공격자는 자체 수정 가능한 특성을 조작해 자기 자신을 그룹 멤버로 추가하도록 허용하여 Microsoft Entra ID의 동적 그룹을 악용할 수 있습니다. 이렇게 조작하면 권한 상승이 가능해지고 해당 그룹과 연결된 중요한 리소스에 무단 액세스할 수 있게 됩니다.

<a href="https://learn.microsoft.com/ko-kr/entra/identity/users/groups-create-rule">Microsoft Entra ID의 동적 그룹</a>은 P1 라이선스 이상이 필요한 강력한 기능입니다. 이러한 그룹은 사용자 특성과 연결된 <a href="https://learn.microsoft.com/ko-kr/entra/identity/users/groups-dynamic-membership">특정 규칙</a>에 따라 멤버 자격을 자동으로 업데이트합니다. 하지만 규칙에서 사용자가 자체 수정할 수 있는 특성에 의존하는 경우, 규칙이 악용에 취약해집니다.
동적 그룹의 규칙에 사용된 특성을 수정할 수 있는 공격자는 그 그룹의 멤버 자격을 조작할 수 있습니다. 이 구성 오류 때문에 무단 액세스를 허용할 수도 있고, 해당 그룹이 중요한 리소스에 대한 액세스를 허용하는 경우 권한 상승이 발생할 수도 있습니다.
한 테넌트에서 많은 특성이 사용자가 수정할 수 없게 되어 있지만, 게스트 계정은 예외입니다. 공격자의 제어를 받는 게스트 사용자에게 공격자의 홈 테넌트에 대한 관리자 권한이 있는 경우, 해당 테넌트에서 특성을 수정하여 대상 테넌트의 동적 그룹 규칙을 악용할 수 있습니다.
이 문제는 2020년을 전후해 보안 리서치 및 침투 테스트 관련 문헌에서 처음 부각되었고, 지금도 잘못 구성된 환경에서 현실성 있는 공격 벡터로 남아 있습니다. 2024년 말부터 AADInternals 공격 도구에 악용할 수 있는 그룹을 식별하는 기능이 포함되었습니다.
가능한 공격 시나리오:
<ol>
<li>정찰: 공격자가 권한 있는 역할이 없는 표준 사용자 자격으로 테넌트에 대한 액세스 권한을 얻습니다. 기본적으로 이러한 공격자는 그룹을 열거하고 동적 그룹 규칙을 볼 수 있습니다.</li>
<li>대상 선택: 공격자가 구독에 대한 권한 있는 Azure 역할과 같이 중요한 권한이 있는 동적 그룹을 파악합니다. 공격자는 특정 키워드(예: "admin")를 포함하는 악용 가능한 특성(예: <code>displayName</code>)을 사용하는 규칙을 노립니다.</li>
<li>악성 준비: 공격자가 자체 Entra 테넌트에 대상 그룹의 멤버 자격 규칙과 일치하는 특성을 지닌 사용자를 만듭니다.</li>
<li>게스트 초대: 공격자가 이 악성 사용자를 대상 테넌트에 게스트로 초대합니다.</li>
<li>규칙 악용: 악성 게스트가 초대를 수락하면 대상 테넌트에 해당 계정이 생성되고, 동적 그룹의 멤버 자격 규칙이 그 계정의 특성을 처리합니다.</li>
<li>상승: 악성 게스트가 동적 그룹에 자동으로 조인하여 계정을 만든 지 몇 분 만에 권한을 상속합니다(예: 권한 있는 Azure 구독 역할).</li>
</ol>
위험과 그에 따른 심각도는 다음과 같은 요인에 좌우됩니다.
<ul>
<li>게스트 액세스 설정: 게스트 제한이 약하면 이 공격의 실현 가능성이 커집니다. 게스트를 초대하고 그룹 규칙을 볼 수 있으면 위험이 더 커집니다(관련 위험 노출 지표 "제한되지 않은 게스트 계정" 및 "일반 계정과 동등한 액세스 권한이 있는 게스트 계정" 참조).</li>
<li>그룹 액세스 범위: 악용의 심각도는 해당 그룹이 제어하는 리소스에 따라 다릅니다. 예를 들면 다음과 같습니다.<ul>
<li>Microsoft 365 서비스(Teams 채널, SharePoint 사이트, Exchange 받은 편지함 등)</li>
<li>Azure 클라우드 리소스</li>
<li>기타 통합된 애플리케이션</li>
</ul>
</li>
</ul>

권한 상승

탐지

악용 가능성이 있는 규칙을 포함한 동적 그룹

MEDIUM

Version 202412121441