بسیاری از تیم‌های امنیت، احراز هویت چندعاملی (MFA) را سیگنالی قطعی برای ایمن بودن یک حساب کاربری می‌دانند. اگرچه MFA برای securing authentication حیاتی است، اما یک نکته کلیدی وجود دارد: MFA کنترل نمی‌کند که کاربر پس از ورود، چه دسترسی‌هایی را به اپلیکیشن‌های ثالث اعطا می‌کند.
مسیر حمله: از تایید ساده تا دسترسی دائمی
در محیط‌های Cloud و SaaS، سوءاستفاده از OAuth Consent به یک مسیر دسترسی مجزا تبدیل شده است. مهاجمان می‌توانند بدون نیاز به سرقت رمز عبور یا اجرای بدافزار (Malware)، تنها با ارسال یک لینک متقاعدکننده، کاربر را به صفحه تایید دسترسی (Consent Screen) یک سرویس‌دهنده معتبر هدایت کنند. اگر کاربر روی گزینه Allow کلیک کند، مهاجم می‌تواند توکن‌هایی (Tokens) دریافت کند که دسترسی مداوم به ایمیل‌ها، فایل‌ها، مخازن کد (Repositories) و جریان‌های کاری (Workflows) را فراهم می‌کند.
چرا ابزارهای سنتی ناکارآمد هستند؟
این نوع حملات توسط ابزارهای Endpoint یا Network شناسایی نمی‌شوند، زیرا تمامی فعالیت‌ها از طریق APIهای تایید شده و در جلسات (Sessions) معتبر صورت می‌گیرد. حتی سیستم‌های SIEM پیشرفته نیز ممکن است این ریسک را نادیده بگیرند، مگر اینکه به‌طور خاص برای شناسایی Grantهای جدید اپلیکیشن‌ها و تغییرات غیرعادی در رفتار API مانیتور شوند.
راهکارهای کنترلی برای مدیران امنیت
- حاکمیت بر Consent: سازمان‌ها باید تایید پیش‌فرض اپلیکیشن‌های ثالث توسط کاربران را محدود کنند. دسترسی‌های پرریسک (High-risk scopes) باید مستلزم تایید مدیر (Admin Approval) باشند.
- انضباط در Scopeها: دسترسی‌ها باید بر اساس اصل Least-Privilege تعریف شوند. برای مثال، یک ابزار گزارش‌گیری نباید دسترسی مدیریتی به مخازن کد داشته باشد.
- مانیتورینگ پس از تایید: شناسایی باید فراتر از رویداد Login باشد. سیگنال‌هایی مانند ایجاد Service Principalهای جدید یا دانلودهای انبوه توسط کاربری که معمولاً فعالیت کمی دارد، باید منجر به بررسی سریع شود.
- آمادگی برای Revocation: تیم‌های پاسخ به حادثه (IR) باید Playbookهای دقیقی برای شناسایی سریع اپلیکیشن‌های مشکوک، ابطال توکن‌های Refresh و چرخش Secretها داشته باشند.
در نهایت، آموزش کاربران باید تغییر کند. کاربران نباید تنها به معتبر بودن URL اعتماد کنند، بلکه باید بپرسند: «چرا این اپلیکیشن به این سطح از دسترسی نیاز دارد و آیا سازمان من آن را تایید کرده است؟»
