我是如何在不锁定错误应用的情况下调查 OAuth 范围警报的

在我们的 SIEM（安全信息和事件管理系统）标记了一个服务账户请求更广泛的 OAuth 范围后，我在一次安全审查中遇到了这个问题。问题在于警报中提到的名称是一个生产环境集成，但实际的令牌活动与该服务所有者不符。起初我怀疑是凭据泄露，但后来发现每当供应商轮换其应用注册并重复使用类似的显示名称时，就会出现这种情况。这意味着如果撤销了错误的令牌，会导致工作时间内的客户通知中断，因此我将其视为一个工作流程故障，而不是一个小工单。 我的处理流程是收集 SIEM 事件、IdP 审计日志、令牌受众值以及应用注册历史，并将其与身份提供商、供应商 Webhook 服务和内部白名单进行核对。首先，我映射了客户端 ID，而不是盲目信任友好的应用程序名称。然后，我检查了授权历史、重定向 URI 以及访问令牌中的确切范围。关键线索是该警报是由一个继承了生产环境名称的测试（staging）应用触发的。 修复方法是重…