EIDAPP-006: Permisos excesivos de Microsoft Graph
- Plataforma
- Entra ID / M365
- Categoría
- Consent
- Severidad
- High
- Pilar de Zero Trust
- Applications & Workloads (peso 2)
- Fixtures de referencia
- 3
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
Las aplicaciones a las que se otorgan permisos de aplicación amplios de Microsoft Graph, como Directory.ReadWrite.All, Sites.ReadWrite.All o Mail.ReadWrite, obtienen acceso a datos y configuración en todo el inquilino sin contexto de usuario. Los permisos excesivos de Graph vulneran el principio de privilegio mínimo y proporcionan a los atacantes que comprometen la aplicación un acceso amplio a buzones, archivos, objetos de directorio y configuración del inquilino. Los permisos deben delimitarse al mínimo necesario para la funcionalidad de la aplicación.
Valor recomendado
Todos los permisos de Microsoft Graph delimitados al mínimo necesario, con los permisos de aplicación reemplazados por permisos delegados cuando sea posible
Remediación
Revise los permisos de Microsoft Graph de todos los registros de aplicaciones e identifique los que usan ámbitos .All amplios o permisos de nivel de aplicación cuando los permisos delegados serían suficientes. Reemplace los permisos amplios por alternativas granulares, como Mail.Read en lugar de Mail.ReadWrite.All o User.Read.All en lugar de Directory.Read.All. Use la referencia de permisos de Microsoft Graph para identificar el permiso de privilegio mínimo para cada llamada de API que realiza la aplicación.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | WARN |
| no-data | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-6(1)
- MITRE ATT&CK
- T1098.002