Microsoft는 Entra ID에서 API를 노출하여 타사 애플리케이션이 독자적으로 Microsoft 서비스에서 작업을 수행하도록 허용합니다(이것을 "애플리케이션 권한"이라고 함). 특정 권한은 이러한 서비스가 저장하는 사용자 데이터에 위협이 될 수 있습니다.

Microsoft에서는 Entra ID에서 애플리케이션을 통해 API를 노출하여 타사 애플리케이션이 Microsoft Entra ID 자체, Microsoft 365(O365)와 SharePoint Online 및 Exchange Online과 같은 서비스에서 작업을 수행하도록 허용합니다. "API 권한"은 이러한 API에 대한 액세스를 보호하며 해당 권한이 필요한 서비스 주체에게만 제공되어야 합니다. 이 권한 승인을 "애플리케이션 역할 할당" 또는 "동의 부여"라고 합니다.
일부 Microsoft API의 특정 권한은 환경에 중요한 데이터에 위협이 될 수 있습니다.​ 이러한 권한이 있는 서비스 주체는 전역 관리자와 같이 강력한 관리자 역할을 가진 사용자보다 더 눈에 덜 띄면서도 잠재적으로 중요한 정보에 액세스할 수 있기 때문입니다.
이러한 권한은 정상인 경우라도 데이터 침해 위험을 높입니다. 이러한 권한이 정상이 아닌 경우, 이메일과 같이 중요한 정보에 액세스하려 탈취하려는 악의적인 시도가 있다는 의미일 수 있습니다.
Microsoft Entra ID에는 두 가지 유형의 API 권한이 있습니다(Microsoft 설명서 <a href="https://learn.microsoft.com/ko-kr/entra/identity-platform/permissions-consent-overview">권한 및 동의 개요</a> 참조).
<ul>
<li>애플리케이션 권한: 이 위험 노출 지표는 이 첫 번째 유형을 검사합니다.​ Microsoft Entra 테넌트 전체에 대한 위협은 관련 위험 노출 지표 "테넌트에 영향을 미치는 위험한 애플리케이션 권한"을 참조하십시오. 관리자가 동의하고 권한은 테넌트 전체에 적용됩니다. Microsoft의 <a href="https://learn.microsoft.com/ko-kr/security/operations/incident-response-playbook-app-consent#delegated-permissions-vs-application-permissions">설명</a>에 따르면:</li>
</ul>
<blockquote>
애플리케이션 권한은 로그인한 사용자 없이 실행되는 앱이 사용합니다. 예를 들어 백그라운드 서비스 또는 데몬으로 실행되는 앱입니다. 애플리케이션 권한은 관리자만 동의할 수 있습니다.
</blockquote>
<ul>
<li>위임된 권한: 관련 위험 노출 지표 "데이터에 영향을 미치는 위험한 위임된 권한"을 참조하십시오.</li>
</ul>
이 위험 노출 지표(IoE)는 서비스 주체에 관해서만 보고합니다. API 권한은 사용자가 아니라 서비스 주체에만 적용되기 때문입니다.
이 IoE는 중요한 권한의 목록을 추적하며, 대부분은 이름만으로도 이해할 수 있습니다. 하지만 다음 권한에는 더 자세한 설명이 필요합니다.
<ul>
<li><code>Group.Read.All</code>(<a href="https://learn.microsoft.com/ko-kr/graph/overview">Microsoft Graph API</a> 및 <a href="https://learn.microsoft.com/ko-kr/exchange/permissions-exo/permissions-exo">Office 365 Exchange Online</a>에 의해 노출됨): 이 권한은 M365 그룹의 "캘린더, 대화, 파일 및 기타 그룹 콘텐츠" 내용까지 읽을 수 있게 허용하기 때문에 매우 위험합니다. Microsoft Teams에서 사용하는 M365 그룹에 어떤 영향이 발생할지 고려하십시오.</li>
</ul>
이처럼 중요한 권한을 가진 정상 애플리케이션에서 요청하는 액세스 권한의 범위가 지나치게 넓을 수 있습니다. 이것은 "불법적인 동의 부여"라고 알려진 피싱 공격을 시사할 수도 있습니다. 이 경우 공격자가 관리자로부터 동의를 얻는 데 성공합니다.
기본적으로 이 IoE는 사용 중지된 서비스 주체를 무시합니다. 공격자가 즉시 사용할 수 없기 때문입니다.
외부 참조:
<ul>
<li><a href="https://cloudbrothers.info/en/azure-attack-paths/#api-permissions">Cloudbrothers - Azure 공격 경로</a></li>
<li><a href="https://www.microsoft.com/ko-kr/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/#:~:text=Exchange%20Web%20Server%20API%20abuse">Microsoft - Exchange Web Server API 악용</a></li>
<li><a href="https://www.microsoft.com/ko-kr/security/blog/2023/12/12/threat-actors-misuse-oauth-applications-to-automate-financially-driven-attacks/">Microsoft - 위협 행위자가 OAuth 애플리케이션을 악용하여 금전적 목적의 공격 자동화</a></li>
</ul>

초기 액세스

피싱

지속성

클라우드 애플리케이션 통합

탐지

데이터에 영향을 미치는 위험한 애플리케이션 권한

MEDIUM

Version 202504150945