Microsoft ужесточает безопасность Azure с помощью «детализированных» разрешений
вычисления techradar.com Новости

Microsoft ужесточает безопасность Azure с помощью «детализированных» разрешений

15 ноября 2022 г.

Все REST API Azure DevOps теперь получают детализированные токены личного доступа (PAT). Цель этого изменения, которое с ликованием было встречено сообществом кибербезопасности, состоит в том, чтобы свести к минимуму потенциальный ущерб от утечки учетных данных PAT.

Объявление новостей через Azure DevOps в блоге, менеджер продукта Барри Вольфсон сказал, что до внесения изменений существовал "значительный риск для безопасности организаций, учитывая потенциальный доступ к исходному коду , производственная инфраструктура и другие ценные активы».

«Ранее ряд API-интерфейсов REST Azure DevOps не были связаны с областью PAT, что иногда заставляло клиентов использовать эти API с использованием полномасштабных PAT. " Широкий спектр разрешений, связанных с ними, вызывал беспокойство.

Триггер Преторианца

Хотя Вольфсон не упомянул подробности, другие предположили, что изменение, похоже, произошло после того, как исследователи Praetorian использовали PAT REST API для доступа к корпоративным сетям других компаний.

Одним из них был Microsoft- принадлежащий сайту GitHub, который был скомпрометирован из-за утечки PAT. В настоящее время компания тестирует использование мелкозернистых PAT в своей общедоступной бета-версии, чтобы решить эту проблему.

Теперь Вольфсон предлагает командам DevOps внести изменения как можно раньше, а не позже. «Если в настоящее время вы используете полнофункциональную PAT для аутентификации в одном из REST API Azure DevOps, рассмотрите возможность перехода на PAT с определенной областью действия, принимаемой API, чтобы избежать ненужного доступа», — сказал он.

Подробнее

> Microsoft может стать последней жертвой Lapsus$

> Нарушение исходного кода Microsoft может быть намного серьезнее, чем мы думали

> Познакомьтесь с лучшими программное обеспечение для управления идентификацией прямо сейчас

Поддерживаемые детализированные области PAT для данного REST API можно найти в разделе "Безопасность — области" на страницах документации REST API, добавил он.

Кроме того, изменения должны позволить клиентам ограничить создание полномасштабных PAT с помощью политики уровня управления.

«Мы с нетерпением ждем продолжения выпуска улучшений, которые помогут клиентам защитить свои среды DevOps», — заключил Вольфсон.

Recent Post

Categories

PREVIOUS ARTICLE
NEXT ARTICLE