Du er her:
Konfigurere OAuth-policyer: Konfigurere flytpolicyer for klientlegitimasjon
Denne sikkerhetssituasjonen fraråder bruk av Client Credentials-flyten til fordel for sikrere, brukerkontekstbaserte godkjenningsmetoder.
Navn på kontroll
Eksterne klientapper: Konfigurere OAuth-policyer: Konfigurere flytpolicyer for klientlegitimasjon
Anbefalt konfigurasjon
Konfigurer flytpolicyer for klientlegitimasjon.
Oversikt over kontroll
Denne sikkerhetssituasjonen fraråder bruk av Client Credentials-flyten til fordel for sikrere, brukerkontekstbaserte godkjenningsmetoder for å sikre at all datatilgang er knyttet til en bestemt identifiserbar person. Flyten Client Credentials (Klientlegitimasjon) administrerer muligheten for eksterne klientapper til å godkjenne og hente tilgangstokener ved bruk av en klient-ID og hemmelighet uten menneskelig intervensjon.
Sikkerhetsrisiko hvis ikke konfigurert
Bruk av denne flyten skaper en høy risiko for misbruk av data fordi den omgår godkjenning på brukernivå, slik at serverdeltjenestekontoer kan operere med fast, autonom tilgang til hele det organisasjonsbaserte datasettet.
Trusselscenarier
En kompromittert ekstern server bruker sin lagrede klientlegitimasjon til å programmatisk eksfiltrere store mengder poster eller endre kritiske systemkonfigurasjoner uten noen utfordringer med interaktiv pålogging eller godkjenning med flere faktorer.
Beregnet CVSS Score-område
Høyt (7.0–8,9).
Viktige punkter om risikoinnvirkning
Bruk av overprivatiserte tjenesteidentiteter fører til mangel på individuell ansvarlighet og kan føre til et fullstendig datainnbrudd hvis den statiske legitimasjonen som er knyttet til den eksterne klientappen, blir oppfanget eller lekket.
Høyere risiko når
Klientlegitimasjonsflyten tilordnes til en utførelsesbruker med brede administrative tillatelser eller når integrasjonen mangler IP-adresserestriksjoner og begrensninger for forespørselsfrekvens.
Lav risiko når
Hvis firmaet erstatter klientlegitimasjonsflyten med en JWT-bærerflyt som bruker et unikt digitalt sertifikat, eller begrenser tjenestekontoen til et sterkt begrenset tillatelsessett og bestemte nettverksområder.
Viktige punkter om virksomheten og integrasjonen
Selv om denne flyten er enklere å implementere for automatiserte server-til-server-prosesser, krever den en streng intern styringsprosess for å behandle livssyklusen til tjenestekontoen og dens tilknyttede tillatelser.
Anbefalt rettelse
Evaluer integrasjonsarkitekturen for å gå over fra klientlegitimasjonsflyten til en sikrere metode som JWT Bearer-flyten, og kontroller at eventuelle gjenværende tjenestekontoer er tildelt en dedikert utførelsesbruker med den absolutte minste nødvendige tilgangen.
Veiledning for vurdering av sikkerhetstilstand
Sikkerhetstilstandsvurdering identifiserer disse policyene som sterkt anbefalt avhengig av integrasjonsbrukstilfellet, fordi å unngå eller strenggjøre disse automatiserte prosessene bidrar til å sikre at serverdelsystemer fungerer med en begrenset identitet for å hindre misbruk av data i stor skala.
