Microsoft macht APIs in Entra ID verfügbar, um Drittanbieter-Anwendungen die eigenständige Ausführung von Aktionen für Microsoft-Dienste zu erlauben (so genannte „Anwendungsberechtigungen“). Bestimmte Berechtigungen können eine Gefahr für die Benutzerdaten darstellen, die in diesen Diensten gespeichert werden.

Microsoft macht APIs über Anwendungen in Microsoft Entra ID verfügbar, um Drittanbieter-Anwendungen die Ausführung von Aktionen für Microsoft Entra ID selbst, Microsoft 365 (O365) und Dienste wie SharePoint Online und Exchange Online zu erlauben. „API-Berechtigungen“ schützen den Zugriff auf diese APIs und sollten nur für Dienstprinzipale verfügbar sein, die diese APIs benötigen. Die Genehmigung der Berechtigungen wird als „Anwendungsrollenzuweisung“ oder „Einwilligungserteilung“ („consent grant“) bezeichnet.
Bestimmte Berechtigungen für einige Microsoft-APIs können eine Bedrohung für die sensiblen Daten in der Umgebung darstellen, weil ein Dienstprinzipal mit diesen Berechtigungen auf potentielle sensible Informationen zugreifen kann, zugleich jedoch diskreter ist als ein Benutzer mit einer umfassenden Administratorrolle wie z. B. „Globaler Administrator“.
Wenn diese Berechtigungen legitim sind, erhöhen sie das Risiko einer Datenkompromittierung. Wenn sie nicht legitim sind, kann dies auf einen böswilligen Versuch hindeuten, auf sensible Daten wie E-Mails zuzugreifen und diese zu stehlen.
Es gibt zwei Arten von API-Berechtigungen in Microsoft Entra ID, wie in der Microsoft-Dokumentation <a href="https://learn.microsoft.com/de-de/entra/identity-platform/permissions-consent-overview">Einführung in Berechtigungen und Einwilligung</a> beschrieben:
<ul>
<li>Anwendungsberechtigungen: Dieser Indicator of Exposure untersucht diesen ersten Berechtigungstyp, siehe den zugehörigen Indicator of Exposure „Gefährliche Anwendungsberechtigungen mit Auswirkungen auf den Mandaten“ für Bedrohungen für den gesamten Microsoft Entra-Mandanten. Die Einwilligung wird von Administratoren erteilt und die Berechtigungen gelten mandantenweit. Microsoft <a href="https://learn.microsoft.com/de-de/security/operations/incident-response-playbook-app-consent#delegated-permissions-vs-application-permissions">beschreibt</a> sie wie folgt:</li>
</ul>
<blockquote>
Anwendungsberechtigungen werden von Anwendungen verwendet, die ohne einen angemeldeten Benutzer ausgeführt werden. Beispielsweise Apps, die als Hintergrunddienste oder Daemons ausgeführt werden. Für Anwendungsberechtigungen ist immer die Einwilligung eines Administrators erforderlich.
</blockquote>
<ul>
<li>Delegierte Berechtigungen: siehe den zugehörigen Indicator of Exposure „Gefährliche delegierte Berechtigungen mit Auswirkungen auf Daten”.</li>
</ul>
Dieser Indicator of Exposure (IoE) gibt nur Auskunft über Dienstprinzipale, da API-Berechtigungen nur für Dienstprinzipale gelten, nicht jedoch für Benutzer.
Dieser IoE verfolgt eine Liste sensibler Berechtigungen, von denen die meisten selbsterklärend sind. Die folgenden Berechtigungen erfordern jedoch weitere Erläuterungen:
<ul>
<li><code>Group.Read.All</code> (wird von der <a href="https://learn.microsoft.com/de-de/graph/overview">Microsoft Graph-API</a> und [Office 365 Exchange Online] bereitgestellt(<a href="https://learn.microsoft.com/de-de/exchange/permissions-exo/permissions-exo">https://learn.microsoft.com/de-de/exchange/permissions-exo/permissions-exo</a>)): Diese Berechtigung ist überraschend riskant, da sie es ermöglicht, sogar den Inhalt der M365-Gruppe „Kalender, Unterhaltungen, Dateien und andere Gruppeninhalte“ zu lesen. Berücksichtigen Sie die Auswirkungen auf M365-Gruppen, die von Microsoft Teams verwendet werden.</li>
</ul>
Legitime Anwendungen mit diesen sensiblen Berechtigungen fordern Zugriff an, der zu umfassend sein könnte. Dies kann auch ein Hinweis auf einen als „illegale Einwilligungserteilung“ bezeichneten Phishing-Angriff sein, bei dem Angreifer erfolgreich die Einwilligung eines Administrators einholen.
Deaktivierte Dienstprinzipale werden von diesem IoE standardmäßig ignoriert, da sie von Angreifern nicht direkt verwendet werden können.
Externe Referenzen:
<ul>
<li><a href="https://cloudbrothers.info/en/azure-attack-paths/#api-permissions">Cloudbrothers – Azure-Angriffspfade</a></li>
<li><a href="https://www.microsoft.com/de-de/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/#:~:text=Exchange%20Web%20Server%20API%20abuse">Microsoft – Missbrauch der Exchange Web Server-API</a></li>
<li><a href="https://www.microsoft.com/de-de/security/blog/2023/12/12/threat-actors-misuse-oauth-applications-to-automate-financially-driven-attacks/">Microsoft – Bedrohungsakteure missbrauchen OAuth-Anwendungen, um finanziell motivierte Angriffe zu automatisieren</a></li>
</ul>

Erkennungen

Gefährliche Anwendungsberechtigungen mit Auswirkungen auf Daten

MEDIUM

Version 202504150945