Data/Locales/checks/ja/EntraAppChecks.json
|
{ "_family": "EntraAppChecks.json", "EIDAPP-001": { "name": { "value": "アプリケーション登録のインベントリ", "status": "machine-draft" }, "description": { "value": "すべてのアプリケーション登録の完全なインベントリは、Entra ID テナントと統合されたアプリケーションに対する基盤となる可視性を提供します。包括的なインベントリがなければ、組織はアプリケーションの攻撃対象領域を評価したり、認可されていない、放棄された、あるいはシャドー IT のアプリケーションを特定したりできません。このベースラインは、以降のすべてのアプリケーションセキュリティチェックを可能にするものであり、常に最新の文書として維持する必要があります。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのアプリケーション登録が、文書化された所有者、目的、業務上の正当性とともにインベントリ化されている", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > Applications > App registrations に移動し、登録済みアプリケーションの全リストをエクスポートします。各登録を確認し、割り当てられた所有者、文書化された業務目的があり、現在も積極的に必要とされていることを確認します。不要になったもの、または識別可能な所有者を欠くものは、削除または無効化します。", "status": "machine-draft" } }, "EIDAPP-002": { "name": { "value": "高リスクの API アクセス許可を持つアプリ登録", "status": "machine-draft" }, "description": { "value": "Mail.ReadWrite、Files.ReadWrite.All、RoleManagement.ReadWrite.Directory、Application.ReadWrite.All などの高リスクの API アクセス許可を持つアプリケーション登録は、機密データの読み取り、ディレクトリオブジェクトの変更、テナント全体での権限昇格に悪用される可能性があります。これらのアクセス許可を持つアプリケーションを侵害した攻撃者は、グローバル管理者と同等かそれ以上の広範なアクセスを獲得します。すべての高リスクなアクセス許可は、補完的な制御とともに見直し、正当化する必要があります。", "status": "machine-draft" }, "recommendedValue": { "value": "業務上の正当性と補完的な制御が文書化されていない限り、高リスクの API アクセス許可を持つアプリケーション登録がない", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > Applications > App registrations 内のすべてのアプリケーション登録を確認し、それぞれの API permissions タブを調べます。Directory.ReadWrite.All、Mail.ReadWrite、RoleManagement.ReadWrite.Directory などの高権限のアクセス許可を持つアプリケーションを特定します。不要なアクセス許可を削除し、広範なスコープを、アプリケーションの要件を満たす最も制限的なアクセス許可に置き換えます。", "status": "machine-draft" } }, "EIDAPP-003": { "name": { "value": "資格情報が追加されたアプリ登録", "status": "machine-draft" }, "description": { "value": "クライアントシークレットまたは証明書が追加されたアプリケーション登録は、攻撃者にとって潜在的な永続化の仕組みとなります。侵害されたシークレットまたは証明書により、攻撃者はアプリケーションとして認証し、ユーザーの操作なしに付与されたすべてのアクセス許可を行使できます。露出の期間を限定するため、資格情報はインベントリ化し、スケジュールに従ってローテーションし、不要になったら削除する必要があります。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのアプリケーション資格情報が、定義されたローテーションスケジュールとともにインベントリ化されており、12 か月を超える資格情報がない", "status": "machine-draft" }, "remediationSteps": { "value": "すべてのアプリケーション登録を確認し、それぞれの Certificates & secrets ブレードを調べます。有効期限と作成日時を含め、すべての有効な資格情報を文書化します。期限切れまたは未使用の資格情報を直ちに削除し、少なくとも年に一度、有効期限前の自動アラートとともに資格情報を更新するローテーションポリシーを確立します。", "status": "machine-draft" } }, "EIDAPP-004": { "name": { "value": "資格情報が追加されたファーストパーティの Microsoft サービスプリンシパル", "status": "machine-draft" }, "description": { "value": "攻撃者は、正規の Microsoft サービスに紛れ込む永続的なバックドアアクセスを確立するために、Microsoft のファーストパーティサービスプリンシパルに資格情報を追加します。ファーストパーティのサービスプリンシパルは既定で信頼されており、多くの場合広範なアクセス許可を保持しているため、これらのオブジェクトに追加された資格情報は、めったに監査されないステルス性の高い高権限の永続化を提供します。ファーストパーティの Microsoft サービスプリンシパルへの資格情報の追加は、いずれも重大な侵害の指標として扱う必要があります。", "status": "machine-draft" }, "recommendedValue": { "value": "ファーストパーティの Microsoft サービスプリンシパルに追加された資格情報 (シークレットまたは証明書) がない", "status": "machine-draft" }, "remediationSteps": { "value": "appOwnerOrganizationId が Microsoft のテナント ID (f8cdef31-a31e-4b4a-93e4-5f571e91255a) に一致するすべてのサービスプリンシパルを列挙し、追加されたキー資格情報またはパスワード資格情報がないか確認します。ファーストパーティの Microsoft サービスプリンシパルに見つかった資格情報は、ほぼ確実に認可されていないため直ちに削除します。監査ログを調査して、誰がいつ資格情報を追加したかを特定し、これを潜在的なセキュリティインシデントとして扱います。", "status": "machine-draft" } }, "EIDAPP-005": { "name": { "value": "高い権限と追加された資格情報を持つサービスプリンシパル", "status": "machine-draft" }, "description": { "value": "高権限の API アクセス許可またはディレクトリロールの割り当てと、追加されたクライアント資格情報を併せ持つサービスプリンシパルは、テナント内で最もリスクの高いアプリケーションオブジェクトです。これらの資格情報を入手した攻撃者は、昇格された権限で非対話的に認証でき、MFA と条件付きアクセス制御を完全に迂回します。この権限と資格情報アクセスの組み合わせは、クラウドベースの攻撃における主要な永続化および横方向の移動の手法です。", "status": "machine-draft" }, "recommendedValue": { "value": "必須の補完的な制御とともに文書化されていない限り、高権限のアクセス許可と追加された資格情報の両方を持つサービスプリンシパルがない", "status": "machine-draft" }, "remediationSteps": { "value": "高権限の API アクセス許可またはディレクトリロールの割り当てを保持するサービスプリンシパルを、追加されたキーまたはパスワードの資格情報を持つものと相互参照します。一致する各サービスプリンシパルについて、業務上の必要性を検証し、過剰なアクセス許可を削除するか、保存された資格情報を不要にするマネージド ID 認証へ移行します。マネージド ID が実現できない場合は、有効期間の短い証明書による証明書ベースの認証を実装します。", "status": "machine-draft" } }, "EIDAPP-006": { "name": { "value": "過剰な Microsoft Graph のアクセス許可", "status": "machine-draft" }, "description": { "value": "Directory.ReadWrite.All、Sites.ReadWrite.All、Mail.ReadWrite など、広範な Microsoft Graph アプリケーションアクセス許可が付与されたアプリケーションは、ユーザーのコンテキストなしにデータと構成へのテナント全体のアクセスを獲得します。過剰な Graph アクセス許可は最小権限の原則に違反し、アプリケーションを侵害した攻撃者に、メールボックス、ファイル、ディレクトリオブジェクト、テナント設定への広範なアクセスを提供します。アクセス許可は、アプリケーションの機能に必要な最小限にスコープする必要があります。", "status": "machine-draft" }, "recommendedValue": { "value": "すべての Microsoft Graph アクセス許可が必要最小限にスコープされており、可能な場合はアプリケーションアクセス許可が委任アクセス許可に置き換えられている", "status": "machine-draft" }, "remediationSteps": { "value": "すべてのアプリケーション登録の Microsoft Graph アクセス許可を確認し、委任アクセス許可で十分な箇所で広範な .All スコープやアプリケーションレベルのアクセス許可を使用しているものを特定します。広範なアクセス許可を、Mail.ReadWrite.All の代わりに Mail.Read、Directory.Read.All の代わりに User.Read.All など、よりきめ細かい代替に置き換えます。Microsoft Graph アクセス許可のリファレンスを使用して、アプリケーションが行う各 API 呼び出しに対する最小権限のアクセス許可を特定します。", "status": "machine-draft" } }, "EIDAPP-007": { "name": { "value": "Azure IAM ロールが割り当てられたアプリ登録", "status": "machine-draft" }, "description": { "value": "共同作成者、所有者、ユーザーアクセス管理者などの Azure リソースレベルの IAM ロールが割り当てられたアプリケーション登録またはその対応するサービスプリンシパルは、Azure インフラストラクチャの変更、リソースのデプロイ、サブスクリプション全体での権限昇格を行える可能性があります。これらのロール割り当ては、アプリケーションの影響範囲を Entra ID を超えて Azure リソースプレーンへ拡張し、アプリケーションの資格情報が窃取された場合にインフラストラクチャの侵害を可能にします。", "status": "machine-draft" }, "recommendedValue": { "value": "業務上の正当性と最小権限のスコープとともに文書化されていない限り、閲覧者を超える Azure IAM ロールが割り当てられたアプリケーション登録がない", "status": "machine-draft" }, "remediationSteps": { "value": "管理グループ、サブスクリプション、リソースグループの各レベルで Azure IAM ロール割り当てを確認し、アプリケーションのサービスプリンシパルに割り当てられたものを特定します。所有者およびユーザーアクセス管理者の割り当てを削除し、広範な共同作成者ロールを、特定のリソースの種類とアクションにスコープされたカスタムロールに置き換えます。IAM の割り当てを可能な限り狭いスコープに限定し、サブスクリプションレベルよりもリソースグループレベルの割り当てを優先します。", "status": "machine-draft" } }, "EIDAPP-008": { "name": { "value": "資格情報の有効期限の監視", "status": "machine-draft" }, "description": { "value": "有効期限が近づいている、あるいは既に期限切れのアプリケーション資格情報 (クライアントシークレットおよび証明書) は、適時にローテーションされないとサービス停止を引き起こす可能性があり、有効期限のポリシーが将来へ設定されすぎているとセキュリティリスクを生み出します。有効期間が長い資格情報は、侵害された資格情報が悪用され得る期間を延長します。資格情報の有効期限を積極的に監視しアラートを出すことで、適時なローテーションを確保し、セキュリティ露出を低減します。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのアプリケーション資格情報が最大 12 か月の有効期間を持ち、有効期限の 30 日前および 60 日前に自動アラートが出される", "status": "machine-draft" }, "remediationSteps": { "value": "Microsoft Graph API を使用して、すべてのアプリケーション資格情報とその有効期限を列挙します。30 日以内に有効期限を迎える資格情報、および有効期間が 12 か月を超える資格情報を特定します。資格情報が有効期限に近づいたときにアプリケーションの所有者とセキュリティチームにアラートを出す自動監視プロセスを確立し、ガバナンス手順を通じて資格情報の最大有効期間ポリシーを強制します。", "status": "machine-draft" } }, "EIDAPP-009": { "name": { "value": "古くなったアプリケーション登録", "status": "machine-draft" }, "description": { "value": "最近のサインインアクティビティがないアプリケーション登録は、放棄されている、取り残されている、あるいは不要になっている可能性がありますが、付与されたすべてのアクセス許可と資格情報を保持し続けています。古くなったアプリケーションは、元の所有者による監視や保守が行われる可能性が低く、忘れられた資格情報やアクセス許可を悪用しようとする攻撃者にとって魅力的な標的となるため、攻撃対象領域を拡大します。未使用のアプリケーションを定期的にクリーンアップすることで、テナント全体のリスク露出を低減します。", "status": "machine-draft" }, "recommendedValue": { "value": "有効な例外が文書化されていない限り、過去 90 日間にサインインアクティビティがないアプリケーション登録がない", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID のアプリケーションサインインログを確認し、過去 90 日間に認証アクティビティがないアプリケーションを特定します。記載されているアプリケーションの所有者に連絡し、アプリケーションが依然として必要かどうかを確認します。不要であることを確認した後、古くなったアプリケーション登録を無効化または削除し、関連するすべての資格情報とアクセス許可を削除します。", "status": "machine-draft" } }, "EIDAPP-010": { "name": { "value": "マルチテナントアプリケーションの分析", "status": "machine-draft" }, "description": { "value": "マルチテナントのアプリケーション登録は、任意の Entra ID テナントからのサインインを受け入れるように構成されており、外部組織のユーザーが認証できるようにします。SaaS やパートナーのシナリオでは必要ですが、内部アプリケーションでのマルチテナント構成は、外部 ID がトークンを取得できるようにすることで不必要なリスクを生み出します。各マルチテナントアプリケーションは、構成が意図的であり、適切な認可制御が講じられていることを確認するために検証する必要があります。", "status": "machine-draft" }, "recommendedValue": { "value": "文書化された正当性と適切な認可制御を伴う業務上の必要性がない限り、マルチテナントのアプリケーション登録がない", "status": "machine-draft" }, "remediationSteps": { "value": "すべてのアプリケーション登録を確認し、signInAudience が AzureADMultipleOrgs または AzureADandPersonalMicrosoftAccount に設定されているものを特定します。各マルチテナントアプリケーションについて、マルチテナントアクセスが必要であることを検証し、業務上の正当性を文書化します。マルチテナントアクセスを必要としないアプリケーションをシングルテナント構成に変換し、マルチテナントアプリケーションにアクセスできる外部テナントを制限するためにトークン検証を実装します。", "status": "machine-draft" } }, "EIDAPP-011": { "name": { "value": "同意の付与の分析", "status": "machine-draft" }, "description": { "value": "OAuth の同意の付与は、ユーザーの代わりに (委任)、またはアプリケーション自体として (アプリケーションレベル)、組織のデータへのアクセスをアプリケーションに認可します。管理者同意の付与はすべてのユーザーに対するテナント全体のアクセスを提供する一方、ユーザー同意の付与は個々のユーザーにスコープされます。悪意のある、または過剰な同意の付与は、資格情報を必要とせずにメールボックス、ファイル、ディレクトリデータへの永続的なアクセスを得るために OAuth フィッシング攻撃で用いられる主要な手法です。", "status": "machine-draft" }, "recommendedValue": { "value": "すべての管理者同意の付与がレビューされ正当化されている。高リスクのアクセス許可に対するユーザー同意の付与がない。定期的な同意の付与のレビューが確立されている", "status": "machine-draft" }, "remediationSteps": { "value": "Microsoft Graph を使用してテナント内のすべての OAuth2 アクセス許可の付与を列挙し、管理者同意またはユーザー同意に分類します。管理者同意の付与について過度に広範なアクセス許可がないか確認し、もはや正当化されないものを取り消します。ユーザー同意の付与について、特に Mail.Read、Files.ReadWrite などの機密性の高いスコープを要求する不審なアプリケーションを調査し、認可されていない付与を取り消します。", "status": "machine-draft" } }, "EIDAPP-012": { "name": { "value": "ユーザー同意設定ポリシー", "status": "machine-draft" }, "description": { "value": "ユーザー同意設定ポリシーは、管理者の承認なしにユーザーがアプリケーションに組織のデータへのアクセスを付与できるかどうかを制御します。緩い同意設定は、ユーザーが独自にアプリケーションを認可できるようにし、攻撃者はこれを不正な同意付与のフィッシングキャンペーンで悪用して永続的なアクセスを得ます。ユーザー同意を検証済みの発行元に制限するか完全に無効にすることで、すべての同意を管理者の承認ワークフローに通します。", "status": "machine-draft" }, "recommendedValue": { "value": "ユーザー同意が無効化されているか、低リスクのアクセス許可のみを持つ検証済みの発行元のアプリに制限されている", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > Enterprise applications > Consent and permissions > User consent settings に移動します。ユーザー同意を 'Do not allow user consent' に設定するか、'Allow user consent for apps from verified publishers, for selected permissions only' に設定し、低リスクのアクセス許可のみを選択します。管理者の承認を必要とするアプリケーションへのアクセスをユーザーが要求するための構造化されたプロセスを提供するため、管理者同意ワークフローを有効にします。", "status": "machine-draft" } }, "EIDAPP-013": { "name": { "value": "管理者同意ワークフローの構成", "status": "machine-draft" }, "description": { "value": "管理者同意ワークフローは、アプリケーションが組織のデータにアクセスする前に、ユーザーが管理者の承認を要求するための構造化されたプロセスを提供します。管理者同意ワークフローがないと、同意が制限されたユーザーはアプリケーションアクセスを要求する正式な仕組みを持たず、シャドー IT の回避策やヘルプデスクのボトルネックにつながります。適切に構成されたワークフローにより、正当なアプリケーション要求が指定された管理者によってレビューされ承認されることを保証します。", "status": "machine-draft" }, "recommendedValue": { "value": "指定されたレビュー担当者とレビュー完了のための定義された SLA を伴って管理者同意ワークフローが有効化されている", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > Enterprise applications > Consent and permissions > Admin consent settings に移動します。管理者同意ワークフローを有効にし、セキュリティまたは IT 管理チームから適切なレビュー担当者を指定します。保留中の要求をレビュー担当者に通知する通知設定を構成し、ワークフローのボトルネックを防ぐためにレビューの所要時間に関するサービスレベル契約を確立します。", "status": "machine-draft" } }, "EIDAPP-014": { "name": { "value": "アプリケーション偽装ロールの保持者", "status": "machine-draft" }, "description": { "value": "Exchange Online の ApplicationImpersonation ロールは、組織内の任意のメールボックスを偽装する機能を付与し、メールボックス所有者に知られることなくすべてのメールへの完全な読み取りおよび書き込みアクセスを可能にします。このロールは、このロールを持つ単一の侵害されたアカウントが組織全体のメールにアクセスできるため、ビジネスメール詐欺やデータ流出攻撃で頻繁に悪用されます。割り当ては極めて限定的にし、期間を区切り、継続的に監視する必要があります。", "status": "machine-draft" }, "recommendedValue": { "value": "恒久的な ApplicationImpersonation ロールの割り当てがない。必要な割り当てはすべて特定のメールボックスにスコープし、期間を限定する必要がある", "status": "machine-draft" }, "remediationSteps": { "value": "Exchange Online PowerShell で Get-ManagementRoleAssignment を使用して Exchange Online のロール割り当てを確認し、ApplicationImpersonation ロールを保持するすべてのプリンシパルを特定します。不要な割り当てをすべて直ちに削除し、広範な偽装の付与を、必要な場合は特定のメールボックスに制限したスコープ付き割り当てに置き換えます。新しい ApplicationImpersonation ロールの割り当てに対する監視アラートを実装し、既存の割り当てを毎月見直します。", "status": "machine-draft" } }, "EIDAPP-015": { "name": { "value": "OAuth2 アクセス許可の付与のレビュー", "status": "machine-draft" }, "description": { "value": "OAuth2 アクセス許可の付与は、ユーザーの代わりに動作する委任アクセス許可として、または独立して動作するアプリケーションアクセス許可として、アプリケーションが行使することを認可された特定のアクセス許可を定義します。多数のアプリケーションにわたって蓄積されたアクセス許可の付与は、監査が困難な複雑なアクセスの網を生み出し、過度に広範な、あるいは不要な認可を含む可能性があります。定期的なレビューにより、付与が現在の業務要件に沿い続けることを保証します。", "status": "machine-draft" }, "recommendedValue": { "value": "すべての OAuth2 アクセス許可の付与が四半期ごとにレビューされ、古くなった、あるいは過剰な付与が取り消される", "status": "machine-draft" }, "remediationSteps": { "value": "Microsoft Graph を使用してすべての OAuth2 アクセス許可の付与をエクスポートし、アクセス許可の種類 (委任とアプリケーション)、リソース、スコープごとに分類します。もはやアクティブでないアプリケーションの付与や、現在のアプリケーション機能に必要な範囲を超えるアクセス許可を特定します。Entra 管理センターまたは Microsoft Graph API を通じて不要な付与を取り消し、すべての有効な付与について四半期ごとのレビューサイクルを確立します。", "status": "machine-draft" } }, "EIDAPP-016": { "name": { "value": "マネージド ID のインベントリとアクセス許可", "status": "machine-draft" }, "description": { "value": "マネージド ID は、Entra ID 認証をサポートするサービスへの認証のために、自動的に管理される資格情報を Azure リソースに提供します。マネージド ID は保存された資格情報の必要性を排除しますが、依然として過剰なアクセス許可を持ったり、もはや必要としないリソースに割り当てられたりする可能性があります。マネージド ID とそのアクセス許可割り当ての包括的なインベントリにより、最小権限アクセスを確保し、削除されたリソースに関連付けられた取り残された ID を特定します。", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのマネージド ID が、文書化されたリソースの関連付けと最小権限のアクセス許可割り当てとともにインベントリ化されている", "status": "machine-draft" }, "remediationSteps": { "value": "Azure Resource Graph または Azure ポータルを使用して、Azure サブスクリプション全体のシステム割り当ておよびユーザー割り当てのマネージド ID をすべて列挙します。各マネージド ID に付与されたロール割り当てと API アクセス許可を確認し、最小権限の原則に従っていることを検証します。削除または廃止されたリソースに関連付けられたマネージド ID からロール割り当てを削除し、有効な各マネージド ID の目的とアクセス許可要件を文書化します。", "status": "machine-draft" } }, "EIDAPP-017": { "name": { "value": "サービスプリンシパルのサインインアクティビティ", "status": "machine-draft" }, "description": { "value": "サービスプリンシパルのサインインアクティビティを監視することで、どのアプリケーションがどの IP アドレスから積極的に認証しているかを可視化できます。予期しない地理的な場所からの認証、異常な要求量、休眠状態であるべきアプリケーションからのサインインなど、通常とは異なるサインインパターンは、資格情報の侵害や不正使用を示している可能性があります。このベースラインのアクティビティデータは、異常の検出やインシデントの調査に不可欠です。", "status": "machine-draft" }, "recommendedValue": { "value": "サービスプリンシパルのサインインログが定期的にレビューされ、重要なアプリケーションについてベースラインのアクティビティプロファイルが確立されている", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > Monitoring > Sign-in logs > Service principal sign-ins でサービスプリンシパルのサインインログを確認します。重要なアプリケーションについて、通常の認証頻度、送信元 IP 範囲、対象リソースを含むベースラインのアクティビティプロファイルを確立します。新しい IP アドレスからの認証、通常とは異なる時間帯のアクティビティ、休眠していたアプリケーションからのサインインなど、異常なサービスプリンシパルのサインインパターンに対するアラートを構成します。", "status": "machine-draft" } }, "EIDAPP-018": { "name": { "value": "アプリ登録とサービスプリンシパルの変更追跡", "status": "machine-draft" }, "description": { "value": "新しい資格情報の追加、アクセス許可の変更、構成の変更など、アプリケーション登録やサービスプリンシパルへの変更は、追跡しレビューする必要があります。攻撃者は、永続化や権限昇格の手法の一環として、バックドアの資格情報を追加したり、アクセス許可を昇格させたり、リダイレクト URI を変更したりするために、既存のアプリケーションを頻繁に変更します。変更追跡がないと、これらの変更は無期限に検出されないままとなる可能性があります。", "status": "machine-draft" }, "recommendedValue": { "value": "アプリケーション登録とサービスプリンシパルへのすべての変更がログ記録、監視、レビューされ、高リスクの変更に対するアラートが設定されている", "status": "machine-draft" }, "remediationSteps": { "value": "資格情報の追加、アクセス許可の変更、構成の変更を含む、アプリケーション登録とサービスプリンシパルへのすべての変更を捕捉するように監査ログの監視を構成します。既存のアプリケーションへの新しい資格情報の追加、アプリケーションのアクセス許可の付与の変更、応答 URL の変更など、高リスクの変更について Microsoft Sentinel または Azure Monitor でアラート規則を作成します。指定されたセキュリティレビュー担当者とともに、すべてのアプリケーション変更のレビュープロセスを確立します。", "status": "machine-draft" } }, "EIDAPP-019": { "name": { "value": "ダングリング応答 URL", "status": "machine-draft" }, "description": { "value": "期限切れの、所有されていない、あるいは要求されていないドメインを指す応答 URL は、攻撃者が放棄されたドメインを登録し、Entra ID によってリダイレクトされる OAuth 認可コードやトークンを傍受できるようにすることで、トークンの窃取を可能にします。サブドメインの乗っ取り、あるいはダングリング DNS 攻撃として知られるこの脆弱性は、資格情報を一切侵害することなく、アプリケーションのアクセス許可に対する有効なアクセストークンを取得する能力を攻撃者に与えます。すべての応答 URL は、組織が管理するインフラストラクチャに解決されることを確認するために検証する必要があります。", "status": "machine-draft" }, "recommendedValue": { "value": "すべての応答 URL が、ダングリングまたは期限切れのドメイン参照なしに、アクティブで組織が所有するドメインに解決される", "status": "machine-draft" }, "remediationSteps": { "value": "アプリケーション登録からすべての応答 URL を抽出し、各ドメインを解決して所有権とアクティブな DNS 登録を検証します。期限切れの、登録可能な、あるいは組織が管理していないドメインを指す応答 URL を特定します。ダングリング応答 URL を直ちに削除または更新し、ドメインの期限切れやインフラストラクチャの変更に伴って新たなダングリング参照を検出するための定期的なレビュープロセスを実装します。", "status": "machine-draft" } }, "EIDAPP-020": { "name": { "value": "アプリケーションへのグループ所有者の同意をブロック", "status": "machine-draft" }, "description": { "value": "グループ固有の (グループ所有者の) 同意が有効な場合、Microsoft 365 グループや Teams の所有者は、管理者のレビューなしに、自分のグループが所有するデータへのアクセスをアプリケーションに認可できます。攻撃者は、グループやチームの所有者を狙った不正な同意付与のフィッシングを通じてこれを悪用し、組織のデータへの永続的でスコープ付きのアクセスを取得します。SCuBA は、グループ所有者がアプリケーションに同意できないようにし、そのような同意をすべて管理者の承認ワークフローに通すことを要求します。Entra ID では、これはディレクトリ (グループ) 設定の EnableGroupSpecificConsent 設定によって制御され、false でなければなりません。なお、Microsoft はこの制御の管理センターのトグルを廃止しましたが、基盤となるディレクトリ設定が引き続き信頼できるシグナルです。", "status": "machine-draft" }, "recommendedValue": { "value": "ディレクトリ (グループ) 設定で EnableGroupSpecificConsent が false に設定されている: グループ所有者はアプリケーションに同意できない", "status": "machine-draft" }, "remediationSteps": { "value": "グループ所有者がアプリケーションに同意できないようにし、SCuBA MS.AAD.5.4 を満たします。ディレクトリ (グループ) 設定 'EnableGroupSpecificConsent' を false に設定します (Group.Unified 設定テンプレート)。グループが所有するデータに対するすべてのアプリケーションの同意を管理者同意ワークフローに通し、レビュー担当者がアクセスを承認するようにします。従来の管理センターのトグルが存在しない場合は、グループ設定の構成を通じてディレクトリ設定の値を直接確認します。", "status": "machine-draft" } } } |