Data/Locales/checks/he/EntraAppChecks.json
|
{ "_family": "EntraAppChecks.json", "EIDAPP-001": { "name": { "value": "מלאי רישומי יישומים", "status": "machine-draft" }, "description": { "value": "מלאי מלא של כל רישומי היישומים מספק נראות בסיסית ליישומים המשולבים בדייר Entra ID שלך. ללא מלאי מקיף, ארגונים אינם יכולים להעריך את משטח התקיפה של היישומים שלהם או לזהות יישומים בלתי מורשים, נטושים או של צללי IT. בסיס זה מאפשר את כל בדיקות אבטחת היישומים הבאות ויש לתחזקו כמסמך חי.", "status": "machine-draft" }, "recommendedValue": { "value": "כל רישומי היישומים ממופים במלאי עם בעלים מתועדים, מטרה והצדקה עסקית", "status": "machine-draft" }, "remediationSteps": { "value": "נווט אל Entra ID > Applications > App registrations וייצא את הרשימה המלאה של היישומים הרשומים. בחן כל רישום כדי לוודא שיש לו בעלים מוקצה, מטרה עסקית מתועדת, ושהוא עדיין נדרש באופן פעיל. הסר או השבת כל רישום שאינו נחוץ עוד או חסר בעלות ניתנת לזיהוי.", "status": "machine-draft" } }, "EIDAPP-002": { "name": { "value": "רישומי יישומים בעלי הרשאות API בסיכון גבוה", "status": "machine-draft" }, "description": { "value": "רישומי יישומים בעלי הרשאות API בסיכון גבוה כגון Mail.ReadWrite, Files.ReadWrite.All, RoleManagement.ReadWrite.Directory או Application.ReadWrite.All ניתנים לניצול לקריאת נתונים רגישים, לשינוי אובייקטי ספרייה או להסלמת הרשאות בכל הדייר. תוקפים הפורצים ליישום בעל הרשאות אלו משיגים גישה רחבה השווה לזו של מנהל גלובלי או עולה עליה. יש לבחון ולהצדיק את כל ההרשאות בסיכון גבוה עם בקרות מפצות.", "status": "machine-draft" }, "recommendedValue": { "value": "אין רישומי יישומים בעלי הרשאות API בסיכון גבוה אלא אם כן מתועדים עם הצדקה עסקית ובקרות מפצות", "status": "machine-draft" }, "remediationSteps": { "value": "בחן את כל רישומי היישומים ב-Entra ID > Applications > App registrations ובדוק את כרטיסיית הרשאות ה-API עבור כל אחד. זהה יישומים בעלי הרשאות בהרשאה גבוהה כגון Directory.ReadWrite.All, Mail.ReadWrite או RoleManagement.ReadWrite.Directory. הסר הרשאות מיותרות והחלף היקפים רחבים בהרשאות המגבילות ביותר שעדיין עומדות בדרישות היישום.", "status": "machine-draft" } }, "EIDAPP-003": { "name": { "value": "רישומי יישומים בעלי פרטי הזדהות שנוספו", "status": "machine-draft" }, "description": { "value": "רישומי יישומים בעלי סודות לקוח או אישורים שנוספו מהווים מנגנוני התמדה פוטנציאליים עבור תוקפים. סוד או אישור שנפרץ מאפשר לתוקף לאמת בתור היישום ולממש את כל ההרשאות שהוענקו לו ללא אינטראקציית משתמש. יש למפות פרטי הזדהות במלאי, להחליפם לפי לוח זמנים ולהסירם כשאינם נחוצים עוד כדי לצמצם את חלון החשיפה.", "status": "machine-draft" }, "recommendedValue": { "value": "כל פרטי ההזדהות של היישומים ממופים במלאי עם לוחות זמנים מוגדרים להחלפה, וללא פרטי הזדהות ישנים מ-12 חודשים", "status": "machine-draft" }, "remediationSteps": { "value": "בחן את כל רישומי היישומים ובדוק את חלונית Certificates & secrets עבור כל אחד. תעד את כל פרטי ההזדהות הפעילים כולל תאריכי התפוגה וחותמות הזמן של היצירה שלהם. הסר מיד פרטי הזדהות שפגו או שאינם בשימוש והטמע מדיניות החלפה הדורשת חידוש פרטי הזדהות לפחות מדי שנה עם התראות אוטומטיות לפני התפוגה.", "status": "machine-draft" } }, "EIDAPP-004": { "name": { "value": "ישויות שירות של Microsoft מהצד הראשון בעלות פרטי הזדהות שנוספו", "status": "machine-draft" }, "description": { "value": "תוקפים מוסיפים פרטי הזדהות לישויות שירות של Microsoft מהצד הראשון כדי לבסס גישת דלת אחורית מתמשכת המשתלבת עם שירותי Microsoft לגיטימיים. מכיוון שישויות שירות מהצד הראשון מהימנות כברירת מחדל ולעתים קרובות מחזיקות בהרשאות נרחבות, פרטי הזדהות שנוספו לאובייקטים אלו מספקים התמדה חמקנית ובהרשאה גבוהה שרק לעתים רחוקות עוברת ביקורת. יש להתייחס לכל הוספת פרטי הזדהות לישויות שירות של Microsoft מהצד הראשון כאל אינדיקטור קריטי לפריצה.", "status": "machine-draft" }, "recommendedValue": { "value": "אין פרטי הזדהות (סודות או אישורים) שנוספו לישויות שירות כלשהן של Microsoft מהצד הראשון", "status": "machine-draft" }, "remediationSteps": { "value": "מנה את כל ישויות השירות שבהן appOwnerOrganizationId תואם למזהה הדייר של Microsoft (f8cdef31-a31e-4b4a-93e4-5f571e91255a) ובדוק אם נוספו key credentials או password credentials. הסר מיד כל פרטי הזדהות שנמצאו על ישויות שירות של Microsoft מהצד הראשון, שכן אלו כמעט בוודאות בלתי מורשים. חקור את יומני הביקורת כדי לקבוע מי הוסיף את פרטי ההזדהות ומתי, והתייחס לכך כאל אירוע אבטחה פוטנציאלי.", "status": "machine-draft" } }, "EIDAPP-005": { "name": { "value": "ישויות שירות בעלות הרשאות גבוהות ופרטי הזדהות שנוספו", "status": "machine-draft" }, "description": { "value": "ישויות שירות המשלבות הרשאות API בהרשאה גבוהה או הקצאות תפקידי ספרייה עם פרטי הזדהות לקוח שנוספו מהוות את אובייקטי היישום בסיכון הגבוה ביותר בדייר. תוקף המשיג פרטי הזדהות אלו יכול לאמת ללא אינטראקציה עם הרשאות מוגברות, ולעקוף לחלוטין בקרות MFA ו-Conditional Access. שילוב זה של הרשאה וגישה לפרטי הזדהות הוא טכניקה מרכזית להתמדה ולתנועה רוחבית בהתקפות מבוססות ענן.", "status": "machine-draft" }, "recommendedValue": { "value": "אין ישויות שירות בעלות הן הרשאות בהרשאה גבוהה והן פרטי הזדהות שנוספו, אלא אם כן מתועדות עם בקרות מפצות מחייבות", "status": "machine-draft" }, "remediationSteps": { "value": "הצלב ישויות שירות המחזיקות הרשאות API בהרשאה גבוהה או הקצאות תפקידי ספרייה אל מול אלו בעלות key או password credentials שנוספו. עבור כל התאמה, אמת את הצורך העסקי ואו הסר הרשאות מופרזות או עבור לאימות מבוסס זהות מנוהלת המבטל את הצורך בפרטי הזדהות מאוחסנים. הטמע אימות מבוסס אישורים עם אישורים קצרי-חיים היכן שזהויות מנוהלות אינן ישימות.", "status": "machine-draft" } }, "EIDAPP-006": { "name": { "value": "הרשאות Microsoft Graph מופרזות", "status": "machine-draft" }, "description": { "value": "יישומים שהוענקו להם הרשאות יישום רחבות של Microsoft Graph כגון Directory.ReadWrite.All, Sites.ReadWrite.All או Mail.ReadWrite משיגים גישה בכל הדייר לנתונים ולתצורה ללא הקשר משתמש. הרשאות Graph מופרזות מפרות את עקרון ההרשאה המזערית ומספקות לתוקפים הפורצים ליישום גישה גורפת לתיבות דואר, קבצים, אובייקטי ספרייה והגדרות דייר. יש להגביל את ההרשאות למינימום הנדרש לתפקוד היישום.", "status": "machine-draft" }, "recommendedValue": { "value": "כל הרשאות Microsoft Graph מוגבלות למינימום הנדרש, כאשר הרשאות יישום מוחלפות בהרשאות מואצלות היכן שניתן", "status": "machine-draft" }, "remediationSteps": { "value": "בחן את הרשאות Microsoft Graph עבור כל רישומי היישומים וזהה כל שימוש בהיקפי .All רחבים או בהרשאות ברמת יישום היכן שהרשאות מואצלות יספיקו. החלף הרשאות רחבות בחלופות מפורטות כגון Mail.Read במקום Mail.ReadWrite.All או User.Read.All במקום Directory.Read.All. השתמש בעיון הרשאות Microsoft Graph כדי לזהות את ההרשאה בהרשאה המזערית עבור כל קריאת API שהיישום מבצע.", "status": "machine-draft" } }, "EIDAPP-007": { "name": { "value": "רישומי יישומים בעלי הקצאות תפקיד Azure IAM", "status": "machine-draft" }, "description": { "value": "רישומי יישומים או ישויות השירות המתאימות להם בעלי הקצאות תפקיד IAM ברמת משאבי Azure כגון Contributor, Owner או User Access Administrator יכולים לשנות תשתית Azure, לפרוס משאבים או להסלים הרשאות על פני מנויים. הקצאות תפקיד אלו מרחיבות את רדיוס הפגיעה של היישום מעבר ל-Entra ID אל מישור משאבי Azure, ומאפשרות פריצת תשתית אם פרטי ההזדהות של היישום נגנבים.", "status": "machine-draft" }, "recommendedValue": { "value": "אין רישומי יישומים בעלי הקצאות תפקיד Azure IAM מעל Reader אלא אם כן מתועדים עם הצדקה עסקית והיקף בהרשאה מזערית", "status": "machine-draft" }, "remediationSteps": { "value": "בחן את הקצאות תפקיד Azure IAM ברמות קבוצת הניהול, המנוי וקבוצת המשאבים כדי לזהות כל הקצאה לישויות שירות של יישומים. הסר הקצאות Owner ו-User Access Administrator והחלף תפקידי Contributor רחבים בתפקידים מותאמים אישית המוגבלים לסוגי משאבים ולפעולות ספציפיים. הגבל הקצאות IAM להיקף הצר ביותר האפשרי, והעדף הקצאות ברמת קבוצת המשאבים על פני הקצאות ברמת המנוי.", "status": "machine-draft" } }, "EIDAPP-008": { "name": { "value": "ניטור תפוגת פרטי הזדהות", "status": "machine-draft" }, "description": { "value": "פרטי הזדהות של יישומים (סודות לקוח ואישורים) המתקרבים לתפוגה או שכבר פגו עלולים לגרום להשבתת שירות אם אינם מוחלפים בזמן, או ליצור סיכוני אבטחה אם מדיניות התפוגה מוגדרת רחוק מדי בעתיד. פרטי הזדהות בעלי תקופות תוקף ארוכות מאריכים את החלון שבו ניתן לנצל פרטי הזדהות שנפרצו. ניטור והתראה יזומים על תפוגת פרטי הזדהות מבטיחים החלפה בזמן ומצמצמים את החשיפה לסיכוני אבטחה.", "status": "machine-draft" }, "recommendedValue": { "value": "לכל פרטי ההזדהות של היישומים תוקף מרבי של 12 חודשים עם התראות אוטומטיות 30 ו-60 ימים לפני התפוגה", "status": "machine-draft" }, "remediationSteps": { "value": "מנה את כל פרטי ההזדהות של היישומים ואת תאריכי התפוגה שלהם באמצעות Microsoft Graph API. זהה פרטי הזדהות הפגים תוך 30 ימים ואת אלו בעלי תקופות תוקף העולות על 12 חודשים. הטמע תהליך ניטור אוטומטי המתריע לבעלי היישומים ולצוותי האבטחה כאשר פרטי הזדהות מתקרבים לתפוגה, ואכוף מדיניות של משך חיים מרבי לפרטי הזדהות באמצעות נהלי ממשל.", "status": "machine-draft" } }, "EIDAPP-009": { "name": { "value": "רישומי יישומים מיושנים", "status": "machine-draft" }, "description": { "value": "רישומי יישומים ללא פעילות כניסה עדכנית עשויים להיות נטושים, יתומים או בלתי נחוצים עוד, אך הם שומרים על כל ההרשאות ופרטי ההזדהות שהוענקו להם. יישומים מיושנים מרחיבים את משטח התקיפה מכיוון שלא סביר שינוטרו או יתוחזקו על ידי בעליהם המקוריים, מה שהופך אותם ליעדים אטרקטיביים לתוקפים המחפשים לנצל פרטי הזדהות או הרשאות נשכחים. ניקוי סדיר של יישומים שאינם בשימוש מצמצם את חשיפת הסיכון הכוללת של הדייר.", "status": "machine-draft" }, "recommendedValue": { "value": "אין רישומי יישומים ללא פעילות כניסה ב-90 הימים האחרונים אלא אם כן מתועדים עם חריגה תקפה", "status": "machine-draft" }, "remediationSteps": { "value": "בחן את יומני הכניסה של היישומים ב-Entra ID כדי לזהות יישומים ללא פעילות אימות ב-90 הימים האחרונים. פנה לבעלי היישומים הרשומים כדי לאשר האם היישום עדיין נדרש. השבת או מחק רישומי יישומים מיושנים לאחר אישור שאינם נחוצים עוד, והסר כל פרטי הזדהות והרשאות משויכים.", "status": "machine-draft" } }, "EIDAPP-010": { "name": { "value": "ניתוח יישומים רב-דייריים", "status": "machine-draft" }, "description": { "value": "רישומי יישומים רב-דייריים מוגדרים לקבל כניסות מכל דייר Entra ID, ומאפשרים למשתמשים מארגונים חיצוניים לאמת. אף שהדבר נחוץ לתרחישי SaaS ושותפים, תצורה רב-דיירית ביישומים פנימיים יוצרת סיכון מיותר בכך שהיא מאפשרת לזהויות חיצוניות להשיג אסימונים. יש לאמת כל יישום רב-דיירי כדי לוודא שהתצורה מכוונת ושקיימות בקרות הרשאה מתאימות.", "status": "machine-draft" }, "recommendedValue": { "value": "אין רישומי יישומים רב-דייריים אלא אם כן נדרשים לצורך עסקי עם הצדקה מתועדת ובקרות הרשאה מתאימות", "status": "machine-draft" }, "remediationSteps": { "value": "בחן את כל רישומי היישומים וזהה את אלו שבהם signInAudience מוגדר ל-AzureADMultipleOrgs או ל-AzureADandPersonalMicrosoftAccount. עבור כל יישום רב-דיירי, אמת שגישה רב-דיירית נדרשת ותעד את ההצדקה העסקית. המר יישומים שאינם דורשים גישה רב-דיירית לתצורה חד-דיירית והטמע אימות אסימונים כדי להגביל אילו דיירים חיצוניים יכולים לגשת ליישומים רב-דייריים.", "status": "machine-draft" } }, "EIDAPP-011": { "name": { "value": "ניתוח מתן הסכמות", "status": "machine-draft" }, "description": { "value": "מתן הסכמות OAuth מאשר ליישומים לגשת לנתונים ארגוניים בשם משתמשים (מואצל) או בתור היישום עצמו (ברמת יישום). מתן הסכמת מנהל מספק גישה בכל הדייר עבור כל המשתמשים, בעוד שמתן הסכמת משתמש מוגבל למשתמשים בודדים. מתן הסכמות זדוני או מופרז הוא טכניקה מרכזית המשמשת בהתקפות דיוג של OAuth כדי להשיג גישה מתמשכת לתיבות דואר, קבצים ונתוני ספרייה ללא צורך בפרטי הזדהות.", "status": "machine-draft" }, "recommendedValue": { "value": "כל מתן הסכמות המנהל נסקרים ומוצדקים. אין מתן הסכמות משתמש עבור הרשאות בסיכון גבוה. נקבעו סקירות סדירות של מתן ההסכמות", "status": "machine-draft" }, "remediationSteps": { "value": "מנה את כל הענקות הרשאת OAuth2 בדייר באמצעות Microsoft Graph וסווג אותן כהסכמת מנהל או כהסכמת משתמש. בחן מתן הסכמות מנהל לאיתור הרשאות רחבות מדי ובטל כל הסכמה שאינה מוצדקת עוד. חקור מתן הסכמות משתמש עבור יישומים חשודים, במיוחד אלו המבקשים Mail.Read, Files.ReadWrite או היקפים רגישים אחרים, ובטל הענקות בלתי מורשות.", "status": "machine-draft" } }, "EIDAPP-012": { "name": { "value": "מדיניות הגדרות הסכמת משתמש", "status": "machine-draft" }, "description": { "value": "מדיניות הגדרות הסכמת המשתמש שולטת האם משתמשים יכולים להעניק ליישומים גישה לנתונים ארגוניים ללא אישור מנהל. הגדרות הסכמה מתירניות מאפשרות למשתמשים לאשר יישומים באופן עצמאי, מה שתוקפים מנצלים באמצעות קמפייני דיוג של מתן הסכמה בלתי חוקי כדי להשיג גישה מתמשכת. הגבלת הסכמת המשתמש למפרסמים מאומתים או השבתתה לחלוטין מכריחה את כל ההסכמות דרך תהליך אישור מנהל.", "status": "machine-draft" }, "recommendedValue": { "value": "הסכמת משתמש מושבתת או מוגבלת ליישומים ממפרסמים מאומתים בעלי הרשאות בסיכון נמוך בלבד", "status": "machine-draft" }, "remediationSteps": { "value": "נווט אל Entra ID > Enterprise applications > Consent and permissions > User consent settings. הגדר את הסכמת המשתמש ל-'Do not allow user consent' או ל-'Allow user consent for apps from verified publishers, for selected permissions only' עם הרשאות בסיכון נמוך בלבד נבחרות. הפעל את תהליך הסכמת המנהל כדי לספק תהליך מובנה שבו משתמשים יבקשו גישה ליישומים הדורשים אישור מנהל.", "status": "machine-draft" } }, "EIDAPP-013": { "name": { "value": "תצורת תהליך הסכמת מנהל", "status": "machine-draft" }, "description": { "value": "תהליך הסכמת המנהל מספק תהליך מובנה שבו משתמשים מבקשים אישור מנהל לפני שיישומים יכולים לגשת לנתונים ארגוניים. ללא תהליך הסכמת מנהל, למשתמשים שהסכמתם מוגבלת אין מנגנון רשמי לבקש גישה ליישום, מה שמוביל לעקיפות של צללי IT או לצווארי בקבוק במוקד התמיכה. תהליך המוגדר כראוי מבטיח שבקשות יישום לגיטימיות נסקרות ומאושרות על ידי מנהלים ייעודיים.", "status": "machine-draft" }, "recommendedValue": { "value": "תהליך הסכמת מנהל מופעל עם בודקים ייעודיים ועם הסכם רמת שירות מוגדר להשלמת הסקירה", "status": "machine-draft" }, "remediationSteps": { "value": "נווט אל Entra ID > Enterprise applications > Consent and permissions > Admin consent settings. הפעל את תהליך הסכמת המנהל והגדר בודקים מתאימים מצוותי האבטחה או ניהול ה-IT שלך. הגדר הגדרות התראה כדי להתריע לבודקים על בקשות ממתינות וקבע הסכם רמת שירות לזמן הטיפול בסקירה כדי למנוע צווארי בקבוק בתהליך.", "status": "machine-draft" } }, "EIDAPP-014": { "name": { "value": "מחזיקי תפקיד ApplicationImpersonation", "status": "machine-draft" }, "description": { "value": "תפקיד ApplicationImpersonation ב-Exchange Online מעניק את היכולת להתחזות לכל תיבת דואר בארגון, ומאפשר גישת קריאה וכתיבה מלאה לכל הדואר האלקטרוני ללא ידיעת בעל תיבת הדואר. תפקיד זה מנוצל לרעה לעתים קרובות בהתקפות פריצה לדואר אלקטרוני עסקי ובחילוץ נתונים, מכיוון שחשבון יחיד שנפרץ בעל תפקיד זה יכול לגשת לכל הדואר האלקטרוני של הארגון. יש להגביל את ההקצאות באופן קיצוני, לתחום אותן בזמן ולנטר אותן ברציפות.", "status": "machine-draft" }, "recommendedValue": { "value": "אין הקצאות תפקיד ApplicationImpersonation קבועות. כל הקצאה נדרשת חייבת להיות מוגבלת לתיבות דואר ספציפיות ומוגבלת בזמן", "status": "machine-draft" }, "remediationSteps": { "value": "בחן את הקצאות התפקידים ב-Exchange Online כדי לזהות את כל הישויות המחזיקות בתפקיד ApplicationImpersonation באמצעות Get-ManagementRoleAssignment ב-Exchange Online PowerShell. הסר מיד את כל ההקצאות המיותרות והחלף הענקות התחזות רחבות בהקצאות מוגבלות התחומות לתיבות דואר ספציפיות היכן שנדרש. הטמע התראות ניטור על כל הקצאת תפקיד ApplicationImpersonation חדשה ובצע סקירות חודשיות של ההקצאות הקיימות.", "status": "machine-draft" } }, "EIDAPP-015": { "name": { "value": "סקירת הענקות הרשאת OAuth2", "status": "machine-draft" }, "description": { "value": "הענקות הרשאת OAuth2 מגדירות את ההרשאות הספציפיות שיישומים הורשו לממש, אם כהרשאות מואצלות הפועלות בשם משתמש או כהרשאות יישום הפועלות באופן עצמאי. הענקות הרשאה מצטברות על פני יישומים רבים עלולות ליצור רשת גישה מורכבת שקשה לבקר ועשויה לכלול הרשאות רחבות מדי או מיותרות. סקירה סדירה מבטיחה שההענקות יישארו מותאמות לדרישות העסקיות הנוכחיות.", "status": "machine-draft" }, "recommendedValue": { "value": "כל הענקות הרשאת OAuth2 נסקרות מדי רבעון, והענקות מיושנות או מופרזות מבוטלות", "status": "machine-draft" }, "remediationSteps": { "value": "ייצא את כל הענקות הרשאת OAuth2 באמצעות Microsoft Graph וסווג אותן לפי סוג הרשאה (מואצלת לעומת יישום), משאב והיקף. זהה הענקות עבור יישומים שאינם פעילים עוד או הרשאות העולות על הנדרש לתפקוד היישום הנוכחי. בטל הענקות מיותרות דרך מרכז הניהול של Entra או Microsoft Graph API וקבע מחזור סקירה רבעוני עבור כל ההענקות הפעילות.", "status": "machine-draft" } }, "EIDAPP-016": { "name": { "value": "מלאי והרשאות של זהויות מנוהלות", "status": "machine-draft" }, "description": { "value": "זהויות מנוהלות מספקות למשאבי Azure פרטי הזדהות המנוהלים אוטומטית לצורך אימות מול שירותים התומכים באימות Entra ID. אף שזהויות מנוהלות מבטלות את הצורך בפרטי הזדהות מאוחסנים, הן עדיין עלולות להיות בעלות הרשאות יתר או מוקצות למשאבים שאינם זקוקים להן עוד. מלאי מקיף של זהויות מנוהלות ושל הקצאות ההרשאות שלהן מבטיח גישה בהרשאה מזערית ומזהה זהויות יתומות המשויכות למשאבים שנמחקו.", "status": "machine-draft" }, "recommendedValue": { "value": "כל הזהויות המנוהלות ממופות במלאי עם שיוכי משאבים מתועדים והקצאות הרשאה בהרשאה מזערית", "status": "machine-draft" }, "remediationSteps": { "value": "מנה את כל הזהויות המנוהלות המוקצות-מערכת והמוקצות-משתמש על פני מנויי Azure באמצעות Azure Resource Graph או פורטל Azure. בחן את הקצאות התפקידים והרשאות ה-API שהוענקו לכל זהות מנוהלת וודא שהן עומדות בעקרונות ההרשאה המזערית. הסר הקצאות תפקידים מזהויות מנוהלות המשויכות למשאבים שנמחקו או הוצאו משירות ותעד את המטרה ואת דרישות ההרשאה עבור כל זהות מנוהלת פעילה.", "status": "machine-draft" } }, "EIDAPP-017": { "name": { "value": "פעילות כניסה של ישות שירות", "status": "machine-draft" }, "description": { "value": "ניטור פעילות הכניסה של ישויות שירות מספק נראות לאילו יישומים מאמתים באופן פעיל ומאילו כתובות IP. דפוסי כניסה חריגים כגון אימות ממיקומים גאוגרפיים בלתי צפויים, נפחי בקשות חריגים או כניסות מיישומים שאמורים להיות רדומים עשויים להעיד על פריצה לפרטי הזדהות או על שימוש בלתי מורשה. נתוני פעילות בסיסיים אלו חיוניים לזיהוי חריגות ולחקירת אירועים.", "status": "machine-draft" }, "recommendedValue": { "value": "יומני הכניסה של ישויות השירות נסקרים באופן סדיר עם פרופילי פעילות בסיסיים שנקבעו עבור יישומים קריטיים", "status": "machine-draft" }, "remediationSteps": { "value": "בחן את יומני הכניסה של ישויות השירות ב-Entra ID > Monitoring > Sign-in logs > Service principal sign-ins. קבע פרופילי פעילות בסיסיים עבור יישומים קריטיים כולל תדירות אימות רגילה, טווחי IP מקור ומשאבי יעד. הגדר התראות על דפוסי כניסה חריגים של ישויות שירות כגון אימות מכתובות IP חדשות, פעילות בשעות חריגות של היום או כניסות מיישומים שהיו רדומים.", "status": "machine-draft" } }, "EIDAPP-018": { "name": { "value": "מעקב שינויים ברישומי יישומים ובישויות שירות", "status": "machine-draft" }, "description": { "value": "יש לעקוב ולסקור שינויים ברישומי יישומים ובישויות שירות כגון הוספת פרטי הזדהות חדשים, שינויי הרשאות או שינויי תצורה. תוקפים משנים לעתים קרובות יישומים קיימים כדי להוסיף פרטי הזדהות של דלת אחורית, להסלים הרשאות או לשנות כתובות URI להפניה כחלק מטכניקות התמדה והסלמת הרשאות. ללא מעקב שינויים, שינויים אלו עלולים להישאר בלתי מזוהים ללא הגבלת זמן.", "status": "machine-draft" }, "recommendedValue": { "value": "כל השינויים ברישומי יישומים ובישויות שירות נרשמים, מנוטרים ונסקרים עם התראות על שינויים בסיכון גבוה", "status": "machine-draft" }, "remediationSteps": { "value": "הגדר ניטור יומן ביקורת כדי ללכוד את כל השינויים ברישומי יישומים ובישויות שירות כולל הוספת פרטי הזדהות, שינויי הרשאות ושינויי תצורה. צור כללי התראה ב-Microsoft Sentinel או ב-Azure Monitor עבור שינויים בסיכון גבוה כגון פרטי הזדהות חדשים שנוספו ליישומים קיימים, שינויים בהענקת הרשאות יישום ושינויי כתובת URL להשבה. קבע תהליך סקירה עבור כל שינויי היישומים עם בודקי אבטחה ייעודיים.", "status": "machine-draft" } }, "EIDAPP-019": { "name": { "value": "כתובות Reply URL תלויות", "status": "machine-draft" }, "description": { "value": "כתובות Reply URL המצביעות על דומיינים שפגו, אינם בבעלות או לא נתבעו מאפשרות גניבת אסימונים בכך שהן מאפשרות לתוקפים לרשום את הדומיין הנטוש וליירט קודי הרשאת OAuth ואסימונים המופנים על ידי Entra ID. פגיעות זו, המוכרת כהשתלטות על תת-דומיין או כהתקפת DNS תלוי, מעניקה לתוקפים את היכולת להשיג אסימוני גישה תקפים עבור הרשאות היישום ללא כל פריצה לפרטי הזדהות. יש לאמת את כל כתובות ה-Reply URL כדי לוודא שהן מפנות לתשתית בשליטת הארגון.", "status": "machine-draft" }, "recommendedValue": { "value": "כל כתובות ה-Reply URL מפנות לדומיינים פעילים בבעלות הארגון ללא הפניות לדומיינים תלויים או שפגו", "status": "machine-draft" }, "remediationSteps": { "value": "חלץ את כל כתובות ה-Reply URL מרישומי היישומים ופתור כל דומיין כדי לאמת בעלות ורישום DNS פעיל. זהה כל כתובת Reply URL המצביעה על דומיינים שפגו, זמינים לרישום או שאינם בשליטת הארגון. הסר או עדכן מיד כתובות Reply URL תלויות והטמע תהליך סקירה תקופתי לזיהוי הפניות תלויות חדשות ככל שדומיינים פגים או שהתשתית משתנה.", "status": "machine-draft" } }, "EIDAPP-020": { "name": { "value": "הסכמת בעל קבוצה ליישומים חסומה", "status": "machine-draft" }, "description": { "value": "כאשר הסכמה ספציפית-לקבוצה (הסכמת בעל קבוצה) מופעלת, בעלים של קבוצות Microsoft 365 ושל Teams יכולים לאשר ליישומים לגשת לנתונים בבעלות הקבוצה שלהם ללא סקירת מנהל. תוקפים מנצלים זאת באמצעות דיוג של מתן הסכמה בלתי חוקי המכוון לבעלי קבוצות וצוותים כדי להשיג גישה מתמשכת ומוגבלת לנתונים ארגוניים. SCuBA דורש שבעלי קבוצות לא יורשו להסכים ליישומים, ובכך מכריח את כל ההסכמות מסוג זה דרך תהליך אישור המנהל. ב-Entra ID הדבר נשלט על ידי הגדרת EnableGroupSpecificConsent בהגדרות הספרייה (קבוצה); היא חייבת להיות false. שים לב ש-Microsoft הוציאה משימוש את מתג מרכז הניהול עבור בקרה זו, אך הגדרת הספרייה הבסיסית נותרת האות המוסמך.", "status": "machine-draft" }, "recommendedValue": { "value": "EnableGroupSpecificConsent מוגדר ל-false בהגדרות הספרייה (קבוצה) - בעלי קבוצות אינם יכולים להסכים ליישומים", "status": "machine-draft" }, "remediationSteps": { "value": "ודא שבעלי קבוצות אינם יכולים להסכים ליישומים, בהתאם לדרישת SCuBA MS.AAD.5.4. הגדר את הגדרת הספרייה (קבוצה) 'EnableGroupSpecificConsent' ל-false (תבנית הגדרות Group.Unified). נתב את כל הסכמות היישומים עבור נתונים בבעלות קבוצה דרך תהליך הסכמת המנהל כך שבודק יאשר את הגישה. היכן שמתג מרכז הניהול הישן אינו קיים עוד, אמת את ערך הגדרת הספרייה ישירות דרך תצורת הגדרות הקבוצה.", "status": "machine-draft" } } } |