微软取消高权限访问以强化Microsoft 365安全

微软在其更广泛的“安全未来倡议”（SFI）框架下，通过系统性地消除所有应用程序中的高权限访问（HPA），显著加强了Microsoft 365生态系统的安全性。该倡议整合了公司基础设施、产品和服务的努力，以增强网络安全保护，特别侧重于“保护租户和隔离生产系统”支柱。

HPA在技术上的定义是应用程序或服务在无需用户上下文验证的情况下获得广泛的、模拟访问客户内容的场景，例如在服务到服务（S2S）交互中。

推进网络安全

例如，如果应用程序B通过API访问存储在应用程序A中的客户数据，而无需经过认证的用户委托，这就体现了HPA，可能导致身份假设并放大风险，如服务受损、凭据泄露或令牌暴露。

通过强制执行持续的最小权限原则，微软确保Microsoft 365内的所有应用程序间通信都遵循最小必要权限，从而减轻这些漏洞，即使在非用户委托的场景中也是如此。

这种方法不仅保护了关键业务工作流，还符合“假设被入侵”的心态，即通过严格的认证协议预先处理潜在的入侵。

在内部，微软对所有Microsoft 365应用程序及其与资源提供商的S2S交互进行了全面审计，导致弃用了促进HPA模式的传统认证机制。

工程师加速采用现代、安全的协议，重新设计架构以支持精细访问控制。

例如，应用程序现在被限制在精确的范围，如“Sites.Selected”用于读取特定的SharePoint站点，而不是像“Sites.Read.All”这样的广泛权限，确保最小权限执行而不中断客户场景。

这项巨大的努力涉及超过200名工程师，并成功缓解了1,000多个HPA实例。

此外，已部署标准化监控系统以检测和报告任何残留的高权限访问，提供持续的可见性和快速修复能力。

根据报告，这些变化强调了微软在互连环境中减少攻击面的承诺，其中应用程序必须无缝且安全地交互以提供价值。

为了反映微软增强的安全态势，组织被建议利用Microsoft 365的本机工具和Microsoft Entra身份平台，该平台提供了强大的同意框架来管理应用程序权限。

关键实践包括审计现有应用程序以撤销未使用或过度的权限，强制要求人工同意内容访问请求，并优先考虑委托权限，允许应用程序仅在已登录用户的范围内操作。

开发人员应从一开始就嵌入最小权限原则，同时实施严格的审计控制以进行定期审查，确保合规性。

通过采用这些措施，企业可以显著减少与HPA相关的风险，培养更具弹性的数字生态系统。

保持对每日网络安全新闻的更新。在Google News、LinkedIn和X上关注我们。