Microsoft は、サードパーティアプリケーションが Microsoft サービスに対して独自にアクションを実行できるようにするため、Entra ID で API を公開しています（「アプリケーションのアクセス許可」と呼ばれます）。特定のアクセス許可は、これらのサービスが保存するユーザーのデータに脅威をもたらす可能性があります。

Microsoft は、Microsoft Entra ID のアプリケーションを介して API を公開し、サードパーティアプリケーションが Microsoft Entra ID 自体、Microsoft 365 (O365)、SharePoint Online や Exchange Online などのサービスでアクションを実行できるようにします。「API アクセス許可」はこれらの API へのアクセスを保護します。それらのアクセス許可を必要とするサービスプリンシパルだけに提供してください。アクセス許可の承認は、「アプリケーションロールの割り当て」または「同意の付与」と呼ばれています。
一部の Microsoft API に対する特定のアクセス許可は、環境の機密データに脅威をもたらす可能性があります​。これは、これらのアクセス許可を持つサービスプリンシパルが、グローバル管理者などの強力な管理者ロールを持つユーザーよりも目立たないながらも、機密情報にアクセスできる可能性があるためです。
正当な場合、これらのアクセス許可は、データ侵害のリスクを増やします。正当でない場合、メールなどの機密データにアクセスして盗もうとする悪質な試みがあったことを示している可能性があります。
Microsoft ドキュメント<a href="https://learn.microsoft.com/ja-jp/entra/identity-platform/permissions-consent-overview">アクセス許可と同意の概要</a>で説明されているように、Microsoft Entra ID には次の 2 種類の API アクセス許可があります。
<ul>
<li>アプリケーションのアクセス許可: この露出インジケーター (IoE) は、この最初のタイプについて調べます​。Microsoft Entra テナント全体に対する脅威については、関連する露出インジケーター [テナントに影響を与える危険なアプリケーションのアクセス許可] を参照してください。同意は管理者から得られ、アクセス許可はテナント全体に適用されます。Microsoft はそれらを次のように<a href="https://learn.microsoft.com/ja-jp/security/operations/incident-response-playbook-app-consent#delegated-permissions-vs-application-permissions">説明</a>しています。</li>
</ul>
<blockquote>
アプリケーションのアクセス許可は、サインイン済みユーザーの存在なしで実行されるアプリで使用されます。たとえば、バックグラウンドサービスまたはデーモンとして実行されるアプリです。アプリケーションのアクセス許可に同意できるのは、管理者のみです。
</blockquote>
<ul>
<li>委任されたアクセス許可: 関連する露出インジケーター (IoE) [データに影響を与える危険な委任アクセス許可] を参照してください。</li>
</ul>
API アクセス許可はユーザーではなくサービスプリンシパルのみに適用されるため、この露出インジケーター (IoE) はサービスプリンシパルに関してのみ報告を行います。
この IoE は、ほとんどが一目瞭然の機密性の高い権限のリストを追跡します。ただし、次のアクセス許可についてはさらに説明が必要です。
<ul>
<li><code>Group.Read.All</code> (<a href="https://learn.microsoft.com/ja-jp/graph/overview">Microsoft Graph API</a> および <a href="https://learn.microsoft.com/ja-jp/exchange/permissions-exo/permissions-exo">Office 365 Exchange Online</a> で公開): このアクセス許可は、M365 の [calendar, conversations, files, and other group content] (カレンダー、会話、ファイル、その他のグループコンテンツ) の内容まで読み取ることが可能なため、非常にリスクが高いものです。Microsoft Teams で使用する M365 グループへの影響を検討してください。</li>
</ul>
これらの機密性の高いアクセス許可を持つ正当なアプリケーションは、本来必要とされる範囲を超えている可能性があるアクセスを要求します。これは、攻撃者が管理者の同意を不正に取得する「不正な同意の付与」として知られるフィッシング攻撃を示唆する可能性もあります。
攻撃者は無効になっているサービスプリンシパルをすぐに使用できないので、この IoE はデフォルトで無視します。
外部参照:
<ul>
<li>[Cloudbrothers - Azure Attack Paths](Cloudbrothers - Azure 攻撃パス) (<a href="https://cloudbrothers.info/en/azure-attack-paths/#api-permissions">https://cloudbrothers.info/en/azure-attack-paths/#api-permissions</a>)</li>
<li>[Microsoft - Exchange Web Server API abuse](Microsoft - Exchange Web Server API の悪用) (<a href="https://www.microsoft.com/ja-jp/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/#:~:text=Exchange%20Web%20Server%20API%20abuse">https://www.microsoft.com/ja-jp/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/#:~:text=Exchange%20Web%20Server%20API%20abuse</a>)</li>
<li>[Microsoft - Threat actors misuse OAuth applications to automate financially driven attacks](攻撃者は OAuth アプリケーションを金銭的な動機の攻撃の自動化ツールとして悪用) (<a href="https://www.microsoft.com/ja-jp/security/blog/2023/12/12/threat-actors-misuse-oauth-applications-to-automate-financially-driven-attacks/">https://www.microsoft.com/ja-jp/security/blog/2023/12/12/threat-actors-misuse-oauth-applications-to-automate-financially-driven-attacks/</a>)</li>
</ul>

初期アクセス

フィッシング

永続化

クラウドアプリケーション統合

検出

データに影響を与える危険なアプリケーションのアクセス許可

MEDIUM

バージョン 202504150945