Ошибка с мультитенантными приложениями, которая ставит под угрозу каждого клиента

Описание: Обязательно посмотрите это видео, прежде чем создавать следующее многопользовательское приложение или давать согласие на его использование в вашей учетной записи.

Одно многопользовательское приложение, одни учетные данные, согласованные в каждой учетной записи клиента: если произойдет утечка, все клиенты окажутся под угрозой одновременно. Кельвин Тегелаар, основатель CyberDrain и создатель CIPP (используемого более чем 10 000 MSP), объясняет, почему «это приложение опасно, и точка» и как независимые разработчики программного обеспечения и MSP уменьшают радиус поражения.

Запись сделана 14 октября 2026 года. 15 октября учетные данные приложения ConnectWise Cloud Backup были использованы для входа в учетные записи клиентов; Huntress подтвердил несанкционированный вход в 173 из них.

Что вы узнаете:
Как согласие помещает субъект службы поставщика в ваш арендатор, в то время как учетные данные остаются у поставщика
Что могут и чего не могут делать блокировка свойств экземпляра приложения и разрешенные арендаторы (предварительная версия)
Почему GDAP расширяет радиус поражения инструментов MSP
Одно приложение на арендатора: компромисс, на который стоит пойти
Почему условный доступ для идентификаторов рабочих нагрузок не может охватывать многопользовательское приложение поставщика, и когда следует нажать «Отключить»
Сертификаты, которые автоматически обновляются с помощью Microsoft Graph addKey, а не Application.ReadWrite.All
Блокировка секретов клиентов и ограничение времени жизни с помощью политик управления приложениями
Разделение арендаторов приложений, Azure и корпоративных арендаторов и принятие решений на ранних этапах

Спонсор: Maester Cloud: Maester, бесплатная платформа тестирования безопасности с открытым исходным кодом для Microsoft 365, обнаруживает рискованные приложения и долгоживущие секреты. Maester Cloud непрерывно отслеживает состояние ваших арендаторов, назначает ответственного за каждый неудачный тест, контролирует ход работы до его устранения и отображает всех арендаторов в одном месте. Самостоятельное размещение от 99 долларов в месяц.
Получить Maester Cloud: https://maester.cloud/pricing#plans
Демонстрация в реальном времени: https://maester.cloud/portal

О Кельвине Тегелааре
Основатель CyberDrain и создатель CIPP, открытого партнерского портала CyberDrain Improved; владелец и технический директор голландской компании MSP Lime Networks; Microsoft MVP.

GitHub: https://github.com/KelvinTegelaar
CyberDrain: https://cyberdrain.com

Ссылки по теме
Статья Кельвина в блоге о «случайном появлении SaaS» (02:25): ссылка для перехода
Исследование Huntress о вредоносных приложениях (24:28): https://www.huntress.com/blog/never-j...
CIPP: https://cipp.app
Huntress об инциденте с облачным резервным копированием ConnectWise: https://www.huntress.com/blog/vendor-...
Блокировка свойств экземпляра приложения (18:09): https://learn.microsoft.com/en-us/ent...
Условный доступ для рабочей нагрузки Идентификаторы (27:38): https://learn.microsoft.com/en-us/ent...
Отключение входа в систему для приложения (26:26): https://learn.microsoft.com/en-us/ent...
приложение: addKey (31:01): https://learn.microsoft.com/en-us/gra...
Политики управления приложениями (32:23): https://learn.microsoft.com/en-us/ent...

Связанные эпизоды Entra.Chat
Глобальный безопасный доступ (35:27): https://entra.news/p/stolen-tokens-ag...
Очистка приложений, секретов и согласия: https://entra.news/p/stop-the-bleedin...
Ваш ИИ-агент создает секреты: https://entra.news/p/your-ai-coding-a...

Разделы
00:00 Вступление
01:20 Введение
01:38 Знакомство с Кельвином Тегелааром
04:17 Разработка, основанная на злобе
07:09 «Я сделаю это сам»
09:23 Вы начали свой бизнес
11:42 Почему CIPP остается PowerShell
13:30 Что такое ISV?

15:46 Одно приложение для каждого клиента
18:46 Когда секрет раскрывается
20:23 Секреты, которые переживут вас
21:47 Одно приложение опасно, и точка
24:26 Несанкционированные приложения
26:46 Спонсор: Maester Cloud
27:34 Условный доступ для идентификаторов рабочих нагрузок
28:25 Сертификаты, которые автоматически обновляются
32:05 Защита с помощью политик приложений
33:54 Разделение арендаторов
36:47 Сколько арендаторов?

38:17 Сначала заложите фундамент
40:16 Тесты на проникновение не удались
41:32 Заключительные мысли

Приложения для подкастов
Entra.Chat: https://entra.chat
Apple Podcasts: https://entra.chat/apple
Spotify: https://entra.chat/spotify
Другие: https://entra.chat/rss

Социальные сети Мерилла
YouTube:    / @merillx  
LinkedIn:   / merill  
X: https://twi...