Microsoft Graph API İzinsiz Onay ve OAuth Consent Suistimali Müdahalesi
Sahte Entra ID uygulaması veya servis principal aracılığıyla OAuth rızası ele geçirme, uygulama kimlik bilgisi ekleme ve Graph API izin yükseltme zinciriyle gerçekleştirilen erişim sürdürme saldırılarında consent revocation, uygulama kapatma ve kiracı sertleştirmesini kapsayan müdahale adımları.
Mail.ReadWrite veya Directory.ReadWrite.All kapsamı tanınan uygulamalar özellikle risklidir. Gelecekte tekrarını önlemek için kullanıcı düzeyinde uygulama izin onayını devre dışı bırakın ve yalnızca yönetici onaylı uygulamalara izin verin; bu politika Koşullu Erişim ile zorunlu kılınabilir.Prepare
6 adım- AuditLogs ve SigninLogs Sentinel akışı aktif
Entra ID `AuditLogs`, `SigninLogs`, `AADServicePrincipalSignInLogs` ve tercihen `MicrosoftGraphActivityLogs` Sentinel'e yönlendirilmiş ve en az 90 gün saklanıyor olmalı; bu kaynaklar olmadan consent ve SP credential olayları görünmez
- Detection kuralları canlı
`Consent to application` yüksek riskli izin alarmı, `Update Application/Service Principal` ile `PasswordCredentials`/`KeyCredentials` değişikliği alarmı ve `Add app role assignment to service principal` kritik izin alarmı üretimde tune edilmiş olmalı; Microsoft Sentinel şablonları: `NewAppOrServicePrincipalCredential.yaml`, `ServicePrincipalAssignedAppRoleWithSensitiveAccess.yaml`, `MailPermissionsAddedToApplication.yaml`
- Uygulama envanteri güncel
Kiracıdaki tüm uygulama kayıtları, servis principaller, sahipleri ve izin profilleri belgelenmiş; orphan (sahibi belirsiz) SP'ler periyodik olarak gözden geçiriliyor olmalı
- Honey-app canary konuşlandırılmış
Cazip görünen ancak hiç kullanılmayan yüksek ayrıcalıklı tuzak uygulama; bu uygulamaya herhangi bir credential ekleme, consent veya token talebi kritik alarmı tetikler
- IR yetkilisi tanımlı
Uygulama devre dışı bırakma ve consent revocation için onay yetkisi olan Entra Global Admin veya delege 7/24 ulaşılabilir olmalı; App Governance / Defender for Cloud Apps politika otomasyonu için ön onaylar belirlenmiş olmalı