자사 서비스 주체에는 숨겨져 있어서 간과되지만 강력하며 Microsoft 및 이외 여럿이 소유하는 권한이 있습니다. 공격자는 여기에 자격 증명을 추가하여 권한 상승 및 지속성을 목적으로 권한을 몰래 사용해 이득을 취합니다.

자사 서비스 주체(엔터프라이즈 애플리케이션)는 Microsoft에 속하는 애플리케이션(애플리케이션 등록)에서 비롯됩니다. 이들 대부분은 Microsoft Entra ID에 중요한 권한이 있으며 보안 검토 중에 이를 간과하기 쉽습니다. 따라서 공격자가 여기에 자격 증명을 추가하여 그 권한에서 몰래 사용 이득을 취하게 됩니다.​
이 기술은 권한 상승​은 물론 지속성​ 기능도 제공합니다. 애플리케이션 관리자 역할을 가진 주체는 더 높은 권한을 갖는 자격 증명을 비롯한 여러 자격증명을 애플리케이션에 추가할 수 있기 때문입니다.
자사 서비스 주체에는 일부 드문 사례를 제외하고 자격 증명이 없어야 합니다.(권장 사항 참조). 또한 Microsoft에서는 <a href="https://learn.microsoft.com/ko-kr/entra/fundamentals/configure-security#microsoft-services-applications-dont-have-credentials-configured">보안이 강화된 Microsoft Entra 구성</a>에서 "Microsoft 서비스 애플리케이션에 자격 증명을 구성하지 않는" 것을 권장합니다.
APT29 위협 그룹이 2020년 12월에 SolarWinds에 대해 감행한 "Solorigate"라는 악명높은 공격에 이 방식을 사용했습니다. 자세한 내용은 <a href="https://www.microsoft.com/ko-kr/security/blog/2020/12/28/using-microsoft-365-defender-to-coordinate-protection-against-solorigate/">Microsoft</a> 및 <a href="https://services.google.com/fh/files/misc/remediation-and-hardening-strategies-for-microsoft-wp-en.pdf#page=28">Mandiant</a>가 문서화했습니다.
사용 중지된 서비스 주체는 공격자가 즉시 이용할 수 없기 때문에 기본적으로 무시됩니다(매개 변수를 변경할 수 있음).

탐지

자격 증명이 있는 자사 서비스 주체

HIGH

Version 202510271638

Version 202408291505

Version 202510271638 Oct 27, 2025, 4:38 PM Metadata (use tables instead of long lists in weakness details) Release: 202510271638
Version 202408291505 Aug 29, 2024, 3:05 PM New Release: 202408291505