Data/Locales/checks/it/EntraAppChecks.json
|
{ "_family": "EntraAppChecks.json", "EIDAPP-001": { "name": { "value": "Inventario delle registrazioni delle applicazioni", "status": "machine-draft" }, "description": { "value": "Un inventario completo di tutte le registrazioni delle applicazioni fornisce una visibilità di base sulle applicazioni integrate con il tuo tenant Entra ID. Senza un inventario completo, le organizzazioni non possono valutare la superficie di attacco delle proprie applicazioni né individuare applicazioni non autorizzate, abbandonate o di shadow IT. Questa baseline abilita tutti i successivi controlli di sicurezza delle applicazioni e dovrebbe essere mantenuta come documento vivo.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le registrazioni delle applicazioni inventariate con proprietari, finalità e giustificazione aziendale documentati", "status": "machine-draft" }, "remediationSteps": { "value": "Passa a Entra ID > Applications > App registrations ed esporta l'elenco completo delle applicazioni registrate. Esamina ciascuna registrazione per confermare che abbia un proprietario assegnato, una finalità aziendale documentata e che sia ancora effettivamente necessaria. Rimuovi o disabilita le registrazioni non più necessarie o prive di una proprietà identificabile.", "status": "machine-draft" } }, "EIDAPP-002": { "name": { "value": "Registrazioni di app con autorizzazioni API ad alto rischio", "status": "machine-draft" }, "description": { "value": "Le registrazioni delle applicazioni con autorizzazioni API ad alto rischio come Mail.ReadWrite, Files.ReadWrite.All, RoleManagement.ReadWrite.Directory o Application.ReadWrite.All possono essere sfruttate per leggere dati sensibili, modificare oggetti della directory o elevare i privilegi a livello di intero tenant. Gli aggressori che compromettono un'applicazione con queste autorizzazioni ottengono un accesso ampio equivalente o superiore a quello di un Global Administrator. Tutte le autorizzazioni ad alto rischio devono essere esaminate e giustificate con controlli compensativi.", "status": "machine-draft" }, "recommendedValue": { "value": "Nessuna registrazione di app con autorizzazioni API ad alto rischio, salvo quando documentata con giustificazione aziendale e controlli compensativi", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina tutte le registrazioni delle applicazioni in Entra ID > Applications > App registrations e controlla la scheda delle autorizzazioni API di ciascuna. Individua le applicazioni con autorizzazioni ad alto privilegio come Directory.ReadWrite.All, Mail.ReadWrite o RoleManagement.ReadWrite.Directory. Rimuovi le autorizzazioni non necessarie e sostituisci gli ambiti ampi con le autorizzazioni più restrittive che soddisfino comunque i requisiti dell'applicazione.", "status": "machine-draft" } }, "EIDAPP-003": { "name": { "value": "Registrazioni di app con credenziali aggiunte", "status": "machine-draft" }, "description": { "value": "Le registrazioni delle applicazioni con segreti client o certificati aggiunti rappresentano potenziali meccanismi di persistenza per gli aggressori. Un segreto o un certificato compromesso consente a un aggressore di autenticarsi come l'applicazione ed esercitare tutte le autorizzazioni concesse senza alcuna interazione dell'utente. Le credenziali dovrebbero essere inventariate, ruotate secondo una pianificazione e rimosse quando non più necessarie per limitare la finestra di esposizione.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le credenziali delle applicazioni inventariate con pianificazioni di rotazione definite e nessuna credenziale più vecchia di 12 mesi", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina tutte le registrazioni delle applicazioni e controlla il pannello Certificates & secrets di ciascuna. Documenta tutte le credenziali attive, comprese le date di scadenza e i timestamp di creazione. Rimuovi immediatamente le credenziali scadute o inutilizzate e stabilisci un criterio di rotazione che imponga il rinnovo delle credenziali almeno una volta all'anno con avvisi automatici prima della scadenza.", "status": "machine-draft" } }, "EIDAPP-004": { "name": { "value": "Entità servizio Microsoft di prima parte con credenziali aggiunte", "status": "machine-draft" }, "description": { "value": "Gli aggressori aggiungono credenziali alle entità servizio Microsoft di prima parte per stabilire un accesso backdoor persistente che si confonde con i servizi Microsoft legittimi. Poiché le entità servizio di prima parte sono attendibili per impostazione predefinita e spesso detengono autorizzazioni estese, le credenziali aggiunte a questi oggetti forniscono una persistenza furtiva e ad alto privilegio che raramente viene sottoposta ad audit. Qualsiasi aggiunta di credenziali a entità servizio Microsoft di prima parte dovrebbe essere trattata come un indicatore critico di compromissione.", "status": "machine-draft" }, "recommendedValue": { "value": "Nessuna credenziale (segreto o certificato) aggiunta ad alcuna entità servizio Microsoft di prima parte", "status": "machine-draft" }, "remediationSteps": { "value": "Enumera tutte le entità servizio in cui appOwnerOrganizationId corrisponde all'ID del tenant Microsoft (f8cdef31-a31e-4b4a-93e4-5f571e91255a) e verifica la presenza di credenziali chiave o credenziali password aggiunte. Rimuovi immediatamente qualsiasi credenziale trovata sulle entità servizio Microsoft di prima parte, poiché è quasi certamente non autorizzata. Analizza i log di audit per determinare chi ha aggiunto le credenziali e quando, trattando l'evento come un potenziale incidente di sicurezza.", "status": "machine-draft" } }, "EIDAPP-005": { "name": { "value": "Entità servizio con privilegi elevati e credenziali aggiunte", "status": "machine-draft" }, "description": { "value": "Le entità servizio che combinano autorizzazioni API ad alto privilegio o assegnazioni di ruoli di directory con credenziali client aggiunte rappresentano gli oggetti applicativi a più alto rischio del tenant. Un aggressore che ottiene queste credenziali può autenticarsi in modo non interattivo con autorizzazioni elevate, aggirando completamente i controlli MFA e di accesso condizionale. Questa combinazione di privilegio e accesso alle credenziali è una delle principali tecniche di persistenza e movimento laterale negli attacchi basati sul cloud.", "status": "machine-draft" }, "recommendedValue": { "value": "Nessuna entità servizio con autorizzazioni ad alto privilegio e credenziali aggiunte insieme, salvo quando documentata con controlli compensativi obbligatori", "status": "machine-draft" }, "remediationSteps": { "value": "Incrocia le entità servizio che detengono autorizzazioni API ad alto privilegio o assegnazioni di ruoli di directory con quelle dotate di credenziali chiave o password aggiunte. Per ogni corrispondenza, verifica la necessità aziendale e rimuovi le autorizzazioni eccessive oppure migra all'autenticazione tramite identità gestita, che elimina la necessità di credenziali archiviate. Implementa l'autenticazione basata su certificati con certificati a breve durata dove le identità gestite non sono praticabili.", "status": "machine-draft" } }, "EIDAPP-006": { "name": { "value": "Autorizzazioni eccessive di Microsoft Graph", "status": "machine-draft" }, "description": { "value": "Le applicazioni a cui vengono concesse autorizzazioni applicative ampie di Microsoft Graph come Directory.ReadWrite.All, Sites.ReadWrite.All o Mail.ReadWrite ottengono un accesso a livello di intero tenant a dati e configurazioni senza contesto utente. Autorizzazioni Graph eccessive violano il principio del privilegio minimo e forniscono agli aggressori che compromettono l'applicazione un accesso estesissimo a cassette postali, file, oggetti della directory e impostazioni del tenant. Le autorizzazioni dovrebbero essere delimitate al minimo necessario per il funzionamento dell'applicazione.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le autorizzazioni di Microsoft Graph delimitate al minimo necessario, con le autorizzazioni applicative sostituite da autorizzazioni delegate dove possibile", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina le autorizzazioni di Microsoft Graph di tutte le registrazioni delle applicazioni e individua quelle che usano ambiti .All ampi o autorizzazioni a livello di applicazione dove basterebbero autorizzazioni delegate. Sostituisci le autorizzazioni ampie con alternative granulari, come Mail.Read invece di Mail.ReadWrite.All o User.Read.All invece di Directory.Read.All. Usa il riferimento alle autorizzazioni di Microsoft Graph per individuare l'autorizzazione a privilegio minimo per ciascuna chiamata API effettuata dall'applicazione.", "status": "machine-draft" } }, "EIDAPP-007": { "name": { "value": "Registrazioni di app con assegnazioni di ruolo Azure IAM", "status": "machine-draft" }, "description": { "value": "Le registrazioni delle applicazioni o le corrispondenti entità servizio con assegnazioni di ruolo IAM a livello di risorse di Azure, come Contributor, Owner o User Access Administrator, possono modificare l'infrastruttura di Azure, distribuire risorse o elevare i privilegi tra le sottoscrizioni. Queste assegnazioni di ruolo estendono il raggio d'azione dell'applicazione oltre Entra ID fino al piano delle risorse di Azure, consentendo la compromissione dell'infrastruttura in caso di furto delle credenziali dell'applicazione.", "status": "machine-draft" }, "recommendedValue": { "value": "Nessuna registrazione di app con assegnazioni di ruolo Azure IAM superiori a Reader, salvo quando documentata con giustificazione aziendale e ambito a privilegio minimo", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina le assegnazioni di ruolo Azure IAM a livello di gruppo di gestione, sottoscrizione e gruppo di risorse per individuare quelle assegnate a entità servizio delle applicazioni. Rimuovi le assegnazioni Owner e User Access Administrator e sostituisci i ruoli Contributor ampi con ruoli personalizzati delimitati a tipi di risorse e azioni specifici. Limita le assegnazioni IAM all'ambito più ristretto possibile, preferendo il livello di gruppo di risorse a quello di sottoscrizione.", "status": "machine-draft" } }, "EIDAPP-008": { "name": { "value": "Monitoraggio della scadenza delle credenziali", "status": "machine-draft" }, "description": { "value": "Le credenziali delle applicazioni (segreti client e certificati) che si avvicinano alla scadenza o sono già scadute possono causare interruzioni del servizio se non vengono ruotate in tempo, oppure creare rischi di sicurezza se i criteri di scadenza sono impostati troppo in avanti nel futuro. Le credenziali con periodi di validità lunghi estendono la finestra durante la quale una credenziale compromessa può essere sfruttata. Il monitoraggio proattivo e gli avvisi sulla scadenza delle credenziali garantiscono una rotazione tempestiva e riducono l'esposizione alla sicurezza.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le credenziali delle applicazioni hanno una validità massima di 12 mesi con avvisi automatici a 30 e 60 giorni prima della scadenza", "status": "machine-draft" }, "remediationSteps": { "value": "Enumera tutte le credenziali delle applicazioni e le relative date di scadenza usando l'API Microsoft Graph. Individua le credenziali in scadenza entro 30 giorni e quelle con periodi di validità superiori a 12 mesi. Stabilisci un processo di monitoraggio automatizzato che avvisi i proprietari delle applicazioni e i team di sicurezza quando le credenziali si avvicinano alla scadenza, e imponi un criterio di durata massima delle credenziali tramite procedure di governance.", "status": "machine-draft" } }, "EIDAPP-009": { "name": { "value": "Registrazioni di app obsolete", "status": "machine-draft" }, "description": { "value": "Le registrazioni delle applicazioni senza attività di accesso recente possono essere abbandonate, orfane o non più necessarie, eppure conservano tutte le autorizzazioni e le credenziali concesse. Le applicazioni obsolete ampliano la superficie di attacco perché è improbabile che vengano monitorate o manutenute dai proprietari originali, rendendole obiettivi interessanti per gli aggressori che cercano di sfruttare credenziali o autorizzazioni dimenticate. La pulizia regolare delle applicazioni inutilizzate riduce l'esposizione complessiva al rischio del tenant.", "status": "machine-draft" }, "recommendedValue": { "value": "Nessuna registrazione di app senza attività di accesso negli ultimi 90 giorni, salvo quando documentata con un'eccezione valida", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina i log di accesso delle applicazioni in Entra ID per individuare le applicazioni senza attività di autenticazione negli ultimi 90 giorni. Contatta i proprietari delle applicazioni elencati per confermare se l'applicazione è ancora necessaria. Disabilita o elimina le registrazioni delle applicazioni obsolete dopo aver confermato che non sono più necessarie, e rimuovi eventuali credenziali e autorizzazioni associate.", "status": "machine-draft" } }, "EIDAPP-010": { "name": { "value": "Analisi delle applicazioni multi-tenant", "status": "machine-draft" }, "description": { "value": "Le registrazioni delle applicazioni multi-tenant sono configurate per accettare accessi da qualsiasi tenant Entra ID, consentendo agli utenti di organizzazioni esterne di autenticarsi. Pur essendo necessaria per scenari SaaS e di partner, la configurazione multi-tenant sulle applicazioni interne crea un rischio non necessario consentendo a identità esterne di ottenere token. Ogni applicazione multi-tenant dovrebbe essere convalidata per confermare che la configurazione sia intenzionale e che siano in atto controlli di autorizzazione appropriati.", "status": "machine-draft" }, "recommendedValue": { "value": "Nessuna registrazione di app multi-tenant, salvo quando richiesta da un'esigenza aziendale con giustificazione documentata e controlli di autorizzazione appropriati", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina tutte le registrazioni delle applicazioni e individua quelle con signInAudience impostato su AzureADMultipleOrgs o AzureADandPersonalMicrosoftAccount. Per ciascuna applicazione multi-tenant, verifica che l'accesso multi-tenant sia necessario e documenta la giustificazione aziendale. Converti alla configurazione a tenant singolo le applicazioni che non richiedono l'accesso multi-tenant e implementa la convalida dei token per limitare quali tenant esterni possono accedere alle applicazioni multi-tenant.", "status": "machine-draft" } }, "EIDAPP-011": { "name": { "value": "Analisi delle concessioni di consenso", "status": "machine-draft" }, "description": { "value": "Le concessioni di consenso OAuth autorizzano le applicazioni ad accedere ai dati organizzativi per conto degli utenti (delegate) o come l'applicazione stessa (a livello di applicazione). Le concessioni di consenso amministrativo forniscono un accesso a livello di intero tenant per tutti gli utenti, mentre le concessioni di consenso utente sono delimitate ai singoli utenti. Concessioni di consenso malevole o eccessive sono una tecnica primaria usata negli attacchi di phishing OAuth per ottenere un accesso persistente a cassette postali, file e dati della directory senza necessità di credenziali.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le concessioni di consenso amministrativo esaminate e giustificate. Nessuna concessione di consenso utente per autorizzazioni ad alto rischio. Revisioni periodiche delle concessioni di consenso stabilite", "status": "machine-draft" }, "remediationSteps": { "value": "Enumera tutte le concessioni di autorizzazione OAuth2 nel tenant usando Microsoft Graph e classificale come consenso amministrativo o consenso utente. Esamina le concessioni di consenso amministrativo per individuare autorizzazioni eccessivamente ampie e revoca quelle non più giustificate. Analizza le concessioni di consenso utente per le applicazioni sospette, in particolare quelle che richiedono Mail.Read, Files.ReadWrite o altri ambiti sensibili, e revoca le concessioni non autorizzate.", "status": "machine-draft" } }, "EIDAPP-012": { "name": { "value": "Criterio delle impostazioni di consenso utente", "status": "machine-draft" }, "description": { "value": "Il criterio delle impostazioni di consenso utente controlla se gli utenti possono concedere alle applicazioni l'accesso ai dati organizzativi senza l'approvazione dell'amministratore. Impostazioni di consenso permissive consentono agli utenti di autorizzare le applicazioni in autonomia, cosa che gli aggressori sfruttano tramite campagne di phishing con concessione di consenso illecita per ottenere un accesso persistente. Limitare il consenso utente ai soli editori verificati o disabilitarlo del tutto obbliga a instradare ogni consenso attraverso un flusso di approvazione amministrativa.", "status": "machine-draft" }, "recommendedValue": { "value": "Consenso utente disabilitato oppure limitato alle app di editori verificati con sole autorizzazioni a basso rischio", "status": "machine-draft" }, "remediationSteps": { "value": "Passa a Entra ID > Enterprise applications > Consent and permissions > User consent settings. Imposta il consenso utente su 'Do not allow user consent' oppure su 'Allow user consent for apps from verified publishers, for selected permissions only' selezionando solo autorizzazioni a basso rischio. Abilita il flusso di consenso amministrativo per fornire un processo strutturato con cui gli utenti possono richiedere l'accesso alle applicazioni che richiedono l'approvazione dell'amministratore.", "status": "machine-draft" } }, "EIDAPP-013": { "name": { "value": "Configurazione del flusso di consenso amministrativo", "status": "machine-draft" }, "description": { "value": "Il flusso di consenso amministrativo fornisce un processo strutturato con cui gli utenti possono richiedere l'approvazione dell'amministratore prima che le applicazioni possano accedere ai dati organizzativi. Senza un flusso di consenso amministrativo, gli utenti il cui consenso è limitato non hanno un meccanismo formale per richiedere l'accesso alle applicazioni, generando soluzioni di shadow IT o colli di bottiglia nell'helpdesk. Un flusso configurato correttamente garantisce che le richieste di applicazioni legittime siano esaminate e approvate dagli amministratori designati.", "status": "machine-draft" }, "recommendedValue": { "value": "Flusso di consenso amministrativo abilitato con revisori designati e SLA definito per il completamento della revisione", "status": "machine-draft" }, "remediationSteps": { "value": "Passa a Entra ID > Enterprise applications > Consent and permissions > Admin consent settings. Abilita il flusso di consenso amministrativo e designa revisori appropriati tra i team di sicurezza o di amministrazione IT. Configura le impostazioni di notifica per avvisare i revisori delle richieste in sospeso e stabilisci un accordo sul livello di servizio per i tempi di revisione, così da evitare colli di bottiglia nel flusso.", "status": "machine-draft" } }, "EIDAPP-014": { "name": { "value": "Titolari del ruolo Application Impersonation", "status": "machine-draft" }, "description": { "value": "Il ruolo ApplicationImpersonation in Exchange Online concede la capacità di impersonare qualsiasi cassetta postale dell'organizzazione, consentendo l'accesso completo in lettura e scrittura a tutta la posta senza che il proprietario della cassetta postale ne sia a conoscenza. Questo ruolo viene spesso abusato negli attacchi di compromissione della posta elettronica aziendale e di esfiltrazione dei dati, perché un singolo account compromesso con questo ruolo può accedere all'intera posta dell'organizzazione. Le assegnazioni dovrebbero essere estremamente limitate, a tempo determinato e monitorate di continuo.", "status": "machine-draft" }, "recommendedValue": { "value": "Nessuna assegnazione permanente del ruolo ApplicationImpersonation. Le eventuali assegnazioni necessarie devono essere delimitate a cassette postali specifiche e a tempo limitato", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina le assegnazioni di ruolo di Exchange Online per individuare tutte le entità che detengono il ruolo ApplicationImpersonation usando Get-ManagementRoleAssignment in Exchange Online PowerShell. Rimuovi immediatamente tutte le assegnazioni non necessarie e sostituisci le concessioni di impersonificazione ampie con assegnazioni delimitate a cassette postali specifiche dove necessario. Implementa avvisi di monitoraggio per qualsiasi nuova assegnazione del ruolo ApplicationImpersonation e conduci revisioni mensili delle assegnazioni esistenti.", "status": "machine-draft" } }, "EIDAPP-015": { "name": { "value": "Revisione delle concessioni di autorizzazione OAuth2", "status": "machine-draft" }, "description": { "value": "Le concessioni di autorizzazione OAuth2 definiscono le autorizzazioni specifiche che le applicazioni sono state autorizzate a esercitare, sia come autorizzazioni delegate che agiscono per conto di un utente sia come autorizzazioni applicative che agiscono in modo indipendente. Le concessioni di autorizzazione accumulate su molte applicazioni possono creare una complessa rete di accessi difficile da sottoporre ad audit e possono includere autorizzazioni troppo ampie o non necessarie. La revisione regolare garantisce che le concessioni restino allineate agli attuali requisiti aziendali.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le concessioni di autorizzazione OAuth2 esaminate trimestralmente con revoca delle concessioni obsolete o eccessive", "status": "machine-draft" }, "remediationSteps": { "value": "Esporta tutte le concessioni di autorizzazione OAuth2 usando Microsoft Graph e classificale per tipo di autorizzazione (delegata o applicativa), risorsa e ambito. Individua le concessioni per applicazioni non più attive o le autorizzazioni che superano quanto necessario per l'attuale funzionamento dell'applicazione. Revoca le concessioni non necessarie tramite l'interfaccia di amministrazione di Entra o l'API Microsoft Graph e stabilisci un ciclo di revisione trimestrale per tutte le concessioni attive.", "status": "machine-draft" } }, "EIDAPP-016": { "name": { "value": "Inventario e autorizzazioni delle identità gestite", "status": "machine-draft" }, "description": { "value": "Le identità gestite forniscono alle risorse di Azure credenziali gestite automaticamente per l'autenticazione ai servizi che supportano l'autenticazione con Entra ID. Pur eliminando la necessità di credenziali archiviate, le identità gestite possono comunque avere autorizzazioni eccessive o essere assegnate a risorse che non le richiedono più. Un inventario completo delle identità gestite e delle relative assegnazioni di autorizzazioni garantisce un accesso a privilegio minimo e individua le identità orfane associate a risorse eliminate.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le identità gestite inventariate con associazioni alle risorse documentate e assegnazioni di autorizzazioni a privilegio minimo", "status": "machine-draft" }, "remediationSteps": { "value": "Enumera tutte le identità gestite assegnate dal sistema e assegnate dall'utente in tutte le sottoscrizioni di Azure usando Azure Resource Graph o il portale di Azure. Esamina le assegnazioni di ruolo e le autorizzazioni API concesse a ciascuna identità gestita e verifica che seguano i principi del privilegio minimo. Rimuovi le assegnazioni di ruolo dalle identità gestite associate a risorse eliminate o dismesse e documenta la finalità e i requisiti di autorizzazione di ciascuna identità gestita attiva.", "status": "machine-draft" } }, "EIDAPP-017": { "name": { "value": "Attività di accesso delle entità servizio", "status": "machine-draft" }, "description": { "value": "Il monitoraggio dell'attività di accesso delle entità servizio offre visibilità su quali applicazioni si stanno autenticando attivamente e da quali indirizzi IP. Modelli di accesso insoliti, come autenticazioni da posizioni geografiche impreviste, volumi di richieste anomali o accessi da applicazioni che dovrebbero essere dormienti, possono indicare la compromissione delle credenziali o un uso non autorizzato. Questi dati di attività di base sono essenziali per rilevare le anomalie e indagare sugli incidenti.", "status": "machine-draft" }, "recommendedValue": { "value": "Log di accesso delle entità servizio esaminati regolarmente con profili di attività di base stabiliti per le applicazioni critiche", "status": "machine-draft" }, "remediationSteps": { "value": "Esamina i log di accesso delle entità servizio in Entra ID > Monitoring > Sign-in logs > Service principal sign-ins. Stabilisci profili di attività di base per le applicazioni critiche, includendo la normale frequenza di autenticazione, gli intervalli di IP di origine e le risorse di destinazione. Configura avvisi per i modelli di accesso anomali delle entità servizio, come autenticazioni da nuovi indirizzi IP, attività in orari insoliti o accessi da applicazioni rimaste dormienti.", "status": "machine-draft" } }, "EIDAPP-018": { "name": { "value": "Tracciamento delle modifiche a registrazioni di app ed entità servizio", "status": "machine-draft" }, "description": { "value": "Le modifiche alle registrazioni delle applicazioni e alle entità servizio, come l'aggiunta di nuove credenziali, la modifica delle autorizzazioni o le variazioni di configurazione, dovrebbero essere tracciate ed esaminate. Gli aggressori modificano frequentemente le applicazioni esistenti per aggiungere credenziali backdoor, elevare le autorizzazioni o cambiare gli URI di reindirizzamento nell'ambito di tecniche di persistenza ed elevazione dei privilegi. Senza il tracciamento delle modifiche, queste variazioni possono restare non rilevate a tempo indeterminato.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le modifiche a registrazioni di app ed entità servizio registrate, monitorate ed esaminate, con avvisi per le modifiche ad alto rischio", "status": "machine-draft" }, "remediationSteps": { "value": "Configura il monitoraggio dei log di audit per acquisire tutte le modifiche alle registrazioni delle applicazioni e alle entità servizio, comprese le aggiunte di credenziali, le variazioni delle autorizzazioni e le modifiche di configurazione. Crea regole di avviso in Microsoft Sentinel o Azure Monitor per le modifiche ad alto rischio, come nuove credenziali aggiunte ad applicazioni esistenti, variazioni delle concessioni di autorizzazione applicativa e modifiche degli URL di risposta. Stabilisci un processo di revisione per tutte le modifiche alle applicazioni con revisori di sicurezza designati.", "status": "machine-draft" } }, "EIDAPP-019": { "name": { "value": "URL di risposta pendenti", "status": "machine-draft" }, "description": { "value": "Gli URL di risposta che puntano a domini scaduti, non posseduti o non rivendicati abilitano il furto di token consentendo agli aggressori di registrare il dominio abbandonato e intercettare i codici di autorizzazione e i token OAuth reindirizzati da Entra ID. Questa vulnerabilità, nota come acquisizione di sottodominio o attacco DNS pendente, consente agli aggressori di ottenere token di accesso validi per le autorizzazioni dell'applicazione senza alcuna compromissione delle credenziali. Tutti gli URL di risposta devono essere convalidati per garantire che risolvano su un'infrastruttura controllata dall'organizzazione.", "status": "machine-draft" }, "recommendedValue": { "value": "Tutti gli URL di risposta risolvono su domini attivi e di proprietà dell'organizzazione, senza riferimenti a domini pendenti o scaduti", "status": "machine-draft" }, "remediationSteps": { "value": "Estrai tutti gli URL di risposta dalle registrazioni delle applicazioni e risolvi ciascun dominio per verificarne la proprietà e la registrazione DNS attiva. Individua eventuali URL di risposta che puntano a domini scaduti, disponibili per la registrazione o non controllati dall'organizzazione. Rimuovi o aggiorna immediatamente gli URL di risposta pendenti e implementa un processo di revisione periodica per rilevare nuovi riferimenti pendenti man mano che i domini scadono o l'infrastruttura cambia.", "status": "machine-draft" } }, "EIDAPP-020": { "name": { "value": "Consenso dei proprietari di gruppo alle applicazioni bloccato", "status": "machine-draft" }, "description": { "value": "Quando il consenso specifico di gruppo (consenso del proprietario di gruppo) è abilitato, i proprietari dei gruppi di Microsoft 365 e di Teams possono autorizzare le applicazioni ad accedere ai dati del proprio gruppo senza la revisione dell'amministratore. Gli aggressori lo sfruttano tramite phishing con concessione di consenso illecita rivolto ai proprietari di gruppi e team per ottenere un accesso persistente e delimitato ai dati organizzativi. SCuBA richiede che ai proprietari di gruppo non sia consentito acconsentire alle applicazioni, obbligando a instradare ogni consenso di questo tipo attraverso il flusso di approvazione amministrativa. In Entra ID questo è governato dall'impostazione EnableGroupSpecificConsent nelle impostazioni della directory (gruppo); deve essere false. Nota che Microsoft ha deprecato l'interruttore nell'interfaccia di amministrazione per questo controllo, ma l'impostazione sottostante della directory rimane il segnale autorevole.", "status": "machine-draft" }, "recommendedValue": { "value": "EnableGroupSpecificConsent impostato su false nelle impostazioni della directory (gruppo): i proprietari di gruppo non possono acconsentire alle applicazioni", "status": "machine-draft" }, "remediationSteps": { "value": "Assicurati che i proprietari di gruppo non possano acconsentire alle applicazioni, soddisfacendo SCuBA MS.AAD.5.4. Imposta l'impostazione della directory (gruppo) 'EnableGroupSpecificConsent' su false (modello di impostazioni Group.Unified). Instrada tutto il consenso alle applicazioni per i dati di proprietà del gruppo attraverso il flusso di consenso amministrativo, in modo che un revisore approvi l'accesso. Dove l'interruttore legacy dell'interfaccia di amministrazione non è più presente, conferma il valore dell'impostazione della directory direttamente tramite la configurazione delle impostazioni del gruppo.", "status": "machine-draft" } } } |