EIDAPP-005: Entidades de servicio con privilegios elevados y credenciales agregadas

Plataforma: Entra ID / M365
Categoría: Consent
Severidad: Critical
Pilar de Zero Trust: Applications & Workloads (peso 2)
Fixtures de referencia: 3
Cobertura de ramas: Observada: los fixtures prueban los veredictos que ejercitan
Procedencia: baseline

Qué comprueba

Las entidades de servicio que combinan permisos de API de alto privilegio o asignaciones de roles de directorio con credenciales de cliente agregadas representan los objetos de aplicación de mayor riesgo del inquilino. Un atacante que obtenga estas credenciales puede autenticarse de forma no interactiva con permisos elevados, eludiendo por completo los controles de MFA y de acceso condicional. Esta combinación de privilegio y acceso a credenciales es una técnica principal de persistencia y movimiento lateral en los ataques basados en la nube.

Valor recomendado

Ninguna entidad de servicio con permisos de alto privilegio y credenciales agregadas a la vez, salvo que esté documentada con controles compensatorios obligatorios

Remediación

Coteje las entidades de servicio que tienen permisos de API de alto privilegio o asignaciones de roles de directorio frente a aquellas con credenciales de clave o de contraseña agregadas. Para cada coincidencia, valide la necesidad de negocio y elimine los permisos excesivos o migre a la autenticación mediante identidad administrada, que elimina la necesidad de almacenar credenciales. Implemente autenticación basada en certificados con certificados de corta duración donde las identidades administradas no sean viables.

Veredictos probados con fixtures

Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.

Escenarios de veredicto de EIDAPP-005
Escenario	Veredicto esperado
clean	PASS
known-bad	FAIL
no-data	Not Assessed

Mapeos a marcos de referencia

NIST SP 800-53: AC-6, IA-5
MITRE ATT&CK: T1098.001