Microsoft는 Entra ID에서 API를 노출하여 타사 애플리케이션이 사용자를 대신해 Microsoft 서비스에서 작업을 수행하도록 허용합니다(이것을 "위임된 권한"이라고 함). 특정 권한은 Microsoft Entra 테넌트 전체에 심각한 위협이 될 수 있습니다.

Microsoft는 Entra ID에서 애플리케이션을 통해 API를 노출하여 타사 애플리케이션이 Microsoft Entra ID 자체, Microsoft 365(O365), Azure 클라우드 등에서 작업을 수행하도록 허용합니다. "API 권한"은 이러한 API에 대한 액세스를 보호하며 해당 권한이 필요한 서비스 주체에게만 제공되어야 합니다. 이 권한 승인을 "애플리케이션 역할 할당" 또는 "동의 부여"라고 합니다.
일부 Microsoft API의 특정 권한(아래 참조)은 Microsoft Entra 테넌트 전체에 심각한 위협이 될 수 있습니다​. 이러한 권한을 보유한 서비스 주체는 전역 관리자와 같은 강력한 관리자 역할을 가진 사용자보다 더 강력하면서도 눈에는 덜 띄기 때문입니다. 이것을 악용하면 공격자는 다단계 인증(MFA)을 우회하고 사용자 비밀번호를 초기화해도 공격자를 차단할 수 있습니다.
이 권한이 정상적으로 부여되면 테넌트의 공격 표면이 넓어집니다. 권한이 정상적이지 않은 경우, 권한을 상승하려는 악의적인 시도이거나 지속적 방법일 수 있습니다.
Microsoft Entra ID에는 두 가지 유형의 API 권한이 있습니다(Microsoft 설명서 <a href="https://learn.microsoft.com/ko-kr/entra/identity-platform/permissions-consent-overview">권한 및 동의 개요</a> 참조).
<ul>
<li>애플리케이션 권한: 관련 위험 노출 지표인 "테넌트에 영향을 미치는 위험한 애플리케이션 권한"을 참조하십시오.</li>
<li>위임된 권한: 이 위험 노출 지표는 이 두 번째 유형을 검사합니다.​ 환경에 중요한 데이터에 대한 위협은 관련 위험 노출 지표 "데이터에 영향을 미치는 위험한 위임된 권한"을 참조하십시오. 동의는 사용자가 수락하거나 조직 전체를 대신하여 관리자가 수락합니다. 이러한 권한은 로그인한 사용자의 권한에 따라 애플리케이션의 작업 수행 능력을 제한한다는 점을 유의해야 합니다(즉, 해당 권한과 사용자의 권한 수준의 교집합). 따라서 이처럼 위임된 권한의 위험 수준은 애플리케이션 사용자의 실제 권한에 좌우됩니다. 자세한 내용은 <a href="https://learn.microsoft.com/ko-kr/security/zero-trust/develop/developer-strategy-delegated-permission">위임된 권한 전략 개발</a>의 설명을 참조하십시오. 예: 일반적인 사용자가 "Group.ReadWrite.All" 권한을 위임하는 경우, 실제로는 애플리케이션이 모든 그룹이 아닌 해당 사용자가 편집할 수 있는 그룹만 수정하도록 허용합니다. Microsoft의 <a href="https://learn.microsoft.com/ko-kr/security/operations/incident-response-playbook-app-consent#delegated-permissions-vs-application-permissions">설명</a>에 따르면:</li>
</ul>
<blockquote>
위임된 권한은 로그인한 사용자가 있고 관리자 또는 사용자의 동의를 얻은 앱에서 사용됩니다.
</blockquote>
이 위험 노출 지표(IoE)는 서비스 주체에 관해서만 보고합니다. API 권한은 사용자가 아니라 서비스 주체에만 적용되기 때문입니다.
이 IoE는 <a href="https://learn.microsoft.com/ko-kr/graph/overview">Microsoft Graph API</a> 및 레거시 <a href="https://learn.microsoft.com/ko-kr/graph/migrate-azure-ad-graph-overview">Azure AD Graph API</a>에 대한 액세스를 허용하는 다음과 같은 위험한 권한을 추적합니다.
<ul>
<li><code>AdministrativeUnit.ReadWrite.All</code>: 공격자가 <a href="https://learn.microsoft.com/ko-kr/entra/identity/role-based-access-control/admin-units-restricted-management">RMAU(Restricted Management Administrative Unit)</a>에서 전역 관리자를 제거한 다음, 다른 권한과 합쳐진 경우 비밀번호를 재설정하도록 허용합니다.</li>
<li><code>Application.ReadWrite.All</code>: 공격자가 더 많은 권한이 있는 애플리케이션에 인증 자격 증명을 주입하도록 허용하여 가장을 통해 최대 전역 관리자까지 무단 액세스할 수 있게 합니다.</li>
<li><code>Application.ReadWrite.OwnedBy</code>: <code>Application.ReadWrite.All</code>과 같지만, 보고된 서비스 주체가 소유한 서비스 주체에만 적용됩니다. 이 권한은 일반적으로 위임된 권한으로 이용할 수 없습니다.</li>
<li><code>AppRoleAssignment.ReadWrite.All</code>: 공격자가 자기 자신에게 <code>RoleManagement.ReadWrite.Directory</code> 권한을 부여하게 허용합니다.</li>
<li><code>DeviceManagementConfiguration.ReadWrite.All</code>: 공격자가 악성 관리 스크립트를 배포하여 Intune에서 관리하는 장치를 침해하게 허용합니다. 관련 내용은 Mandiant의 <a href="https://cloud.google.com/blog/topics/threat-intelligence/abusing-intune-permissions-entra-id-environments/">Intune에서 탈취까지: Entra ID 네이티브 환경의 내부 확산 이동 및 권한 상승을 위한 Intune 권한 악용</a>의 설명을 참조하십시오. 이렇게 하면 관리자가 Intune에서 관리하는 장치를 사용하는 경우 권한을 전역 관리자로 상승할 수 있습니다.</li>
<li><code>DeviceManagementRBAC.ReadWrite.All</code>: 공격자가 자신이 관리하는 계정에 권한이 있는 Intune 역할을 할당하도록 허용하여 Intune 장치에서 임의의 명령을 실행할 수 있게 합니다(<code>DeviceManagementConfiguration.ReadWrite.All</code>의 설명 참조).</li>
<li><code>Directory.ReadWrite.All</code>: 공격자가 역할을 할당할 수 없는 그룹에 자신을 멤버로 추가하도록 허용하여 Azure 클라우드에서 권한을 얻을 가능성이 있습니다. 이렇게 하면 Azure 리소스를 통해 피벗할 수 있으며, 그 결과 Entra ID의 전역 관리자로 권한 상승을 초래하거나(예: 관리형 ID를 통해) 심지어 Active Directory의 도메인 관리자로 권한이 상승될 수도 있습니다(예: Azure에서 호스팅되는 도메인 컨트롤러 VM을 통해).</li>
<li><code>Domain.ReadWrite.All</code>: 공격자가 비밀번호와 MFA 요구 사항을 우회하여 어떤 사용자로든(전역 관리자 포함) 페더레이션 도메인을 추가할 수 있게 해줍니다. </li>
<li><code>EntitlementManagement.ReadWrite.All</code>: 공격자가 전역 관리자 역할을 부여하는 액세스 패키지의 할당 정책을 업데이트하도록 하여 승인 없이도 역할을 요청할 수 있게 됩니다.</li>
<li><code>Group.ReadWrite.All</code>: <code>Directory.ReadWrite.All</code>과 같음</li>
<li><code>GroupMember.ReadWrite.All</code>: <code>Directory.ReadWrite.All</code>과 같음</li>
<li><code>Organization.ReadWrite.All</code>: 공격자가 Entra ID에 신뢰할 수 있는 루트 인증서를 추가하고 아무 사용자로나 인증할 수 있게 합니다. 여기에는 전역 관리자에 할당된 것도 포함됩니다. 이렇게 하려면 <a href="https://learn.microsoft.com/ko-kr/entra/identity/authentication/concept-certificate-based-authentication">인증서 기반 인증(CBA)</a>을 사용하거나, 이것이 사용 설정되어 있지 않은 경우 <code>Policy.ReadWrite.AuthenticationMethod</code> 권한을 사용해 미리 CBA를 사용 설정해야 합니다.</li>
<li><code>Policy.ReadWrite.AuthenticationMethod</code>: 공격자가 <a href="https://learn.microsoft.com/ko-kr/entra/identity/authentication/howto-authentication-temporary-access-pass">임시 액세스 패스(TAP)</a> 인증 방법을 사용할 수 있게 합니다. 이 방법은 이 권한과 결합되었을 때 <code>UserAuthenticationMethod.ReadWrite.All</code> 권한을 악용하기 위한 필수 조건입니다. 또는 공격자가 이 권한을 이용하여 <a href="https://learn.microsoft.com/ko-kr/entra/identity/authentication/concept-certificate-based-authentication">인증서 기반 인증(CBA)</a>을 사용해 <code>Organization.ReadWrite.All</code> 권한을 악용할 수 있습니다.</li>
<li><code>Policy.ReadWrite.PermissionGrant</code>: 공격자가 통제된 서비스 주체에 대하여 <a href="https://learn.microsoft.com/ko-kr/graph/api/permissiongrantpolicy-post-includes?view=graph-rest-1.0&amp;tabs=http">권한 부여 정책</a>을 만들어 <code>RoleManagement.ReadWrite.Directory</code> 권한을 부여하고 악용하게 합니다.</li>
<li><code>PrivilegedAccess.ReadWrite.AzureADGroup</code>: 공격자가 통제된 사용자 계정을 전역 관리자 역할에 할당된 그룹의 멤버로 추가하도록 허용합니다.</li>
<li><code>PrivilegedAssignmentSchedule.ReadWrite.AzureADGroup</code>: <code>PrivilegedAccess.ReadWrite.AzureADGroup</code>과 같습니다.</li>
<li><code>PrivilegedEligibilitySchedule.ReadWrite.AzureADGroup</code>: 공격자가 통제된 사용자 계정을 전역 관리자 역할에 할당된 그룹에 대하여 적격으로 설정한 다음 멤버십을 활성화해 권한을 상승할 수 있게 합니다.</li>
<li><code>RoleAssignmentSchedule.ReadWrite.Directory</code>: 공격자가 활성 PIM 역할 할당을 만들어 통제된 사용자 계정에 전역 관리자 역할을 할당하도록 합니다.</li>
<li><code>RoleEligibilitySchedule.ReadWrite.Directory</code>: 공격자가 통제된 사용자 계정을 전역 관리자 역할에 적격으로 설정한 다음 활성화하여 권한을 상승하도록 합니다.</li>
<li><code>RoleManagement.ReadWrite.Directory</code>: 공격자가 자기 자신을 전역 관리자 역할로 상승하도록 허용합니다.</li>
<li><code>RoleManagementPolicy.ReadWrite.AzureADGroup</code>: 공격자가 MFA 요구 사항이나 관리자 승인과 같은 그룹 역할 할당과 활성화 제한 사항을 제거하여 <code>PrivilegedAccess.ReadWrite.AzureADGroup</code>, <code>PrivilegedAssignmentSchedule.ReadWrite.AzureADGroup</code> 또는 <code>PrivilegedEligibilitySchedule.ReadWrite.AzureADGroup</code>을 활용한 다음 엄격한 PIM 설정이 있는 테넌트에서 그러한 권한과 같은 경로를 따를 수 있도록 합니다.</li>
<li><code>RoleManagementPolicy.ReadWrite.Directory</code>: 공격자가 Entra 역할 할당과 활성화 제한 사항(예: MFA 요구 사항이나 관리자 승인)을 제거하여 <code>RoleAssignmentSchedule.ReadWrite.Directory</code> 또는 <code>RoleEligibilitySchedule.ReadWrite.Directory</code>를 활용하고, 엄격한 PIM 설정이 있는 테넌트에서 그러한 권한과 같은 경로를 따를 수 있도록 합니다.</li>
<li><code>User.DeleteRestore.All</code>: 공격자가 테넌트의 모든 사용자 계정을 삭제하고, 계정을 사용할 수 없게 만든 다음 비상 계정 중 하나를 복원하려면 랜섬을 지불하라고 요구할 수 있도록 합니다. 이것은 전역 관리자로의 상승을 허용하지는 않지만, 액세스를 중단시킵니다.</li>
<li><code>User.EnableDisableAccount.All</code>: 공격자가 테넌트의 모든 사용자 계정을 사용 중지하고, 계정을 사용할 수 없게 만든 다음 비상 계정 중 하나를 복원하려면 랜섬을 지불하라고 요구할 수 있도록 합니다. 이것은 전역 관리자로의 상승을 허용하지는 않지만, 액세스를 중단시킵니다.</li>
<li><code>User.ReadWrite.All</code>: 공격자가 통제된 사용자 계정의 중요한 속성(예: "직원 ID" 및 "부서")을 편집하여 할당된 권한이 있는 Azure 권한을 포함한 동적 그룹(해당 IoE 참조)의 멤버로 설정할 수 있도록 합니다. 그런 다음 Azure 리소스를 활용하여 궁극적으로 전역 관리자로 상승할 수 있습니다.</li>
<li><code>User-PasswordProfile.ReadWrite.All</code>: <code>Directory.ReadWrite.All</code>과 같습니다.</li>
<li><code>UserAuthenticationMethod.ReadWrite.All</code>: 공격자가 <a href="https://learn.microsoft.com/ko-kr/entra/identity/authentication/howto-authentication-temporary-access-pass">임시 액세스 패스(TAP)</a>를 만들어 테넌트의 모든 사용자 계정을 장악할 수 있도록 합니다. TAP가 이미 사용으로 설정되지 않은 경우, 이것을 <code>Policy.ReadWrite.AuthenticationMethod</code>와 합쳐 TAP를 해당 테넌트의 인증 방법으로 사용 설정해야 합니다(해당 IoE 참조).</li>
</ul>
이 IoE는 "Microsoft Entra AD 동기화 서비스" API의 <a href="https://www.tenable.com/blog/despite-recent-security-hardening-entra-id-synchronization-feature-remains-open-for-abuse">다음 위험한 권한</a>도 추적합니다.
<ul>
<li><code>ADSynchronization.ReadWrite.All</code>: 공격자가 문서화되지 않은 동기화 API를 호출할 수 있게 하여 하이브리드 사용자 계정을 수정하고 비밀번호를 재설정하도록 허용합니다.</li>
</ul>
정상 애플리케이션이라도 이러한 위험한 권한이 있으면 과도한 액세스를 요청할 가능성이 있습니다. 이것은 "불법적인 동의 부여"라고 알려진 피싱 공격을 시사할 수도 있습니다. 이 경우 공격자가 관리자로부터 동의를 얻는 데 성공합니다.
기본적으로 이 IoE는 사용 중지된 서비스 주체를 무시합니다. 공격자가 즉시 사용할 수 없기 때문입니다.
외부 참조:
<ul>
<li><a href="https://posts.specterops.io/azure-privilege-escalation-via-azure-api-permissions-abuse-74aee1006f48">Andy Robbins - Azure API 권한 악용을 통한 Azure 권한 상승</a></li>
<li><a href="https://posts.specterops.io/directory-readwrite-all-is-not-as-powerful-as-you-might-think-c5b09a8f78a8">Andy Robbins - Directory.ReadWrite.All은 생각보다 강력하지 않다</a></li>
<li><a href="https://csandker.io/2022/11/10/Untangling-Azure-II-Privileged-Access.html">Carsten Sandker - Azure Active Directory 권한의 이해 II: 권한이 있는 액세스</a></li>
<li><a href="https://dirkjanm.io/azure-ad-privilege-escalation-application-admin/">Dirk-jan Mollema - Azure AD 권한 상승 - 애플리케이션 관리자로서 기본 애플리케이션 권한 장악</a></li>
<li><a href="https://github.com/emiliensocchi/azure-tiering/tree/main/Microsoft%20Graph%20application%20permissions#-tier-0-family-of-global-admins">Emilien Socchi - 계층 0 권한</a>(악용 가능성 이유 등 자세한 내용은 이 자료 참조)</li>
<li><a href="https://m365internals.com/2021/07/24/everything-about-service-principals-applications-and-api-permissions/">Huy Kha - 서비스 주체, 애플리케이션과 API 권한의 모든 것</a></li>
<li><a href="https://www.inversecos.com/2021/10/how-to-backdoor-azure-applications-and.html">Lina Lau - Azure 애플리케이션을 백도어 공격하여 서비스 주체를 악용하는 방법</a></li>
<li><a href="https://cloud.google.com/blog/topics/threat-intelligence/abusing-intune-permissions-entra-id-environments/">Mandiant 레드 팀 - Intune에서 탈취까지: Entra ID 네이티브 환경의 내부 확산 이동 및 권한 상승을 위한 Intune 권한 악용</a></li>
<li><a href="https://youtu.be/jMOFWVOm-Y4?t=2229">Marius Solbakken Mellum - Entra ID에서 권한을 상승하는 의외의 방법</a></li>
<li><a href="https://winsmarts.com/how-to-grant-admin-consent-to-an-api-programmatically-e32f4a100e9d">Sahil Malik - 프로그래밍 방식으로 API에 관리자 동의를 부여하는 방법</a></li>
<li><a href="https://learningbydoing.cloud/blog/audit-ms-graph-app-role-assignments/">Stian A. Strysse - Microsoft Graph 앱 역할 할당에 숨겨진 위험은 무엇일까?</a></li>
</ul>

초기 액세스

피싱

지속성

클라우드 애플리케이션 통합

탐지

테넌트에 영향을 미치는 위험한 위임된 권한

HIGH

Version 202510271638