GTRADE-006: Concesiones OAuth persistentes / con ámbitos excesivos
- Plataforma
- Google Workspace
- Categoría
- Adversary Tradecraft
- Severidad
- High
- Pilar de Zero Trust
- Visibility & Analytics (peso 2)
- Fixtures de referencia
- 3
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- original
Qué comprueba
Las concesiones OAuth de terceros que poseen ámbitos completos de Gmail/Drive/admin omiten la MFA y sobreviven a un restablecimiento de contraseña (las sesiones de Apps Script, las contraseñas de aplicación y las sesiones de IMAP-OAuth no se revocan con un restablecimiento), un canal de persistencia duradero. Google registra las concesiones pero no incluye ningún clasificador de concesiones maliciosas predeterminado.
Valor recomendado
Ninguna aplicación OAuth de terceros que posea ámbitos completos de mail/drive/admin; concesiones persistentes revisadas y revocadas explícitamente
Remediación
Seguridad > Controles de API > Control de acceso a aplicaciones: revise las aplicaciones con ámbitos completos de Gmail/Drive/Directory, restrinja a aplicaciones en la lista de permitidos y revoque explícitamente las concesiones innecesarias (un restablecimiento de contraseña por sí solo NO revoca el acceso OAuth, de contraseña de aplicación ni de Apps Script).
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | FAIL |
| no-data | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-6, IA-5
- CIS Benchmark
- 1.x
- MITRE ATT&CK
- T1550.001, T1098.001