Audyt grantów OAuth

czym to jest

OAuth to protokół, który pozwala jednej aplikacji uzyskać dostęp do zasobów w innej w imieniu użytkownika. W praktyce: gdy pracownik podłącza nowe narzędzie do Google Workspace albo Microsoft 365 i klika „Zezwól", aplikacja dostaje grant OAuth. Ten grant określa zakres dostępu, który może obejmować odczyt poczty, dostęp do wydarzeń w kalendarzu, przeglądanie lub edycję plików czy odczyt listy kontaktów.

Grant jest trwały. Nie wygasa, gdy użytkownik przestaje używać aplikacji. Nie wygasa, gdy użytkownik zmienia rolę. Nie wygasa, gdy użytkownik odchodzi z firmy. Pozostaje aktywny, dopóki ktoś go wyraźnie nie odbierze.

Audyt grantów OAuth to proces pobierania każdego aktywnego grantu w środowisku, przeglądu, do czego ma dostęp każda aplikacja i czy nadal powinna go mieć, oraz odbierania grantów, które nie są już potrzebne albo mają szerszy dostęp, niż wymaga tego ich funkcja.

dlaczego się gromadzi

Mechanizm, który tworzy gromadzenie się grantów OAuth, jest wbudowany w to, jak działają narzędzia chmurowe.

Każda integracja, którą tworzy użytkownik, każda aplikacja, którą podłącza dla wygody, każde narzędzie trzecie, które prosi o dostęp do workspace'u: każde z nich tworzy grant. Użytkownik może używać narzędzia przez tydzień i przejść dalej. Grant zostaje.

Żaden system nie wysyła powiadomienia, gdy grant przestaje być aktywnie używany. Żaden system nie ostrzega, gdy aplikacja przypisana do grantu zmienia właściciela, zostaje przejęta albo zamyka się. Użytkownik, który stworzył grant, mógł odejść z firmy, zostawiając aktywne uprawnienie aplikacji przypisane do swojego konta, które samo może wciąż być aktywne.

Większość organizacji nie ma jednego widoku pokazującego wszystkie aktywne granty OAuth. Granty istnieją w warstwie aplikacji, nie w katalogu. Bez narzędzia, które specyficznie czyta dane grantów OAuth z IdP, lista jest niewidoczna.

co to kosztuje

Aktywny dostęp przez konta osób, które odeszły. Gdy pracownik odchodzi, a jego konto w katalogu zostaje zamknięte, granty OAuth przypisane do tego konta mogą wciąż nieść żywy dostęp. Jeśli aplikacja może ponownie uwierzytelnić się za pomocą refresh tokena grantu, może dalej czytać dane z Twojego workspace'u po odejściu użytkownika.

Aplikacje z nadmiarowym dostępem do wrażliwych danych. Narzędzie, które musi tylko wysyłać powiadomienia, nie ma powodu czytać całej Twojej skrzynki. Narzędzie do podpisywania nie potrzebuje dostępu do Twoich kontaktów. Granty są wydawane na zakres, jakiego żąda aplikacja, a nie na minimalny zakres wymagany przez jej funkcję. Szerokie zakresy nadane bez przeglądu tworzą szerokie ścieżki dostępu z Twojego środowiska do systemów trzecich.

Uśpione granty z porzuconych narzędzi. Aplikacje, które były testowane, wypróbowane przez krótki czas albo przyjęte, a potem porzucone, wciąż mają aktywne granty. Część z tych dostawców mogła zmienić swoje praktyki dotyczące danych, zostać przejęta przez inną firmę albo zakończyć działalność. Grant pozostaje, a jego status zaufania zmienił się bez Twojej wiedzy.

Ekspozycja compliance. Artykuł 28 RODO wymaga umów powierzenia przetwarzania dla każdej strony trzeciej przetwarzającej dane osobowe w Twoim imieniu. Aplikacje podłączone przez OAuth przetwarzające dane Twoich użytkowników są podmiotami przetwarzającymi. Bez audytu nie wiesz, ile ich masz ani czy umowy są wdrożone.

co działa

Surowy materiał pochodzi bezpośrednio od dostawcy tożsamości: Google Workspace, Okta i Microsoft Entra każdy udostępnia pełną listę grantów OAuth przez swoje konsole administracyjne lub API, z nazwą aplikacji, nadanym zakresem, użytkownikiem, który go autoryzował, i datą ostatniej autoryzacji. Zestawiona z rejestrem aplikacji lista sama się porządkuje. Granty od nierozpoznanych aplikacji idą pierwsze, a granty od znanych narzędzi są sprawdzane pod kątem zakresu, jaki faktycznie posiadają, zamiast przepuszczane na podstawie znajomości.

Dwie kategorie uzasadniają natychmiastowe odebranie zamiast przeglądu. Granty przypisane do nieaktywnych lub odeszłych kont idą pierwsze, bo offboarding w katalogu nie odbiera grantów OAuth, a aplikacja z refresh tokenem może dalej czytać dane workspace'u długo po odejściu użytkownika. Druga kategoria to niedopasowanie między zakresem a funkcją: narzędzie do powiadomień z pełnym dostępem do odczytu skrzynki, narzędzie do podpisywania, które może czytać kontakty. Tam, gdzie narzędzie to wspiera, odebranie i ponowna autoryzacja na węższym zakresie zachowuje funkcję i usuwa nadmiar. Tam, gdzie nie wspiera, wybór leży między zaakceptowaniem udokumentowanego ryzyka a zastąpieniem narzędzia.

To, co powstrzymuje odbudowanie się zaległości, to rytm, nie heroizm. Kwartalny albo półroczny przegląd, który obejmuje tylko to, co się zmieniło, nowe granty od ostatniego przejścia, granty na kontach o wysokich uprawnieniach i granty w kategorii szerokiego zakresu, pozostaje wystarczająco mały, żeby faktycznie się odbyć. Wyczerpujący coroczny przegląd, którego wszyscy się boją, ma tendencję do bezterminowego przesuwania się, podczas gdy ograniczony przegląd wykonywany według harmonogramu wychwytuje dryf, gdy jest jeszcze mały.