第一方服务主体拥有强大的权限，然而因为他们处于隐藏状态、数量众多，而且为 Microsoft 所有，所以会被忽略。攻击者会向这些主体添加凭据，以隐蔽的方式利用主体的特权来提升特权和获得持久性特权，从而获益。

第一方服务主体（企业应用程序）来自 Microsoft 的应用程序（应用程序注册）。他们中的大多数在 Microsoft Entra ID 中拥有一些在安全检查过程中经常被忽略的敏感权限。攻击者可以借此向这些主体添加凭据，以隐蔽的方式利用主体的特权获益。​
因为拥有应用程序管理员角色的主体可以将凭据添加至应用程序（包括拥有更高特权的应用程序），所以这项技术提供持久性​能力和特权提升​。
除极少数情况（参阅“建议”）外，第一方服务主体不应该拥有任何凭据。Microsoft 在“<a href="https://learn.microsoft.com/zh-cn/entra/fundamentals/configure-security#microsoft-services-applications-dont-have-credentials-configured">配置 Microsoft Entra 以提高安全性</a>”一文中还建议“Microsoft 服务应用程序不应配置凭据”。
APT29 威胁组织在 2020 年 12 月滥用这种方法对 SolarWinds 发起了臭名昭著的“Solorigate”攻击，<a href="https://www.microsoft.com/zh-cn/security/blog/2020/12/28/using-microsoft-365-defender-to-coordinate-protection-against-solorigate/">Microsoft</a> 和 <a href="https://services.google.com/fh/files/misc/remediation-and-hardening-strategies-for-microsoft-wp-en.pdf#page=28">Mandiant</a> 对此均有记录。
已禁用的服务主体默认（此参数可以更改）被忽略，因为攻击者无法立即使用这些服务主体。

检测

具有凭据的第一方服务主体

HIGH

版本 202510271638

版本 202408291505

版本 202510271638 Oct 27, 2025, 4:38 PM Metadata (use tables instead of long lists in weakness details) Release: 202510271638
版本 202408291505 Aug 29, 2024, 3:05 PM New Release: 202408291505