BluePhishing: acompanhe os agentes criados após o consentimento
Um consentimento pode iniciar uma família de identidades de agentes. A avaliação precisa acompanhar o que foi autorizado e o que essas identidades conseguem executar.
Read in EnglishPor Pentesty
Uma demonstração, com condições definidas
A Proofpoint apresentou BluePhishing como prova de conceito de abuso de consentimento no Microsoft Entra Agent ID. A aprovação de um blueprint malicioso permite criar agentes com os privilégios concedidos. Os pesquisadores não identificaram uso da técnica em ataques reais. Isso não demonstra acesso irrestrito ao tenant.
Siga a identidade que nasce da aprovação
A documentação de criação de agentes descreve principais de blueprint capazes de criar identidades. Para a permissão implícita AgentIdentity.CreateAsManager, o controle indicado é desabilitar ou remover o principal, pois essa permissão não pode ser revogada isoladamente. Isso muda o teste de contenção: remover uma concessão visível pode não encerrar o caminho de criação.
Monte um registro de relacionamento entre aprovação, principal do blueprint, identidades derivadas e responsável interno. Inclua os identificadores e horários que a sua telemetria realmente oferece. Não presuma que todos estarão no mesmo evento. Faça a equipe demonstrar como reconheceria uma identidade nova derivada de uma integração já aprovada.
Os logs de agentes registram atividades de blueprint como eventos de aplicação e atividades das identidades como eventos de principal de serviço. Valide a coleta com uma operação controlada e confira a busca no SIEM. A evidência desejada é um caminho de investigação repetível entre esses objetos, não apenas um alerta com a palavra agente.
Compare a aprovação com uma operação real
A documentação de herança separa configuração, concessão e permissões efetivas no token. As permissões herdadas não aparecem como permissões da identidade no portal ou no Graph. Por isso, uma tela sem concessões diretamente listadas não encerra a avaliação do acesso.
Em ambiente de teste autorizado, compare o conjunto aprovado com os metadados de autorização apresentados na execução. Registre identificadores e permissões necessárias para a análise, sem guardar o token utilizável. Execute uma leitura permitida e uma alteração que deveria falhar. Anote recurso, identidade, resultado e evidência na aplicação de destino.
Uma operação aceita além do escopo combinado é um achado concreto para revisão. Uma operação recusada ajuda a delimitar a exposição, mas não comprova o comportamento de todos os recursos. Amplie a matriz conforme as funções empresariais da integração, priorizando diretórios, documentos e outros dados que ela realmente usa.
Ensaie a contenção da família inteira
Escolha uma integração de laboratório e simule a retirada de aprovação. Identifique o principal e cada descendente conhecido, aplique o controle definido e teste tanto a criação de novas identidades quanto as operações das existentes. Registre separadamente o que foi interrompido e o que continua funcionando, para evitar um encerramento apenas administrativo.
A análise de identidades de aplicações no caso ConnectWise ajuda a organizar a investigação de acessos já realizados. Aqui, o ponto específico é preservar a relação entre o consentimento inicial e os agentes que surgem depois. Entregue essa relação, os testes e o responsável pela revisão ao proprietário da integração.
Perguntas frequentes
BluePhishing é um ataque confirmado em empresas?
É uma prova de conceito, sem uso real identificado pelos pesquisadores. Preserve essa limitação ao comunicar o risco.
Não roubar a senha significa não precisar de autorização?
Não. Registre quem pode aprovar cada permissão e teste o caminho de recusa no laboratório. A avaliação deve demonstrar qual autorização permite cada operação.
Por que revisar identidades derivadas?
O principal aprovado pode dar origem a identidades de agentes. A avaliação precisa demonstrar quais foram criadas, qual relação mantêm com o blueprint e quais operações conseguem executar.
Qual é o resultado esperado de um exercício de contenção?
Evidências separadas sobre novas criações e acessos das identidades existentes. Confirme o efeito dos controles nos recursos de teste, em vez de encerrar apenas pela alteração de uma tela.
Fontes e referências
- Proofpoint: pesquisa BluePhishing e limitações da prova de conceito
- Microsoft: criação de identidades de agentes e controle dos principais
- Microsoft: concessão e herança de permissões para agentes
- Microsoft: configuração de políticas de consentimento
- Microsoft: registros de auditoria e entrada de agentes
Análise original da Pentesty, publicada em 11 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.