breadcrumbDescription
Konfigurer OAuth-politikker: Konfigurer forløbspolitikkontrol for klientlegitimationsoplysninger
Denne sikkerhedstilstand fraråder brugen af forløbet Client Credentials (Klientlegitimationsoplysninger) til fordel for mere sikre, brugerkontekstbaserede godkendelsesmetoder.
Kontrolnavn
Eksterne klientapps: Konfigurer OAuth-politikker: Konfigurer forløbspolitikker for klientlegitimationsoplysninger
Anbefalet konfiguration
Konfigurer forløbspolitikker for klientlegitimationsoplysninger.
Kontroller oversigt
Denne sikkerhedstilstand fraråder brugen af forløbet Client Credentials (Klientlegitimationsoplysninger) til fordel for mere sikre brugerkontekstbaserede godkendelsesmetoder for at sikre, at al dataadgang er knyttet til en specifik identificerbar person. Forløbet Client Credentials (Klientlegitimationsoplysninger) administrerer muligheden for eksterne klientapps til at godkende og hente adgangstokener ved brug af et klient-id og en hemmelighed uden menneskelig intervention.
Sikkerhedsrisiko, hvis den ikke er konfigureret
Brug af dette forløb skaber en høj risiko for misbrug af data, da det tilsidesætter autorisation på brugerniveau, hvilket tillader, at backendservicekonti fungerer med vedvarende, autonom adgang til hele det organisatoriske datasæt.
Trusselscenarier
En kompromitteret ekstern server bruger sine lagrede klientlegitimationsoplysninger til programmeringsmæssigt at udfiltrere store mængder registreringer eller redigere kritiske systemkonfigurationer uden nogen interaktivt login eller godkendelse med flere faktorer.
Estimeret CVSS-scoringsinterval
Høj (7,0-8,9).
Overvejelser i forbindelse med risikopåvirkning
Brug af over-privileged-tjenesteidentiteter resulterer i manglende individuel ansvarlighed og kan føre til et fuldskala databrud, hvis de statiske legitimationsoplysninger, der er tilknyttet den eksterne klientapp, opfanges eller lækkes.
Højere risiko når
Forløbet med klientlegitimationsoplysninger knyttes til en kørselsbruger med brede administrative tilladelser, eller når integrationen mangler begrænsninger for IP-adresse og anmodningsfrekvensbegrænsning.
Lav risiko når
Hvis firmaet erstatter forløbet med klientlegitimationsoplysninger med et JWT Bearer-forløb ved brug af et entydigt digitalt certifikat eller begrænser servicekontoen til et meget indsnævret tilladelsessæt og specifikke netværksområder.
Overvejelser i forbindelse med forretning og integration
Selvom dette forløb er nemmere at implementere for automatiserede server-til-server-processer, kræver det en streng intern styringsproces for at administrere livscyklussen for servicekontoen og dens tilknyttede tilladelser.
Anbefalet rettelse
Evaluer integrationsarkitekturen for at overgå fra forløbet med klientlegitimationsoplysninger til en mere sikker metode som JWT Bearer-forløbet, og sørg for, at alle resterende servicekonti tildeles til en dedikeret kørselsbruger med den absolutte minimumkravsadgang.
Vejledning til sikkerhedstilstandsgennemgang
Sikkerhedstilstandsgennemgang identificerer disse politikker som stærkt anbefalede afhængigt af integrationens anvendelsessituation, da det at undgå eller strengt hærde disse automatiserede processer hjælper med at sikre, at backendsystemer fungerer med en begrænset identitet for at forhindre misbrug af store data.
