EIDAPP-014: Titulares del rol de suplantación de aplicaciones
- Plataforma
- Entra ID / M365
- Categoría
- Consent
- Severidad
- Critical
- Pilar de Zero Trust
- Applications & Workloads (peso 2)
- Fixtures de referencia
- 3
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
El rol ApplicationImpersonation de Exchange Online otorga la capacidad de suplantar cualquier buzón de la organización, permitiendo acceso completo de lectura y escritura a todo el correo sin el conocimiento del propietario del buzón. Este rol se abusa con frecuencia en los ataques de compromiso del correo electrónico empresarial y de exfiltración de datos, ya que una sola cuenta comprometida con este rol puede acceder al correo de toda la organización. Las asignaciones deben ser extremadamente limitadas, con tiempo limitado y supervisadas de forma continua.
Valor recomendado
Ninguna asignación permanente del rol ApplicationImpersonation. Cualquier asignación necesaria debe delimitarse a buzones específicos y tener tiempo limitado
Remediación
Revise las asignaciones de roles de Exchange Online para identificar todas las entidades de seguridad que tienen el rol ApplicationImpersonation mediante Get-ManagementRoleAssignment en Exchange Online PowerShell. Elimine de inmediato todas las asignaciones innecesarias y reemplace las concesiones de suplantación amplias por asignaciones delimitadas restringidas a buzones específicos cuando sea necesario. Implemente alertas de supervisión para cualquier nueva asignación del rol ApplicationImpersonation y realice revisiones mensuales de las asignaciones existentes.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | FAIL |
| no-data | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-6(5)
- MITRE ATT&CK
- T1098.002