Ризики OAuth у сторонніх застосунках

Що таке Ризики OAuth у сторонніх застосунках?

OAuth підключає сторонній застосунок до вашого робочого облікового запису одним натисканням, а отриманий ним токен діє, доки хтось його не відкличе. Фішинг через запит згоди працює тому, що ніщо в цьому процесі не виглядає підозрілим: екран справжній, а домен належить вашому власному постачальнику ідентичності. Викриває його лише запитана область дії. Ви підключите інструмент для планування, який порадив колега, надасте йому доступ до пошти й файлів, а через три тижні дізнаєтеся, що він експортував ваші контакти. Потім ви розберете кожен дозвіл і повідомите про інцидент.

Що ви дізнаєтесь у Ризики OAuth у сторонніх застосунках

• Оцінюйте екрани згоди OAuth, порівнюючи запитані дозволи з тим, що застосунку справді потрібно для роботи
• Простежуйте, як рекомендація застосунку з облікового запису зламаного колеги веде до того, що шкідливий застосунок отримує дозволи OAuth
• Повідомляйте про дозволи, несанкціоновано надані застосунку, і додавайте подробиці, які потрібні службі ІТ-безпеки, щоб оцінити масштаб шкоди
• Розпізнавайте фішинг через запит згоди, коли шкідливі застосунки видають себе за справжні інструменти для продуктивності
• Дотримуйтеся процедури схвалення застосунків у своїй організації, перш ніж надавати новим стороннім інструментам доступ до корпоративних даних

Ризики OAuth у сторонніх застосунках — Кроки навчання

1. Порада щодо продуктивності

   Вам важко впоратися з календарем і нагадуваннями про відповіді на листи. Колега Маркус розповів про інструмент, який допоміг йому все впорядкувати.

2. Порада Маркуса

   Вам приходить лист від Маркуса про інструмент для продуктивності, про який він розповідав.

3. Підключення застосунку

   Інструмент звучить саме так, як вам потрібно. Маркус — колега, якому можна довіряти, і шкідливого він не порадив би. Ви натискаєте посилання, щоб подивитися, що це за застосунок SmartSync Pro.

4. Авторизація застосунку

   Сторінка SmartSync Pro виглядає професійно й обіцяє корисні функції. Щоб підключити застосунок, його потрібно авторизувати через ваш обліковий запис Meridian Workspace.

5. Екран згоди OAuth

   Вас перенаправляють на корпоративний портал Meridian Workspace. Він показує екран згоди із запитом на авторизацію застосунку SmartSync Pro. Застосунок просить доступ до вашого облікового запису. Перегляньте дозволи й натисніть «Дозволити», щоб підключити застосунок.

6. Застосунок підключено

   Застосунок SmartSync Pro підключено до вашого облікового запису Meridian. На екрані підтвердження видно, що тепер він має доступ до ваших даних. Ви закриваєте вікно й продовжуєте день, переконані, що з календарем тепер буде легше.

7. Через три тижні

   Минають три тижні. Ви користуєтеся застосунком SmartSync Pro для нагадувань у календарі, хоча він, схоже, не такий розумний, як розповідав Маркус. Одного ранку вам приходить терміновий лист від служби ІТ-безпеки.

8. Лихе передчуття

   Читаючи сповіщення, ви відчуваєте, як усе обривається всередині. Інструмент для продуктивності, який ви встановили, потай збирав ваші дані. У сфері фінансових послуг такий витік даних може мати серйозні наслідки з боку регуляторів. Треба негайно зв'язатися зі службою ІТ-безпеки.

9. Що пішло не так

   Девід зі служби ІТ-безпеки пояснив, що SmartSync Pro не був справжнім інструментом для продуктивності: це застосунок для збирання даних, створений, щоб викрадати корпоративну інформацію. Але ж його порадив Маркус. Як сказав Девід у розмові, обліковий запис Маркуса зламали. Аліса відкриває початковий лист, щоб побачити, що вона проґавила.

10. Перевірка відправника

    Аліса ще раз дивиться на початковий лист Маркуса й вирішує перевірити, чи справді його надіслав Маркус.