeId
| graph-match (AppRegistration)-[canAuthAs]->(SPN)-[hasPermissionTo]->(Target)
        where AppRegistration.NodeLabel == "Microsoft Entra OAuth App" and
        canAuthAs.EdgeLabel == "can authenticate as" and
        SPN.NodeLabel == "serviceprincipal" and
        SPN.NodeProperties["rawData"]["criticalityLevel"]["criticalityLevel"] == 0 and
        hasPermissionTo.EdgeLabel == @"has permissions to" and
        Target.NodeLabel == "Microsoft Entra OAuth App" and
        Target.NodeName == "Microsoft Graph"
        project AppReg=AppRegistration.NodeLabel,
         canAuthAs=canAuthAs.EdgeLabel, SPN.NodeLabel, DisplayName=SPN.NodeProperties["rawData"]["accountDisplayName"],
         Enabled=SPN.NodeProperties["rawData"]["accountEnabled"], AppTenantID=SPN.NodeProperties["rawData"]["appOwnerOrganizationId"],
         hasPermissionTo=hasPermissionTo.EdgeLabel, Target=Target.NodeName,
         AppPerm=hasPermissionTo.EdgeProperties["rawData"]["applicationPermissions"]["permissions"]
| mv-apply AppPerm on (summarize AppPerm = make_list(AppPerm.permissionValue))
| project AppReg, canAuthAs, DisplayName, Enabled, AppTenantID, hasPermissionTo, Target, AppPerm

Następne kroki

Więcej informacji można znaleźć w następujących artykułach:

• Zarządzanie aplikacjami w Microsoft Defender for Cloud Apps

• Omówienie zarządzania obszarami ataków

• Omówienie ścieżek ataku