Esta página está traducida automáticamente y pendiente de revisión humana. Una guía de remediación de seguridad que no puedes verificar es una afirmación, así que el original en inglés está a un clic. English.
EIDAPP-005: Entidades de servicio con privilegios elevados y credenciales agregadas
- Plataforma
- Entra ID / M365
- Categoría
- Consent
- Severidad
- Critical
- Pilar de Zero Trust
- Applications & Workloads (peso 2)
- Fixtures de referencia
- 3
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
Las entidades de servicio que combinan permisos de API de alto privilegio o asignaciones de roles de directorio con credenciales de cliente agregadas representan los objetos de aplicación de mayor riesgo del inquilino. Un atacante que obtenga estas credenciales puede autenticarse de forma no interactiva con permisos elevados, eludiendo por completo los controles de MFA y de acceso condicional. Esta combinación de privilegio y acceso a credenciales es una técnica principal de persistencia y movimiento lateral en los ataques basados en la nube.
Valor recomendado
Ninguna entidad de servicio con permisos de alto privilegio y credenciales agregadas a la vez, salvo que esté documentada con controles compensatorios obligatorios
Remediación
Coteje las entidades de servicio que tienen permisos de API de alto privilegio o asignaciones de roles de directorio frente a aquellas con credenciales de clave o de contraseña agregadas. Para cada coincidencia, valide la necesidad de negocio y elimine los permisos excesivos o migre a la autenticación mediante identidad administrada, que elimina la necesidad de almacenar credenciales. Implemente autenticación basada en certificados con certificados de corta duración donde las identidades administradas no sean viables.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | FAIL |
| no-data | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-6, IA-5
- MITRE ATT&CK
- T1098.001
Cero analítica. Cero rastreo. Cero cookies. Este sitio no hace ninguna petición externa, así que no hay nada que consentir.
Guerrilla es gratuito y de código abierto. · Validación
Guerrilla is written and maintained by Jim Tyler. This copy lives on jimtyler.org; the project also publishes at guerrilla.army.