Microsoft Entra 應用程式安全性作業指南

應用程式具有安全性缺口的受攻擊面，而且必須加以監視。 未經常鎖定為使用者帳戶時，可能會發生缺口。 因為應用程式通常會在沒有人為介入的情況下執行，所以可能較難偵測攻擊。

本文提供監視和警示應用程式事件的指導。 這會定期更新，以協助確保您：

• 防止惡意應用程式取得未保證的資料存取

• 防止應用程式遭到不良執行者的盜用

• 收集深入解析，讓您更安全地建置及設定新的應用程式

如果您不熟悉應用程式在 Microsoft Entra ID 中的運作方式，則請參閱 Microsoft Entra ID 中的應用程式和服務主體。

應該檢查哪些狀況

當您監視應用程式記錄中的安全性事件時，請檢閱下列清單，以協助區分一般活動與惡意活動。 下列事件可能表示安全性考量。 本文涵蓋每個項目。

• 在一般商務程序和排程以外發生的任何變更

• 應用程式認證變更

• 應用程式權限

  • 指派給 Microsoft Entra ID 或 Azure 角色型存取控制 (RBAC) 角色的服務主體

  • 應用程式已獲授與高特殊權限

  • Azure Key Vault 變更

  • 授與應用程式同意的終端使用者

  • 根據風險層級停止終端使用者同意

• 應用程式設定變更

  • 統一資源識別項 (URI) 已變更或非標準

  • 應用程式擁有者的變更

  • 已修改登出 URL

查看位置

以下為您可用來調查和監視的記錄檔：

• Microsoft Entra 稽核記錄

• 登入記錄

• Microsoft 365 稽核記錄

• Azure Key Vault 記錄

從 Azure 入口網站，您可以檢視 Microsoft Entra 稽核記錄，並下載為逗號分隔值 (CSV) 或 JavaScript 物件標記法 (JSON) 檔案。 Azure 入口網站有數種方式可將 Microsoft Entra 記錄與其他工具整合，以讓監視和警示的自動化程度變得更高：

• Microsoft Sentinel – 使用安全性資訊與事件管理 (SIEM) 功能，以在企業層級啟用智慧型安全性分析。

• Sigma 規則 - Sigma 是撰寫規則和範本的開放標準，自動化管理工具可用來剖析記錄檔。 在有建議的搜尋準則 Sigma 範本之處，我們已新增 Sigma 存放庫的連結。 Sigma 範本不是由 Microsoft 所撰寫、測試及管理。 而是由全球 IT 安全性社群建立及收集存放庫和範本。

• Azure 監視器 – 自動監視及警示各種狀況。 可以建立或使用活頁簿以合併來自不同來源的資料。

• 與 SIEM 整合的 Azure 事件中樞- Microsoft Entra 記錄可以透過 Azure 事件中樞整合被整合到其他 SIEM，例如 Splunk、ArcSight、QRadar 和 Sumo Logic。

• Microsoft Defender for Cloud Apps - 探索及管理應用程式、跨應用程式和資源來控管，以及檢查雲端應用程式的合規性。

• 使用 Microsoft Entra ID Protection 來保護工作負載身分識別 - 偵測工作負載身分識別在登入行為和離線入侵指標上的風險。

您將監視和警示的大部分內容是條件式存取原則效果。 您可以使用條件式存取見解和報告活頁簿，檢查一或多個條件式存取原則對登入的效果，以及原則的結果，包括裝置狀態。 使用活頁簿來檢視摘要，並識別一段時間內的效果。 您可以使用活頁簿來調查特定使用者的登入。

本文的其餘部分是我們建議您監視及警示的內容。 其依威脅類型進行編排。 如果有預先建立解決方案，我們會連結至這些解決方案，或在表格之後提供範例。 否則，您可以使用上述工具來建置警示.

應用程式認證

許多應用程式都會使用認證在 Microsoft Entra ID 中進行驗證。 在預期的程序以外新增的任何其他認證，都可能是使用這些認證的惡意執行者。 建議您使用受信任授權單位或受控身分識別所發出的 X509 憑證，而不是使用用戶端祕密。 不過，如果您需要使用用戶端祕密，則請遵循良好的防護做法，讓應用程式保持安全。 請注意，應用程式和服務主體更新會記錄為稽核記錄中的兩個項目。

• 監視應用程式，以識別較長認證的到期時間。

• 將存留期較長的認證取代為短存留期。 確保認證未認可至程式碼存放庫，並且已安全地儲存。

您可以使用下列預先建置的監視和警示：

• Microsoft Sentinel – 在新增應用程式或服務主體認證時發出警示

• Azure 監視器 – Microsoft Entra 活頁簿可協助您評定 Solorigate 風險 - Microsoft Tech Community

• 適用於雲端的 Defender 應用程式 – 適用於雲端的 Defender 應用程式異常偵測警示調查指南

• PowerShell - 尋找認證存留期的 PowerShell 指令碼範例。

應用程式權限

與管理員帳戶相同，應用程式也可以獲指派特殊權限角色。 可以為應用程式指派任何 Microsoft Entra 角色 (例如 使用者系統管理員) 或 Azure RBAC 角色 (例如 計費讀取者)。 因為其可以在沒有使用者的情況下以背景服務形式執行，所以當應用程式獲授與特殊權限角色或權限時，就需要密切監視。

指派給角色的服務主體

應用程式已獲授與高特殊權限

應用程式應遵循最低權限的原則。 調查應用程式權限，以確定需要。 您可以建立應用程式同意授與報告，以協助識別應用程式，並醒目提示特殊權限。

如需監視應用程式權限的詳細資訊，請參閱本教學課程：調查和補救具風險的 OAuth 應用程式。

Azure Key Vault

使用 Azure Key Vault 來儲存您租用戶的祕密。 建議您注意 Key Vault 設定和活動的任何變更。

設定 Azure Key Vault 之後，請啟用記錄。 請參閱存取 Key Vault 的方式和時間，以及在 Key Vault 上設定警示，以在健康情況受到影響時，透過電子郵件、電話、文字或事件格線通知來通知指派的使用者或通訊群組清單。 此外，使用 Key Vault 深入解析設定監視，將會提供金鑰保存庫要求、效能、失敗和延遲的快照集。 Log Analytics 也有一些 Azure Key Vault 查詢範例，可在選取您的金鑰保存庫之後，在 [監視] 下選取 [記錄] 來進行存取。

終端使用者同意

同意應用程式的行為不屬於惡意。 不過，請調查新的終端使用者同意授與，以尋找可疑的應用程式。 您可以限制使用者同意作業。

如需同意作業的詳細資訊，請參閱下列資源：

• 管理對應用程式的同意，並評估 Microsoft Entra ID 中的同意要求

• 偵測並補救非法同意授與 - Office 365

• 事件回應劇本 - 應用程式同意授與調查

終端使用者因風險型同意而停止

應用程式驗證流程

OAuth 2.0 通訊協定中的數個流程。 應用程式的建議流程取決於所建置的應用程式類型。 在某些情況下，應用程式可以選擇可用的流程。 在此情況下，會建議某些驗證流程而不建議其他驗證流程。 具體而言，請避免資源擁有者密碼認證 (ROPC)，因為這些認證需要使用者向應用程式公開其目前的密碼認證。 然後，應用程式會使用認證來向識別提供者驗證使用者。 大部分應用程式都應該使用驗證碼流程，或具有代碼交換的證明金鑰 (PKCE) 驗證碼流程，因為建議使用此流程。

建議使用 ROPC 的唯一案例是自動應用程式測試。 如需詳細資訊，請參閱執行自動化整合測試。

裝置程式碼流程是另一個 OAuth 2.0 通訊協定流程，適用於輸入限制的裝置，不會在所有環境中使用。 當裝置程式碼流程出現在環境中，且不會用於輸入限制裝置案例中的情況下。 對於設定錯誤的應用程式或可能為惡意的應用程式，需要更多調查。 裝置碼流程也可以在條件式存取中封鎖或允許。 如需詳細資訊，請參閱條件式存取驗證流程。

使用下列方式監視應用程式驗證：

應用程式設定變更

監視應用程式設定的變更。 具體而言，是統一資源識別項 (URI)、擁有權和登出 URL 的設定變更。

無關聯的 URI 和重新導向 URI 變更

偵測到這些變更時，就會發出警示。

已新增、修改或移除 AppID URI

在核准的變更管理程序外部偵測到這些變更時，就會發出警示。

新的擁有者

已修改或移除登出 URL

資源

• GitHub Microsoft Entra 工具組 - https://github.com/microsoft/AzureADToolkit

• Azure Key Vault 安全性概觀和安全性指導 - Azure Key Vault 安全性概觀

• Solorigate 風險資訊和工具 - Microsoft Entra 活頁簿以協助您存取 Solorigate 風險

• OAuth 攻擊偵測指導 - 將認證異常新增至 OAuth 應用程式

• SIEM 的 Microsoft Entra 監視設定資訊 - Azure 監視器整合的合作夥伴工具

下一步

Microsoft Entra 安全性作業概觀 (部分機器翻譯)

使用者帳戶的安全性作業 (部分機器翻譯)

取用者帳戶的安全性作業

特殊權限帳戶的安全性作業 (部分機器翻譯)

Privileged Identity Management 的安全性作業

裝置的安全性作業

基礎結構的安全性作業