위치:
OAuth 정책 구성: 클라이언트 자격 증명 플로 정책 구성
이 보안 조치는 보다 안전한 사용자 컨텍스트 기반 인증 메서드를 지원하는 클라이언트 자격 증명 플로를 사용하지 않는 것이 좋습니다.
제어 이름
외부 클라이언트 앱: OAuth 정책 구성: 클라이언트 자격 증명 플로 정책 구성
권장 구성
클라이언트 자격 증명 플로 정책을 구성합니다.
제어 개요
이 보안 조치는 모든 데이터 액세스가 식별 가능한 특정 개인과 연결되도록 더 안전한 사용자 컨텍스트 기반 인증 메서드를 지원하기 위해 클라이언트 자격 증명 플로를 사용하지 않는 것이 좋습니다. 클라이언트 자격 증명 플로는 사람이 개입하지 않고 클라이언트 ID 및 암호를 사용하여 액세스 토큰을 인증하고 가져오는 외부 클라이언트 앱의 기능을 관리합니다.
구성되지 않은 경우 보안 위험
이 플로를 사용하면 사용자 수준 권한 부여를 우회하므로 백엔드 서비스 계정이 전체 조직 데이터 집합에 대한 지속적인 자율 액세스를 사용하여 작업할 수 있으므로 데이터 오용 위험이 높습니다.
위협 시나리오
손상된 외부 서버는 저장된 클라이언트 자격 증명을 사용하여 대량의 레코드를 프로그래밍 방식으로 추출하거나 대화형 로그인 또는 다단계 인증 챌린지 없이 중요한 시스템 구성을 수정합니다.
예상 CVSS 점수 범위
높음(7.0~8.9)
위험 영향 고려 사항
권한이 지나친 서비스 ID를 사용하면 개인의 책임이 부족해지고 외부 클라이언트 앱과 연결된 정적 자격 증명이 중첩되거나 누출될 경우 전체 규모의 데이터 침해로 이어질 수 있습니다.
위험이 높은 경우
클라이언트 자격 증명 플로는 광범위한 관리 권한이 있는 실행 사용자 또는 통합에 IP 주소 제한 및 요청 속도 제한이 없는 경우 매핑됩니다.
낮은 위험 시기
회사에서 고유한 디지털 인증서를 사용하여 클라이언트 자격 증명 플로를 JWT 전달자 플로로 대체하거나 서비스 계정을 매우 좁은 권한 집합 및 특정 네트워크 범위로 제한하는 경우
비즈니스 및 통합 고려 사항
이 플로는 자동화된 서버 간 프로세스에 더 쉽게 구현할 수 있지만 서비스 계정의 수명 주기 및 관련 권한을 관리하려면 엄격한 내부 관리 프로세스가 필요합니다.
권장 수정
통합 아키텍처를 평가하여 클라이언트 자격 증명 플로에서 JWT 전달자 플로와 같은 보다 안전한 메서드로 전환하고 나머지 서비스 계정이 절대 최소 필수 액세스 권한이 있는 전용 실행 사용자에게 할당되었는지 확인합니다.
보안 상태 검토 지침
보안 상태 검토는 해당 자동 프로세스를 방지하거나 엄격하게 강화하면 백엔드 시스템이 대규모 데이터 오용을 방지하기 위해 제한된 ID로 작동하는지 확인할 수 있습니다.
