Data/Locales/checks/nl/EntraAppChecks.json
|
{ "_family": "EntraAppChecks.json", "EIDAPP-001": { "name": { "value": "Inventaris van applicatieregistraties", "status": "machine-draft" }, "description": { "value": "Een volledige inventaris van alle applicatieregistraties biedt fundamenteel inzicht in de applicaties die met uw Entra ID-tenant zijn geïntegreerd. Zonder een uitgebreide inventaris kunnen organisaties hun applicatieaanvalsoppervlak niet beoordelen of ongeautoriseerde, verlaten of schaduw-IT-applicaties identificeren. Deze basis maakt alle vervolgcontroles op applicatiebeveiliging mogelijk en moet als een levend document worden onderhouden.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle applicatieregistraties geïnventariseerd met gedocumenteerde eigenaren, doel en zakelijke rechtvaardiging", "status": "machine-draft" }, "remediationSteps": { "value": "Ga naar Entra ID > Applications > App registrations en exporteer de volledige lijst met geregistreerde applicaties. Beoordeel elke registratie om te bevestigen dat deze een toegewezen eigenaar en een gedocumenteerd zakelijk doel heeft en nog steeds actief nodig is. Verwijder of schakel registraties uit die niet langer nodig zijn of geen identificeerbare eigenaar hebben.", "status": "machine-draft" } }, "EIDAPP-002": { "name": { "value": "Applicatieregistraties met risicovolle API-machtigingen", "status": "machine-draft" }, "description": { "value": "Applicatieregistraties met risicovolle API-machtigingen zoals Mail.ReadWrite, Files.ReadWrite.All, RoleManagement.ReadWrite.Directory of Application.ReadWrite.All kunnen worden misbruikt om gevoelige gegevens te lezen, directoryobjecten te wijzigen of rechten tenantbreed te verhogen. Aanvallers die een applicatie met deze machtigingen compromitteren, verkrijgen brede toegang die gelijk is aan of groter is dan die van een Global Administrator. Alle risicovolle machtigingen moeten worden beoordeeld en gerechtvaardigd met compenserende maatregelen.", "status": "machine-draft" }, "recommendedValue": { "value": "Geen applicatieregistraties met risicovolle API-machtigingen, tenzij gedocumenteerd met zakelijke rechtvaardiging en compenserende maatregelen", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel alle applicatieregistraties in Entra ID > Applications > App registrations en bekijk voor elke registratie het tabblad API permissions. Identificeer applicaties met machtigingen met hoge rechten zoals Directory.ReadWrite.All, Mail.ReadWrite of RoleManagement.ReadWrite.Directory. Verwijder onnodige machtigingen en vervang brede bereiken door de meest restrictieve machtigingen die nog aan de applicatievereisten voldoen.", "status": "machine-draft" } }, "EIDAPP-003": { "name": { "value": "Applicatieregistraties met toegevoegde referenties", "status": "machine-draft" }, "description": { "value": "Applicatieregistraties waaraan clientgeheimen of certificaten zijn toegevoegd, vormen mogelijke persistentiemechanismen voor aanvallers. Een gecompromitteerd geheim of certificaat stelt een aanvaller in staat zich als de applicatie te authenticeren en al haar verleende machtigingen uit te oefenen zonder tussenkomst van een gebruiker. Referenties moeten worden geïnventariseerd, volgens schema worden vernieuwd en verwijderd wanneer ze niet langer nodig zijn om het blootstellingsvenster te beperken.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle applicatiereferenties geïnventariseerd met vastgestelde vernieuwingsschema's en geen referenties ouder dan 12 maanden", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel alle applicatieregistraties en bekijk voor elke registratie de blade Certificates & secrets. Documenteer alle actieve referenties, inclusief hun vervaldatums en aanmaaktijdstempels. Verwijder verlopen of ongebruikte referenties onmiddellijk en stel een vernieuwingsbeleid in dat vereist dat referenties ten minste jaarlijks worden vernieuwd met geautomatiseerde waarschuwingen vóór het verlopen.", "status": "machine-draft" } }, "EIDAPP-004": { "name": { "value": "Microsoft-eigen service-principals met toegevoegde referenties", "status": "machine-draft" }, "description": { "value": "Aanvallers voegen referenties toe aan Microsoft-eigen service-principals om persistente achterdeurtoegang te vestigen die opgaat in legitieme Microsoft-services. Omdat eigen service-principals standaard worden vertrouwd en vaak uitgebreide machtigingen bezitten, bieden toegevoegde referenties op deze objecten sluipende persistentie met hoge rechten die zelden wordt geaudit. Elke toevoeging van referenties aan Microsoft-eigen service-principals moet worden behandeld als een kritieke indicator van compromittering.", "status": "machine-draft" }, "recommendedValue": { "value": "Geen referenties (geheimen of certificaten) toegevoegd aan enige Microsoft-eigen service-principal", "status": "machine-draft" }, "remediationSteps": { "value": "Inventariseer alle service-principals waarvan de appOwnerOrganizationId overeenkomt met de Microsoft-tenant-id (f8cdef31-a31e-4b4a-93e4-5f571e91255a) en controleer op toegevoegde key credentials of password credentials. Verwijder onmiddellijk alle referenties die op Microsoft-eigen service-principals worden aangetroffen, aangezien deze vrijwel zeker ongeautoriseerd zijn. Onderzoek de auditlogboeken om te bepalen wie de referenties heeft toegevoegd en wanneer, en behandel dit als een mogelijk beveiligingsincident.", "status": "machine-draft" } }, "EIDAPP-005": { "name": { "value": "Service-principals met hoge rechten en toegevoegde referenties", "status": "machine-draft" }, "description": { "value": "Service-principals die API-machtigingen met hoge rechten of directoryroltoewijzingen combineren met toegevoegde clientreferenties vormen de applicatieobjecten met het hoogste risico in de tenant. Een aanvaller die deze referenties bemachtigt, kan zich niet-interactief authenticeren met verhoogde machtigingen en omzeilt daarbij MFA- en voorwaardelijke-toegangsmaatregelen volledig. Deze combinatie van rechten en toegang tot referenties is een primaire techniek voor persistentie en laterale verplaatsing in cloudgebaseerde aanvallen.", "status": "machine-draft" }, "recommendedValue": { "value": "Geen service-principals met zowel machtigingen met hoge rechten als toegevoegde referenties, tenzij gedocumenteerd met verplichte compenserende maatregelen", "status": "machine-draft" }, "remediationSteps": { "value": "Vergelijk service-principals die API-machtigingen met hoge rechten of directoryroltoewijzingen bezitten met die met toegevoegde key- of password-referenties. Valideer voor elke overeenkomst de zakelijke noodzaak en verwijder ofwel de buitensporige machtigingen, ofwel migreer naar authenticatie met beheerde identiteit waarmee de noodzaak van opgeslagen referenties vervalt. Implementeer certificaatgebaseerde authenticatie met kortlevende certificaten waar beheerde identiteiten niet haalbaar zijn.", "status": "machine-draft" } }, "EIDAPP-006": { "name": { "value": "Buitensporige Microsoft Graph-machtigingen", "status": "machine-draft" }, "description": { "value": "Applicaties met brede Microsoft Graph-applicatiemachtigingen zoals Directory.ReadWrite.All, Sites.ReadWrite.All of Mail.ReadWrite verkrijgen tenantbrede toegang tot gegevens en configuratie zonder gebruikerscontext. Buitensporige Graph-machtigingen schenden het principe van minimale rechten en bieden aanvallers die de applicatie compromitteren verstrekkende toegang tot postvakken, bestanden, directoryobjecten en tenantinstellingen. Machtigingen moeten worden beperkt tot het minimum dat voor de applicatiefunctionaliteit vereist is.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle Microsoft Graph-machtigingen beperkt tot het minimaal vereiste, waarbij applicatiemachtigingen waar mogelijk worden vervangen door gedelegeerde machtigingen", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel de Microsoft Graph-machtigingen voor alle applicatieregistraties en identificeer registraties die brede .All-bereiken of machtigingen op applicatieniveau gebruiken waar gedelegeerde machtigingen zouden volstaan. Vervang brede machtigingen door granulaire alternatieven zoals Mail.Read in plaats van Mail.ReadWrite.All of User.Read.All in plaats van Directory.Read.All. Gebruik de Microsoft Graph-machtigingenreferentie om de machtiging met minimale rechten voor elke API-aanroep van de applicatie te bepalen.", "status": "machine-draft" } }, "EIDAPP-007": { "name": { "value": "Applicatieregistraties met Azure IAM-roltoewijzingen", "status": "machine-draft" }, "description": { "value": "Applicatieregistraties of hun bijbehorende service-principals met IAM-roltoewijzingen op Azure-resourceniveau zoals Contributor, Owner of User Access Administrator kunnen Azure-infrastructuur wijzigen, resources implementeren of rechten over abonnementen heen verhogen. Deze roltoewijzingen breiden de reikwijdte van de applicatie uit voorbij Entra ID naar het Azure-resourcevlak, waardoor infrastructuurcompromittering mogelijk wordt als applicatiereferenties worden gestolen.", "status": "machine-draft" }, "recommendedValue": { "value": "Geen applicatieregistraties met Azure IAM-roltoewijzingen boven Reader, tenzij gedocumenteerd met zakelijke rechtvaardiging en een bereik volgens het principe van minimale rechten", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel de Azure IAM-roltoewijzingen op het niveau van beheergroep, abonnement en resourcegroep om toewijzingen aan applicatie-service-principals te identificeren. Verwijder Owner- en User Access Administrator-toewijzingen en vervang brede Contributor-rollen door aangepaste rollen die zijn afgebakend tot specifieke resourcetypen en acties. Beperk IAM-toewijzingen tot het smalst mogelijke bereik en geef de voorkeur aan toewijzingen op resourcegroepniveau boven abonnementsniveau.", "status": "machine-draft" } }, "EIDAPP-008": { "name": { "value": "Bewaking van het verlopen van referenties", "status": "machine-draft" }, "description": { "value": "Applicatiereferenties (clientgeheimen en certificaten) die het verlopen naderen of al zijn verlopen, kunnen serviceonderbrekingen veroorzaken als ze niet op tijd worden vernieuwd, of beveiligingsrisico's creëren als het vervalbeleid te ver in de toekomst is ingesteld. Referenties met lange geldigheidsperioden verlengen het venster waarin een gecompromitteerde referentie kan worden misbruikt. Proactieve bewaking van en waarschuwing over het verlopen van referenties zorgt voor tijdige vernieuwing en vermindert de beveiligingsblootstelling.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle applicatiereferenties hebben een maximale geldigheid van 12 maanden met geautomatiseerde waarschuwingen op 30 en 60 dagen vóór het verlopen", "status": "machine-draft" }, "remediationSteps": { "value": "Inventariseer alle applicatiereferenties en hun vervaldatums met de Microsoft Graph API. Identificeer referenties die binnen 30 dagen verlopen en referenties met geldigheidsperioden langer dan 12 maanden. Stel een geautomatiseerd bewakingsproces in dat applicatie-eigenaren en beveiligingsteams waarschuwt wanneer referenties het verlopen naderen, en dwing een beleid voor de maximale levensduur van referenties af via governanceprocedures.", "status": "machine-draft" } }, "EIDAPP-009": { "name": { "value": "Verouderde applicatieregistraties", "status": "machine-draft" }, "description": { "value": "Applicatieregistraties zonder recente aanmeldingsactiviteit zijn mogelijk verlaten, verweesd of niet langer nodig, maar behouden toch alle verleende machtigingen en referenties. Verouderde applicaties vergroten het aanvalsoppervlak omdat ze waarschijnlijk niet door hun oorspronkelijke eigenaren worden bewaakt of onderhouden, waardoor ze aantrekkelijke doelwitten worden voor aanvallers die vergeten referenties of machtigingen willen misbruiken. Regelmatige opschoning van ongebruikte applicaties vermindert de algehele risicoblootstelling van de tenant.", "status": "machine-draft" }, "recommendedValue": { "value": "Geen applicatieregistraties zonder aanmeldingsactiviteit in de afgelopen 90 dagen, tenzij gedocumenteerd met een geldige uitzondering", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel de aanmeldingslogboeken van applicaties in Entra ID om applicaties te identificeren zonder authenticatieactiviteit in de afgelopen 90 dagen. Neem contact op met de vermelde applicatie-eigenaren om te bevestigen of de applicatie nog nodig is. Schakel verouderde applicatieregistraties uit of verwijder ze nadat u hebt bevestigd dat ze niet langer nodig zijn, en verwijder alle bijbehorende referenties en machtigingen.", "status": "machine-draft" } }, "EIDAPP-010": { "name": { "value": "Analyse van multi-tenant-applicaties", "status": "machine-draft" }, "description": { "value": "Multi-tenant-applicatieregistraties zijn geconfigureerd om aanmeldingen vanuit elke Entra ID-tenant te accepteren, waardoor gebruikers van externe organisaties zich kunnen authenticeren. Hoewel dit noodzakelijk is voor SaaS- en partnerscenario's, creëert een multi-tenant-configuratie op interne applicaties een onnodig risico doordat externe identiteiten tokens kunnen verkrijgen. Elke multi-tenant-applicatie moet worden gevalideerd om te bevestigen dat de configuratie bedoeld is en dat er passende autorisatiemaatregelen aanwezig zijn.", "status": "machine-draft" }, "recommendedValue": { "value": "Geen multi-tenant-applicatieregistraties, tenzij vereist vanwege een zakelijke noodzaak met gedocumenteerde rechtvaardiging en passende autorisatiemaatregelen", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel alle applicatieregistraties en identificeer registraties waarvan signInAudience is ingesteld op AzureADMultipleOrgs of AzureADandPersonalMicrosoftAccount. Valideer voor elke multi-tenant-applicatie of multi-tenant-toegang vereist is en documenteer de zakelijke rechtvaardiging. Converteer applicaties die geen multi-tenant-toegang nodig hebben naar een single-tenant-configuratie en implementeer tokenvalidatie om te beperken welke externe tenants toegang tot multi-tenant-applicaties hebben.", "status": "machine-draft" } }, "EIDAPP-011": { "name": { "value": "Analyse van toestemmingsverleningen", "status": "machine-draft" }, "description": { "value": "OAuth-toestemmingsverleningen autoriseren applicaties om organisatiegegevens te openen namens gebruikers (gedelegeerd) of als de applicatie zelf (op applicatieniveau). Beheerderstoestemmingen bieden tenantbrede toegang voor alle gebruikers, terwijl gebruikerstoestemmingen zijn afgebakend tot individuele gebruikers. Kwaadaardige of buitensporige toestemmingsverleningen zijn een primaire techniek in OAuth-phishingaanvallen om persistente toegang tot postvakken, bestanden en directorygegevens te verkrijgen zonder referenties nodig te hebben.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle beheerderstoestemmingen beoordeeld en gerechtvaardigd. Geen gebruikerstoestemmingen voor risicovolle machtigingen. Regelmatige beoordelingen van toestemmingsverleningen ingesteld", "status": "machine-draft" }, "remediationSteps": { "value": "Inventariseer alle OAuth2-machtigingsverleningen in de tenant met Microsoft Graph en categoriseer ze als beheerderstoestemming of gebruikerstoestemming. Beoordeel beheerderstoestemmingen op te brede machtigingen en trek toestemmingen in die niet langer gerechtvaardigd zijn. Onderzoek gebruikerstoestemmingen voor verdachte applicaties, met name die welke Mail.Read, Files.ReadWrite of andere gevoelige bereiken aanvragen, en trek ongeautoriseerde verleningen in.", "status": "machine-draft" } }, "EIDAPP-012": { "name": { "value": "Beleid voor gebruikerstoestemmingsinstellingen", "status": "machine-draft" }, "description": { "value": "Het beleid voor gebruikerstoestemmingsinstellingen bepaalt of gebruikers applicaties toegang tot organisatiegegevens kunnen verlenen zonder goedkeuring van een beheerder. Toegeeflijke toestemmingsinstellingen laten gebruikers zelfstandig applicaties autoriseren, wat aanvallers misbruiken via phishingcampagnes met illegale toestemmingsverleningen om persistente toegang te verkrijgen. Het beperken van gebruikerstoestemming tot geverifieerde uitgevers of het volledig uitschakelen ervan dwingt alle toestemming via een goedkeuringsworkflow voor beheerders af.", "status": "machine-draft" }, "recommendedValue": { "value": "Gebruikerstoestemming uitgeschakeld of beperkt tot apps van geverifieerde uitgevers met uitsluitend machtigingen met laag risico", "status": "machine-draft" }, "remediationSteps": { "value": "Ga naar Entra ID > Enterprise applications > Consent and permissions > User consent settings. Stel gebruikerstoestemming in op 'Do not allow user consent' of 'Allow user consent for apps from verified publishers, for selected permissions only' met uitsluitend machtigingen met laag risico geselecteerd. Schakel de goedkeuringsworkflow voor beheerders in om een gestructureerd proces te bieden waarmee gebruikers toegang kunnen aanvragen tot applicaties die beheerdersgoedkeuring vereisen.", "status": "machine-draft" } }, "EIDAPP-013": { "name": { "value": "Configuratie van de goedkeuringsworkflow voor beheerderstoestemming", "status": "machine-draft" }, "description": { "value": "De goedkeuringsworkflow voor beheerderstoestemming biedt een gestructureerd proces waarmee gebruikers goedkeuring van een beheerder kunnen aanvragen voordat applicaties toegang krijgen tot organisatiegegevens. Zonder een goedkeuringsworkflow voor beheerderstoestemming hebben gebruikers met beperkte toestemming geen formeel mechanisme om applicatietoegang aan te vragen, wat leidt tot schaduw-IT-omwegen of knelpunten bij de helpdesk. Een correct geconfigureerde workflow zorgt ervoor dat legitieme applicatieaanvragen door aangewezen beheerders worden beoordeeld en goedgekeurd.", "status": "machine-draft" }, "recommendedValue": { "value": "Goedkeuringsworkflow voor beheerderstoestemming ingeschakeld met aangewezen beoordelaars en een vastgestelde SLA voor het afronden van de beoordeling", "status": "machine-draft" }, "remediationSteps": { "value": "Ga naar Entra ID > Enterprise applications > Consent and permissions > Admin consent settings. Schakel de goedkeuringsworkflow voor beheerderstoestemming in en wijs passende beoordelaars uit uw beveiligings- of IT-beheerteams aan. Configureer de meldingsinstellingen om beoordelaars te waarschuwen over openstaande aanvragen en stel een servicenormovereenkomst voor de doorlooptijd van beoordelingen in om knelpunten in de workflow te voorkomen.", "status": "machine-draft" } }, "EIDAPP-014": { "name": { "value": "Houders van de rol ApplicationImpersonation", "status": "machine-draft" }, "description": { "value": "De rol ApplicationImpersonation in Exchange Online verleent de mogelijkheid om zich voor te doen als elk postvak in de organisatie, wat volledige lees- en schrijftoegang tot alle e-mail geeft zonder medeweten van de postvakeigenaar. Deze rol wordt vaak misbruikt bij business email compromise en gegevensexfiltratie, omdat één gecompromitteerd account met deze rol toegang heeft tot de e-mail van de hele organisatie. Toewijzingen moeten uiterst beperkt, tijdgebonden en continu bewaakt zijn.", "status": "machine-draft" }, "recommendedValue": { "value": "Geen permanente toewijzingen van de rol ApplicationImpersonation. Eventuele vereiste toewijzingen moeten worden afgebakend tot specifieke postvakken en tijdgebonden zijn", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel de roltoewijzingen in Exchange Online om alle principals te identificeren die de rol ApplicationImpersonation bezitten met Get-ManagementRoleAssignment in Exchange Online PowerShell. Verwijder alle onnodige toewijzingen onmiddellijk en vervang brede impersonatieverleningen door afgebakende toewijzingen die waar nodig tot specifieke postvakken zijn beperkt. Implementeer bewakingswaarschuwingen voor nieuwe toewijzingen van de rol ApplicationImpersonation en voer maandelijkse beoordelingen van bestaande toewijzingen uit.", "status": "machine-draft" } }, "EIDAPP-015": { "name": { "value": "Beoordeling van OAuth2-machtigingsverleningen", "status": "machine-draft" }, "description": { "value": "OAuth2-machtigingsverleningen definiëren de specifieke machtigingen die applicaties zijn geautoriseerd uit te oefenen, ofwel als gedelegeerde machtigingen die namens een gebruiker handelen, ofwel als applicatiemachtigingen die zelfstandig handelen. Opgehoopte machtigingsverleningen over veel applicaties kunnen een complex web van toegang creëren dat moeilijk te auditen is en te brede of onnodige autorisaties kan bevatten. Regelmatige beoordeling zorgt ervoor dat verleningen afgestemd blijven op de huidige zakelijke vereisten.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle OAuth2-machtigingsverleningen elk kwartaal beoordeeld, waarbij verouderde of buitensporige verleningen worden ingetrokken", "status": "machine-draft" }, "remediationSteps": { "value": "Exporteer alle OAuth2-machtigingsverleningen met Microsoft Graph en categoriseer ze op machtigingstype (gedelegeerd versus applicatie), resource en bereik. Identificeer verleningen voor applicaties die niet langer actief zijn of machtigingen die verder gaan dan wat voor de huidige applicatiefunctionaliteit vereist is. Trek onnodige verleningen in via het Entra-beheercentrum of de Microsoft Graph API en stel een kwartaalgewijze beoordelingscyclus in voor alle actieve verleningen.", "status": "machine-draft" } }, "EIDAPP-016": { "name": { "value": "Inventaris en machtigingen van beheerde identiteiten", "status": "machine-draft" }, "description": { "value": "Beheerde identiteiten voorzien Azure-resources van automatisch beheerde referenties voor authenticatie bij services die Entra ID-authenticatie ondersteunen. Hoewel beheerde identiteiten de noodzaak van opgeslagen referenties wegnemen, kunnen ze nog steeds te ruime machtigingen hebben of toegewezen zijn aan resources die ze niet langer nodig hebben. Een uitgebreide inventaris van beheerde identiteiten en hun machtigingstoewijzingen waarborgt toegang volgens het principe van minimale rechten en identificeert verweesde identiteiten die aan verwijderde resources zijn gekoppeld.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle beheerde identiteiten geïnventariseerd met gedocumenteerde resourcekoppelingen en machtigingstoewijzingen volgens het principe van minimale rechten", "status": "machine-draft" }, "remediationSteps": { "value": "Inventariseer alle door het systeem toegewezen en door de gebruiker toegewezen beheerde identiteiten in alle Azure-abonnementen met Azure Resource Graph of de Azure-portal. Beoordeel de roltoewijzingen en API-machtigingen die aan elke beheerde identiteit zijn verleend en controleer of ze het principe van minimale rechten volgen. Verwijder roltoewijzingen van beheerde identiteiten die aan verwijderde of buiten gebruik gestelde resources zijn gekoppeld en documenteer het doel en de machtigingsvereisten voor elke actieve beheerde identiteit.", "status": "machine-draft" } }, "EIDAPP-017": { "name": { "value": "Aanmeldingsactiviteit van service-principals", "status": "machine-draft" }, "description": { "value": "Het bewaken van de aanmeldingsactiviteit van service-principals biedt inzicht in welke applicaties zich actief authenticeren en vanaf welke IP-adressen. Ongebruikelijke aanmeldingspatronen zoals authenticatie vanaf onverwachte geografische locaties, abnormale aanvraagvolumes of aanmeldingen door applicaties die inactief zouden moeten zijn, kunnen wijzen op compromittering van referenties of ongeautoriseerd gebruik. Deze basisactiviteitsgegevens zijn essentieel voor het detecteren van afwijkingen en het onderzoeken van incidenten.", "status": "machine-draft" }, "recommendedValue": { "value": "Aanmeldingslogboeken van service-principals regelmatig beoordeeld met basisactiviteitsprofielen ingesteld voor kritieke applicaties", "status": "machine-draft" }, "remediationSteps": { "value": "Beoordeel de aanmeldingslogboeken van service-principals in Entra ID > Monitoring > Sign-in logs > Service principal sign-ins. Stel basisactiviteitsprofielen in voor kritieke applicaties, inclusief de normale authenticatiefrequentie, bron-IP-bereiken en doelresources. Configureer waarschuwingen voor afwijkende aanmeldingspatronen van service-principals, zoals authenticatie vanaf nieuwe IP-adressen, ongebruikelijke activiteit op bepaalde tijdstippen of aanmeldingen door applicaties die inactief zijn geweest.", "status": "machine-draft" } }, "EIDAPP-018": { "name": { "value": "Wijzigingsregistratie van applicatieregistraties en service-principals", "status": "machine-draft" }, "description": { "value": "Wijzigingen aan applicatieregistraties en service-principals zoals het toevoegen van nieuwe referenties, machtigingswijzigingen of configuratiewijzigingen moeten worden bijgehouden en beoordeeld. Aanvallers wijzigen vaak bestaande applicaties om achterdeurreferenties toe te voegen, machtigingen te verhogen of redirect-URI's te wijzigen als onderdeel van technieken voor persistentie en rechtenescalatie. Zonder wijzigingsregistratie kunnen deze aanpassingen onbeperkt onopgemerkt blijven.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle wijzigingen aan applicatieregistraties en service-principals gelogd, bewaakt en beoordeeld met waarschuwingen voor risicovolle aanpassingen", "status": "machine-draft" }, "remediationSteps": { "value": "Configureer bewaking van auditlogboeken om alle wijzigingen aan applicatieregistraties en service-principals vast te leggen, inclusief het toevoegen van referenties, machtigingswijzigingen en configuratiewijzigingen. Maak waarschuwingsregels in Microsoft Sentinel of Azure Monitor voor risicovolle wijzigingen zoals nieuwe referenties die aan bestaande applicaties worden toegevoegd, wijzigingen in applicatiemachtigingsverleningen en wijzigingen aan reply-URL's. Stel een beoordelingsproces in voor alle applicatiewijzigingen met aangewezen beveiligingsbeoordelaars.", "status": "machine-draft" } }, "EIDAPP-019": { "name": { "value": "Loshangende reply-URL's", "status": "machine-draft" }, "description": { "value": "Reply-URL's die verwijzen naar verlopen, niet-eigen of niet-geclaimde domeinen maken tokendiefstal mogelijk doordat aanvallers het verlaten domein kunnen registreren en de OAuth-autorisatiecodes en tokens kunnen onderscheppen die door Entra ID worden omgeleid. Deze kwetsbaarheid, bekend als een subdomeinovername of dangling-DNS-aanval, geeft aanvallers de mogelijkheid om geldige toegangstokens voor de machtigingen van de applicatie te verkrijgen zonder enige compromittering van referenties. Alle reply-URL's moeten worden gevalideerd om te waarborgen dat ze verwijzen naar infrastructuur die door de organisatie wordt beheerd.", "status": "machine-draft" }, "recommendedValue": { "value": "Alle reply-URL's verwijzen naar actieve, door de organisatie beheerde domeinen zonder loshangende of verlopen domeinverwijzingen", "status": "machine-draft" }, "remediationSteps": { "value": "Haal alle reply-URL's uit de applicatieregistraties en resolveer elk domein om het eigendom en de actieve DNS-registratie te verifiëren. Identificeer reply-URL's die verwijzen naar domeinen die verlopen, beschikbaar voor registratie of niet door de organisatie beheerd zijn. Verwijder of werk loshangende reply-URL's onmiddellijk bij en implementeer een periodiek beoordelingsproces om nieuwe loshangende verwijzingen te detecteren naarmate domeinen verlopen of de infrastructuur verandert.", "status": "machine-draft" } }, "EIDAPP-020": { "name": { "value": "Toestemming van groepseigenaren voor applicaties geblokkeerd", "status": "machine-draft" }, "description": { "value": "Wanneer groepsspecifieke toestemming (toestemming door groepseigenaren) is ingeschakeld, kunnen eigenaren van Microsoft 365-groepen en Teams applicaties autoriseren om toegang te krijgen tot gegevens van hun groep zonder beoordeling door een beheerder. Aanvallers misbruiken dit via phishing met illegale toestemmingsverleningen gericht op groeps- en teameigenaren om persistente, afgebakende toegang tot organisatiegegevens te verkrijgen. SCuBA vereist dat groepseigenaren geen toestemming aan applicaties mogen geven, waardoor alle dergelijke toestemming via de goedkeuringsworkflow voor beheerders verloopt. In Entra ID wordt dit beheerd door de instelling EnableGroupSpecificConsent in de directory-instellingen (groep); deze moet false zijn. Merk op dat Microsoft de schakelaar in het beheercentrum voor deze maatregel heeft afgeschaft, maar de onderliggende directory-instelling blijft het gezaghebbende signaal.", "status": "machine-draft" }, "recommendedValue": { "value": "EnableGroupSpecificConsent ingesteld op false in de directory-instellingen (groep): groepseigenaren kunnen geen toestemming aan applicaties geven", "status": "machine-draft" }, "remediationSteps": { "value": "Zorg dat groepseigenaren geen toestemming aan applicaties kunnen geven, waarmee wordt voldaan aan SCuBA MS.AAD.5.4. Stel de directory-instelling (groep) 'EnableGroupSpecificConsent' in op false (sjabloon Group.Unified settings). Leid alle applicatietoestemming voor door groepen beheerde gegevens via de goedkeuringsworkflow voor beheerders, zodat een beoordelaar de toegang goedkeurt. Waar de verouderde schakelaar in het beheercentrum niet langer aanwezig is, bevestig dan de waarde van de directory-instelling rechtstreeks via de configuratie van de groepsinstellingen.", "status": "machine-draft" } } } |