Microsoft macht APIs in Entra ID verfügbar, um Drittanbieter-Anwendungen die Ausführung von Aktionen für Microsoft-Dienste im Namen von Benutzern zu erlauben (so genannte „delegierte Berechtigungen“). Bestimmte Berechtigungen können eine Gefahr für die Benutzerdaten darstellen, die in diesen Diensten gespeichert werden.

Microsoft macht APIs über Anwendungen in Microsoft Entra ID verfügbar, um Drittanbieter-Anwendungen die Ausführung von Aktionen für Microsoft Entra ID selbst, Microsoft 365 (O365) und Dienste wie SharePoint Online und Exchange Online zu erlauben. „API-Berechtigungen“ schützen den Zugriff auf diese APIs und sollten nur für Dienstprinzipale verfügbar sein, die diese APIs benötigen. Die Genehmigung der Berechtigungen wird als „Anwendungsrollenzuweisung“ oder „Einwilligungserteilung“ („consent grant“) bezeichnet.
Bestimmte Berechtigungen für einige Microsoft-APIs können eine Bedrohung für die sensiblen Daten in der Umgebung darstellen, weil ein Dienstprinzipal mit diesen Berechtigungen auf potentielle sensible Informationen zugreifen kann, zugleich jedoch diskreter ist als ein Benutzer mit einer umfassenden Administratorrolle wie z. B. „Globaler Administrator“.
Wenn diese Berechtigungen legitim sind, erhöhen sie das Risiko einer Datenkompromittierung. Wenn sie nicht legitim sind, kann dies auf einen böswilligen Versuch hindeuten, sensible Daten wie E-Mails und Projekte aufzurufen und zu stehlen.
Es gibt zwei Arten von API-Berechtigungen in Microsoft Entra ID, wie in der Microsoft-Dokumentation <a href="https://learn.microsoft.com/de-de/entra/identity-platform/permissions-consent-overview">Einführung in Berechtigungen und Einwilligung</a> beschrieben:
<ul>
<li>Anwendungsberechtigungen: Siehe den zugehörigen Indicator of Exposure „Gefährliche Anwendungsberechtigungen mit Auswirkungen auf Daten“.</li>
<li>Delegierte Berechtigungen: Dieser Indicator of Exposure untersucht diesen zweiten Berechtigungstyp, siehe den zugehörigen Indicator of Exposure „Gefährliche delegierte Berechtigungen mit Auswirkungen auf den Mandanten” für Bedrohungen für den gesamten Microsoft Entra-Mandanten Die Einwilligung kommt von Benutzern oder Administratoren im Namen der gesamten Organisation. Beachten Sie, dass diese Berechtigungen die Fähigkeit der Anwendung einschränken, Aktionen auf Basis der Rechte des angemeldeten Benutzers durchzuführen (d. h. Schnittpunkt der Berechtigung und der Rechteebene des Benutzers). Wie gefährlich diese delegierten Berechtigungen sind, hängt daher von den tatsächlichen Berechtigungen des Anwendungsbenutzers ab, wie im Artikel <a href="https://learn.microsoft.com/de-de/security/zero-trust/develop/developer-strategy-delegated-permission">Entwickeln einer Strategie für delegierte Berechtigungen</a> beschrieben. Beispiel: Wenn ein normaler Benutzer die Berechtigung „Group.ReadWrite.All“ delegiert, erlaubt er damit der Anwendung, nur die Gruppen zu ändern, die der Benutzer bearbeiten kann, und nicht alle Gruppen. Microsoft <a href="https://learn.microsoft.com/de-de/security/operations/incident-response-playbook-app-consent#delegated-permissions-vs-application-permissions">beschreibt</a> diese Berechtigungen wie folgt:</li>
</ul>
<blockquote>
Delegierte Berechtigungen werden von Apps verwendet, bei denen ein angemeldeter Benutzer vorhanden ist und deren Einwilligung vom Administrator oder Benutzer angewendet werden kann.
</blockquote>
Dieser Indicator of Exposure (IoE) gibt nur Auskunft über Dienstprinzipale, da API-Berechtigungen nur für Dienstprinzipale gelten, nicht jedoch für Benutzer.
Dieser IoE verfolgt eine Liste sensibler Berechtigungen, von denen die meisten selbsterklärend sind. Die folgenden Berechtigungen erfordern jedoch weitere Erläuterungen:
<ul>
<li><code>Group.Read.All</code> (wird von der <a href="https://learn.microsoft.com/de-de/graph/overview">Microsoft Graph-API</a> und [Office 365 Exchange Online] bereitgestellt(<a href="https://learn.microsoft.com/de-de/exchange/permissions-exo/permissions-exo">https://learn.microsoft.com/de-de/exchange/permissions-exo/permissions-exo</a>)): Diese Berechtigung ist überraschend riskant, da sie es ermöglicht, sogar den Inhalt der M365-Gruppe „Kalender, Unterhaltungen, Dateien und andere Gruppeninhalte“ zu lesen. Berücksichtigen Sie die Auswirkungen auf M365-Gruppen, die von Microsoft Teams verwendet werden.</li>
</ul>
Legitime Anwendungen mit diesen sensiblen Berechtigungen fordern Zugriff an, der zu umfassend sein könnte. Dies kann auch ein Hinweis auf einen als „illegale Einwilligungserteilung“ bezeichneten Phishing-Angriff sein, bei dem Angreifer erfolgreich die Einwilligung eines Administrators einholen.
Deaktivierte Dienstprinzipale werden von diesem IoE standardmäßig ignoriert, da sie von Angreifern nicht direkt verwendet werden können.
Externe Referenzen:
<ul>
<li><a href="https://cloudbrothers.info/en/azure-attack-paths/#api-permissions">Cloudbrothers – Azure-Angriffspfade</a></li>
<li><a href="https://www.microsoft.com/de-de/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/#:~:text=Exchange%20Web%20Server%20API%20abuse">Microsoft – Missbrauch der Exchange Web Server-API</a></li>
<li><a href="https://www.microsoft.com/de-de/security/blog/2023/12/12/threat-actors-misuse-oauth-applications-to-automate-financially-driven-attacks/">Microsoft – Bedrohungsakteure missbrauchen OAuth-Anwendungen, um finanziell motivierte Angriffe zu automatisieren</a></li>
</ul>

Erkennungen

Gefährliche delegierte Berechtigungen mit Auswirkungen auf Daten

MEDIUM

Version 202504150945