Microsoft는 Entra ID에서 API를 노출하여 타사 애플리케이션이 사용자를 대신해 Microsoft 서비스에서 작업을 수행하도록 허용합니다(이것을 "위임된 권한"이라고 함). 특정 권한은 이러한 서비스가 저장하는 사용자 데이터에 위협이 될 수 있습니다.

Microsoft에서는 Entra ID에서 애플리케이션을 통해 API를 노출하여 타사 애플리케이션이 Microsoft Entra ID 자체, Microsoft 365(O365)와 SharePoint Online 및 Exchange Online과 같은 서비스에서 작업을 수행하도록 허용합니다. "API 권한"은 이러한 API에 대한 액세스를 보호하며 해당 권한이 필요한 서비스 주체에게만 제공되어야 합니다. 이 권한 승인을 "애플리케이션 역할 할당" 또는 "동의 부여"라고 합니다.
일부 Microsoft API의 특정 권한은 환경에 중요한 데이터에 위협이 될 수 있습니다.​ 이러한 권한이 있는 서비스 주체는 전역 관리자와 같이 강력한 관리자 역할을 가진 사용자보다 더 눈에 덜 띄면서도 잠재적으로 중요한 정보에 액세스할 수 있기 때문입니다.
이러한 권한은 정상인 경우라도 데이터 침해 위험을 높입니다. 이러한 권한이 정상이 아닌 경우, 이메일이나 프로젝트와 같은 중요한 정보에 액세스하여 탈취하려는 악의적인 시도가 있음을 의미할 수 있습니다.
Microsoft Entra ID에는 두 가지 유형의 API 권한이 있습니다(Microsoft 설명서 <a href="https://learn.microsoft.com/ko-kr/entra/identity-platform/permissions-consent-overview">권한 및 동의 개요</a> 참조).
<ul>
<li>애플리케이션 권한: 관련 위험 노출 지표인 "데이터에 영향을 미치는 위험한 애플리케이션 권한"을 참조하십시오.</li>
<li>위임된 권한: 이 위험 노출 지표는 이 두 번째 유형을 검사합니다.​ Microsoft Entra 테넌트 전체에 대한 위협은 관련 위험 노출 지표 "테넌트에 영향을 미치는 위험한 위임된 권한"을 참조하십시오. 동의는 사용자가 수락하거나 조직 전체를 대신하여 관리자가 수락합니다. 이러한 권한은 로그인한 사용자의 권한에 따라 애플리케이션의 작업 수행 능력을 제한한다는 점을 유의해야 합니다(즉, 해당 권한과 사용자의 권한 수준의 교집합). 따라서 이처럼 위임된 권한의 위험 수준은 애플리케이션 사용자의 실제 권한에 좌우됩니다. 자세한 내용은 <a href="https://learn.microsoft.com/ko-kr/security/zero-trust/develop/developer-strategy-delegated-permission">위임된 권한 전략 개발</a>의 설명을 참조하십시오. 예: 일반적인 사용자가 "Group.ReadWrite.All" 권한을 위임하는 경우, 실제로는 애플리케이션이 모든 그룹이 아닌 해당 사용자가 편집할 수 있는 그룹만 수정하도록 허용합니다. Microsoft의 <a href="https://learn.microsoft.com/ko-kr/security/operations/incident-response-playbook-app-consent#delegated-permissions-vs-application-permissions">설명</a>에 따르면:</li>
</ul>
<blockquote>
위임된 권한은 로그인한 사용자가 있고, 관리자 또는 사용자로부터 동의를 얻은 앱이 사용합니다.
</blockquote>
이 위험 노출 지표(IoE)는 서비스 주체에 관해서만 보고합니다. API 권한은 사용자가 아니라 서비스 주체에만 적용되기 때문입니다.
이 IoE는 중요한 권한의 목록을 추적하며, 대부분은 이름만으로도 이해할 수 있습니다. 하지만 다음 권한에는 더 자세한 설명이 필요합니다.
<ul>
<li><code>Group.Read.All</code>(<a href="https://learn.microsoft.com/ko-kr/graph/overview">Microsoft Graph API</a> 및 <a href="https://learn.microsoft.com/ko-kr/exchange/permissions-exo/permissions-exo">Office 365 Exchange Online</a>에 의해 노출됨): 이 권한은 M365 그룹의 "캘린더, 대화, 파일 및 기타 그룹 콘텐츠" 내용까지 읽을 수 있게 허용하기 때문에 매우 위험합니다. Microsoft Teams에서 사용하는 M365 그룹에 어떤 영향이 발생할지 고려하십시오.</li>
</ul>
이처럼 중요한 권한을 가진 정상 애플리케이션에서 요청하는 액세스 권한의 범위가 지나치게 넓을 수 있습니다. 이것은 "불법적인 동의 부여"라고 알려진 피싱 공격을 시사할 수도 있습니다. 이 경우 공격자가 관리자로부터 동의를 얻는 데 성공합니다.
기본적으로 이 IoE는 사용 중지된 서비스 주체를 무시합니다. 공격자가 즉시 사용할 수 없기 때문입니다.
외부 참조:
<ul>
<li><a href="https://cloudbrothers.info/en/azure-attack-paths/#api-permissions">Cloudbrothers - Azure 공격 경로</a></li>
<li><a href="https://www.microsoft.com/ko-kr/security/blog/2023/04/07/mercury-and-dev-1084-destructive-attack-on-hybrid-environment/#:~:text=Exchange%20Web%20Server%20API%20abuse">Microsoft - Exchange Web Server API 악용</a></li>
<li><a href="https://www.microsoft.com/ko-kr/security/blog/2023/12/12/threat-actors-misuse-oauth-applications-to-automate-financially-driven-attacks/">Microsoft - 위협 행위자가 OAuth 애플리케이션을 악용하여 금전적 목적의 공격 자동화</a></li>
</ul>

초기 액세스

피싱

지속성

클라우드 애플리케이션 통합

탐지

데이터에 영향을 미치는 위험한 위임된 권한

MEDIUM

Version 202504150945