Du är här:
Konfigurera OAuth-policyer: Konfigurera flödespolicyer för klientuppgifter
Denna säkerhetsinställning avråder från att använda flödet Klientuppgifter till förmån för mer säkra, användarsammanhangsbaserade autentiseringsmetoder.
Kontrollnamn
Externa klientappar: Konfigurera OAuth-policyer: Konfigurera flödespolicyer för klientuppgifter
Rekommenderad konfiguration
Konfigurera flödespolicyer för klientuppgifter.
Kontrollöversikt
Denna säkerhetsinställning avråder från att använda flödet Klientuppgifter till förmån för mer säkra, användarsammanhangsbaserade autentiseringsmetoder för att säkerställa att all dataåtkomst är knuten till en specifik identifierande individ. Flödet Klientuppgifter hanterar möjligheten för externa klientappar att autentisera och hämta åtkomsttokens med ett klient-ID och en hemlighet utan mänsklig inblandning.
Säkerhetsrisk om den inte är konfigurerad
Att använda detta flöde skapar en hög risk för datamissbruk eftersom det kringgår auktorisering på användarnivå, vilket låter backendtjänstkonton fungera med beständig, autonom åtkomst till hela organisationsdatauppsättningen.
Hotscenarier
En komprometterad extern server använder sina lagrade klientuppgifter för att programmatiskt exfiltrera massiva volymer av poster eller ändra viktiga systemkonfigurationer utan någon interaktiv inloggning eller utmaning med flerfaktorsautentisering.
Uppskattat CVSS-betygintervall
Hög (7,0-8,9).
Att tänka på vad gäller riskpåverkan
Att använda överprivilegierade tjänstidentiteter resulterar i en brist på individuell ansvarighet och kan leda till ett fullständigt dataintrång om de statiska inloggningsuppgifter som är associerade med den externa klientappen fångas upp eller läcker.
Högre risk när
Klientinloggningsflödet mappas till en körningsanvändare med breda administrativa behörigheter eller om integreringen saknar begränsningar för IP-adresser och begränsning av begärandefrekvens.
Låg risk när
Om företaget ersätter klientuppgifterflödet med ett JWT-bärarflöde med ett unikt digitalt certifikat eller begränsar servicekontot till en mycket begränsad behörighetsuppsättning och specifika nätverksintervall.
Att tänka på vad gäller affärer och integration
Detta flöde är enklare att implementera för automatiserade server-till-server-processer, men det kräver en rigorös intern styrningsprocess för att hantera livscykeln för servicekontot och dess associerade behörigheter.
Rekommenderad åtgärd
Utvärdera integreringsarkitekturen för att övergå från klientinloggningsuppgifterflödet till en säkrare metod som JWT Bearer-flödet och se till att eventuella återstående servicekonton tilldelas till en dedikerad körningsanvändare med den absolut lägsta åtkomst som behövs.
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning identifierar dessa policyer som starkt rekommenderade beroende på integreringsanvändningsfallet, eftersom att undvika eller strikt härda dessa automatiserade processer hjälper till att säkerställa att backendsystem fungerar med en begränsad identitet för att förhindra storskaligt datamissbruk.
