Aplicaciones y consentimientos

Una aplicación puede recibir permisos de dos maneras. Un permiso delegado hace que la aplicación actúe en nombre de una persona que ha iniciado sesión: lo que puede hacer es lo que esa persona puede hacer, y depende de los tokens de esa persona. Un permiso de aplicación deja que la aplicación actúe por sí misma, sin persona delante, con su propia credencial (un secreto o un certificado), y suele necesitar el consentimiento de un administrador.

Revocar las sesiones de una persona invalida sus tokens de renovación, de modo que la aplicación con permisos delegados tiene que pedirle que vuelva a iniciar sesión. Los permisos de aplicación no pasan por esa persona.

Una aplicación sospechosa se reconoce por rasgos sumados, no por uno solo: publicador sin organización detrás, sin verificar, creada hace poco en el propio tenant, con un solo consentimiento y con permisos más amplios de lo que su función necesita. Las aplicaciones habituales tienen publicador identificado, uso entre muchas cuentas o un administrador que las dio de alta con una razón.

El consentimiento queda ligado a quien lo dio y a lo que concedió. La lista de permisos dice qué puede leer la aplicación: no basta saber que «tiene acceso al correo», hay que saber a qué más. Esa lista es la que define el alcance de lo que pudo ver mientras estuvo viva.

Los permisos de la aplicación sospechosa son los de la tabla de permisos concedidos; uno de ellos permite el acceso sin conexión, que es el que mantiene viva la aplicación entre sesiones.

Una aplicación se identifica con una credencial que alguien le añade, y esa credencial tiene su propia vigencia, sin relación con la contraseña de nadie. Una credencial nueva en una aplicación recién creada, con una vigencia larga, es un acceso preparado para durar. La auditoría de Entra dice quién la creó y desde dónde; la tabla de credenciales dice cuándo se creó y cuándo expira.

La vigencia se calcula con el calendario: de la fecha de creación a la de expiración.

Antes de actuar sobre la aplicación se conserva lo que dice de sí misma: su identificador, sus permisos, sus credenciales y quién las creó. Borrarla de golpe elimina, junto con la amenaza, la configuración que se necesita para el informe. La contención consiste en cortarle el acceso: deshabilitar su inicio de sesión, retirar los consentimientos y eliminar sus credenciales.