Erkennen und Beheben unzulässiger Zustimmungserteilungen

Zusammenfassung Erfahren Sie, wie Sie den Angriff auf illegale Zustimmungserteilungen in Microsoft 365 erkennen und beheben.

Was ist der Angriff auf die unerlaubte Zustimmungserteilung in Microsoft 365?

Bei einem Angriff mit unerlaubter Zustimmungserteilung erstellt der Angreifer eine in Azure registrierte Anwendung, die Zugriff auf Daten wie Kontaktinformationen, E-Mails oder Dokumente anfordert. Der Angreifer vertrickt dann einen Endbenutzer dazu, dieser Anwendung die Einwilligung für den Zugriff auf ihre Daten zu erteilen, entweder durch einen Phishingangriff oder durch Einfügen von illegalem Code in eine vertrauenswürdige Website. Nachdem der unzulässigen Anwendung die Zustimmung erteilt wurde, hat sie Zugriff auf Daten auf Kontoebene, ohne dass ein Organisationskonto erforderlich ist. Normale Korrekturschritte (z. B. Zurücksetzen von Kennwörtern oder Erfordern der mehrstufigen Authentifizierung (Multi-Factor Authentication, MFA)) sind gegen diese Art von Angriff nicht wirksam, da diese Apps außerhalb der Organisation sind.

Bei diesen Angriffen wird ein Interaktionsmodell verwendet, bei dem davon ausgegangen wird, dass die Entität, die die Informationen aufruft, automatisierungs- und nicht menschlich ist.

Wie sieht ein Angriff auf illegale Zustimmungserteilung in Microsoft 365 aus?

Sie müssen das Überwachungsprotokoll durchsuchen, um Anzeichen für diesen Angriff zu finden, die auch als Indikatoren der Kompromittierung (Indicators of Compromise, IOC) bezeichnet werden. Für Organisationen mit vielen in Azure registrierten Anwendungen und einer großen Benutzerbasis besteht die bewährte Methode darin, die Zustimmungsgewährungen Ihrer Organisation wöchentlich zu überprüfen.

Schritte zum Auffinden von Anzeichen für diesen Angriff

1. Öffnen Sie das Microsoft Defender-Portal unter , https://security.microsoft.com und wählen Sie dann Überwachen aus. Oder verwenden Sie https://security.microsoft.com/auditlogsearch, um direkt zur Seite Überwachung zu wechseln.

2. Vergewissern Sie sich auf der Seite Überwachung, dass die Registerkarte Suchen ausgewählt ist, und konfigurieren Sie dann die folgenden Einstellungen:

   • Datums- und Zeitbereich
   • Aktivitäten: Vergewissern Sie sich, dass Ergebnisse für alle Aktivitäten anzeigen ausgewählt ist.

   Wenn Sie fertig sind, wählen Sie Suchen aus.

3. Wählen Sie die Spalte Aktivität aus, um die Ergebnisse zu sortieren, und suchen Sie nach Zustimmung zur Anwendung.

4. Wählen Sie einen Eintrag aus der Liste aus, um die Details der Aktivität anzuzeigen. Überprüfen Sie, ob IsAdminConsent auf True festgelegt ist.

Bestätigen eines Angriffs

Wenn Sie eine oder mehrere Instanzen der zuvor aufgeführten IOCs haben, müssen Sie weitere Untersuchungen durchführen, um zu bestätigen, dass der Angriff stattgefunden hat. Sie können eine der folgenden drei Methoden verwenden, um den Angriff zu bestätigen:

• Inventarisieren Sie Anwendungen und ihre Berechtigungen mithilfe des Microsoft Entra Admin Centers. Diese Methode ist gründlich, aber Sie können nur einen Benutzer gleichzeitig überprüfen, was sehr zeitaufwändig sein kann, wenn Sie viele Benutzer überprüfen müssen.
• Inventarisieren von Anwendungen und deren Berechtigungen mithilfe von PowerShell. Dies ist die schnellste und gründlichste Methode mit dem geringsten Aufwand.
• Bitten Sie Ihre Benutzer, ihre Apps und Berechtigungen einzeln zu überprüfen und die Ergebnisse zur Behebung an die Administratoren zurückzugeben.

Inventarisieren von Apps mit Zugriff in Ihrer Organisation

Sie haben die folgenden Optionen, um Apps für Ihre Benutzer zu inventarisieren:

• Das Microsoft Entra Admin Center.
• PowerShell.
• Lassen Sie Ihre Benutzer ihren eigenen Anwendungszugriff einzeln aufzählen.

Schritte für die Verwendung des Microsoft Entra Admin Centers

Sie können die Anwendungen, für die ein einzelner Benutzer Berechtigungen erteilt hat, im Microsoft Entra Admin Center nachschlagen:

1. Öffnen Sie das Microsoft Entra Admin Center unter https://entra.microsoft.com, und wechseln Sie dann zu Identitätsbenutzer>>Alle Benutzer. Oder verwenden Sie https://entra.microsoft.com/#view/Microsoft_AAD_UsersAndTenants/UserManagementMenuBlade/~/AllUsers/menuId/, um direkt zu Benutzer>Alle Benutzer zu wechseln.
2. Suchen Sie den Benutzer, den Sie überprüfen möchten, und wählen Sie diesen aus, indem Sie auf den Wert Anzeigename klicken.
3. Wählen Sie auf der daraufhin geöffneten Seite mit den Benutzerdetails die Option Anwendungen aus.

Diese Schritte zeigen Ihnen die Apps, die dem Benutzer zugewiesen sind, und welche Berechtigungen die Anwendungen besitzen.

Schritte zum Auflisten des Anwendungszugriffs durch Ihre Benutzer

Bitten Sie Ihre Benutzer, dort ihren eigenen Anwendungszugriff zu https://myapps.microsoft.com überprüfen. Sie sollten in der Lage sein, alle Apps mit Zugriff anzuzeigen, Details zu ihnen (einschließlich des Umfangs des Zugriffs) anzuzeigen und Berechtigungen für verdächtige oder unzulässige Apps zu widerrufen.

Schritte in PowerShell

Die einfachste Möglichkeit zum Überprüfen des Angriffs auf unzulässige Zustimmungsgewährungen besteht darin, Get-AzureADPSPermissions.ps1auszuführen, der alle OAuth-Zustimmungserteilungen und OAuth-Apps für alle Benutzer in Ihrem Mandanten in einer .csv Datei abspeichert.

Voraussetzungen

• Die Azure AD PowerShell-Bibliothek ist installiert.
• Globale Administratorberechtigungen in der Organisation, in der das Skript ausgeführt wird.
• Lokale Administratorberechtigungen auf dem Computer, auf dem Sie die Skripts ausführen.

1. Melden Sie sich mit lokalen Administratorrechten bei dem Computer an, auf dem Sie die Skripts ausführen möchten.

2. Laden Sie das Get-AzureADPSPermissions.ps1 Skript von GitHub herunter, oder kopieren Sie es in einen Ordner, der leicht zu finden und zu merken ist. In diesem Ordner müssen Sie auch die Ausgabedatei "permissions.csv" schreiben.

3. Öffnen Sie eine PowerShell-Sitzung mit erhöhten Rechten als Administrator in dem Ordner, in dem Sie das Skript gespeichert haben.

4. Stellen Sie mithilfe des Cmdlets Connect-MgGraph eine Verbindung mit Ihrem Verzeichnis her.

5. Führen Sie diesen PowerShell-Befehl aus:

   .\Get-AzureADPSPermissions.ps1 | Export-csv -Path "Permissions.csv" -NoTypeInformation
   

Das Skript erzeugt eine Datei mit dem Namen Permissions.csv. Führen Sie die folgenden Schritte aus, um nach unzulässigen Anwendungsberechtigungen zu suchen:

1. Suchen Sie in der Spalte ConsentType (Spalte G) nach dem Wert "AllPrinciples". Die AllPrincipals-Berechtigung ermöglicht der Clientanwendung den Zugriff auf die Inhalte aller Personen im Mandanten. Native Microsoft 365-Anwendungen benötigen diese Berechtigung, um ordnungsgemäß zu funktionieren. Jede Nicht-Microsoft-Anwendung mit dieser Berechtigung sollte sorgfältig überprüft werden.

2. Überprüfen Sie in der Spalte Berechtigung (Spalte F) die Berechtigungen, die jede delegierte Anwendung zum Inhalt hat. Suchen Sie nach den Berechtigungen "Lesen" und "Schreiben" oder "Alle", und überprüfen Sie diese Berechtigungen sorgfältig, da sie möglicherweise nicht geeignet sind.

3. Überprüfen Sie die spezifischen Benutzer, denen Zustimmungen erteilt wurden. Wenn Benutzern mit hohem Profil oder hohem Wert unangemessene Zustimmungen erteilt wurden, sollten Sie dies weiter untersuchen.

4. Suchen Sie in der Spalte ClientDisplayName (Spalte C) nach Apps, die verdächtig erscheinen. Apps mit falsch geschriebenen Namen, super faden Namen oder Hacker-klingenden Namen sollten sorgfältig überprüft werden.

Bestimmen des Umfangs des Angriffs

Nachdem Sie die Bestandsaufnahme des Anwendungszugriffs abgeschlossen haben, überprüfen Sie das Überwachungsprotokoll , um den gesamten Umfang der Sicherheitsverletzung zu ermitteln. Suchen Sie nach den betroffenen Benutzern, den Zeitrahmen, in denen die illegale Anwendung Zugriff auf Ihre Organisation hatte, und nach den Berechtigungen, über die die App verfügte. Sie können das Überwachungsprotokoll im Microsoft Defender-Portal durchsuchen.

So beenden und beheben Sie einen Angriff auf die illegale Zustimmungserteilung

Nachdem Sie die Anwendung mit unzulässigen Berechtigungen identifiziert haben, haben Sie mehrere Möglichkeiten, diesen Zugriff zu entfernen:

• Sie können die Berechtigung der Anwendung im Microsoft Entra Admin Center widerrufen, indem Sie die folgenden Schritte ausführen:

  1. Öffnen Sie die Microsoft Entra Admin Center unter https://entra.microsoft.com, und wechseln Sie dann zu Identitätsbenutzer>>Alle Benutzer. Oder verwenden Sie https://entra.microsoft.com/#view/Microsoft_AAD_UsersAndTenants/UserManagementMenuBlade/~/AllUsers/menuId/, um direkt zu Benutzer>Alle Benutzer zu wechseln.
  2. Suchen Sie den betroffenen Benutzer, und wählen Sie sie aus, indem Sie auf den Wert Anzeigename klicken.
  3. Wählen Sie auf der daraufhin geöffneten Seite mit den Benutzerdetails die Option Anwendungen aus.
  4. Wählen Sie auf der Seite Anwendungen die unzulässige Anwendung aus, indem Sie auf den Wert Name klicken.
  5. Wählen Sie auf der daraufhin geöffneten Seite Zuweisungsdetailsdie Option Entfernen aus.

• Sie können die OAuth-Zustimmungsgewährung mit PowerShell widerrufen, indem Sie die Schritte unter Remove-MgOauth2PermissionGrant ausführen.

• Sie können die Rollenzuweisung der Dienst-App mit PowerShell widerrufen, indem Sie die Schritte unter Remove-MgServicePrincipalAppRoleAssignment ausführen.

• Sie können die Anmeldung für das betroffene Konto deaktivieren, wodurch der Zugriff auf Daten im Konto durch die App deaktiviert wird. Diese Aktion ist nicht ideal für die Benutzerproduktivität, kann aber eine kurzfristige Korrektur sein, um die Ergebnisse des Angriffs schnell zu begrenzen.

• Sie können integrierte Anwendungen in Ihrem organization deaktivieren. Diese Aktion ist drastisch. Es verhindert zwar, dass Benutzer versehentlich Zugriff auf eine böswillige App gewähren, aber es verhindert auch, dass alle Benutzer ihre Zustimmung zu Anwendungen erteilen. Wir empfehlen diese Aktion nicht, da sie die Produktivität der Benutzer mit Anwendungen von Drittanbietern stark beeinträchtigt. Sie können integrierte Apps deaktivieren, indem Sie die Schritte unter Aktivieren oder Deaktivieren integrierter Apps ausführen.

Siehe auch

• Unter Unternehmensanwendungen aufgeführte Anwendungen führen Administratoren durch verschiedene Aktionen, die sie möglicherweise ausführen möchten, nachdem sie erkennen, dass unerwartete Anwendungen mit Zugriff auf Daten vorhanden sind.
• Schnellstart: Registrieren einer Anwendung mit dem Microsoft Identity Platform enthält eine allgemeine Übersicht über Zustimmung und Berechtigungen.
• Konfigurieren von Richtlinien für die Tokengültigkeitsdauer stellt Links zu verschiedenen Artikeln im Zusammenhang mit der Zustimmung bereit.
• Anwendungs- und Dienstprinzipalobjekte in Microsoft Entra ID bieten eine Übersicht über die Anwendungs- und Dienstprinzipalobjekte, die kernstück des Anwendungsmodells sind.
• Verwalten des Zugriffs auf eine Anwendung ist eine Übersicht über die Funktionen, die Administratoren zum Verwalten des Benutzerzugriffs auf Apps haben.