게스트를 일반 사용자로 간주하도록 Entra ID를 구성하면 악성 게스트가 테넌트의 리소스를 대상으로 포괄적인 정찰을 수행할 수 있으므로 바람직하지 않습니다.

<a href="https://learn.microsoft.com/ko-kr/entra/external-id/what-is-b2b">B2B collaboration</a>은 사용자가 조직과 협업할 게스트를 초대할 수 있게 해 주는 Microsoft Entra ID 기능입니다. 이러한 게스트 사용자는("외부 ID"라고도 함) 기본적으로 <a href="https://learn.microsoft.com/ko-kr/entra/fundamentals/users-default-permissions#member-and-guest-users">Microsoft의 설명</a>대로 액세스 권한을 얻습니다.
<blockquote>
자신의 프로필을 관리하고 자신의 비밀번호를 변경하고 다른 사용자, 그룹 및 애플리케이션에 관한 특정 정보를 가져올 수 있습니다. 하지만 게스트 사용자는 모든 디렉터리 정보를 읽을 수는 없습니다.
예를 들어 게스트 사용자는 모든 사용자, 그룹 및 기타 디렉터리 개체의 목록을 열거할 수 없습니다. 게스트를 관리자 역할에 추가하여 읽기 및 쓰기 권한 전체를 허용하는 것은 가능합니다. 게스트는 다른 게스트를 초대할 수도 있습니다.
</blockquote>
따라서 게스트는 기본적으로 자신을 초대하는 테넌트 내에서 가시성이 제한되어 있습니다. 그렇지만 게스트 사용자에게 훨씬 더 많은 권한을 부여하는 설정이 있습니다. 일명 <a href="https://learn.microsoft.com/ko-kr/entra/fundamentals/users-default-permissions#restrict-guest-users-default-permissions">"게스트 사용자가 멤버와 같은 액세스 권한을 가짐(가장 포용적)"</a>이라는 설정으로, 이 설정을 사용하면 다음과 같은 결과가 발생합니다.
<blockquote>
기본적으로 게스트 사용자에게 모든 멤버 사용자 권한을 부여합니다.
</blockquote>
이 설정을 사용하면 잠재적인 공격자를 포함한 외부 게스트가 사용자, 그룹 및 기타 자산에 관한 정보를 더 쉽게 수집할 수 있게 되므로 테넌트의 침해 및 데이터 노출 위험이 커져 보안 위협이 상승합니다.
또한 Microsoft에서는 <a href="https://learn.microsoft.com/ko-kr/entra/fundamentals/configure-security#guests-have-restricted-access-to-directory-objects">보안이 강화된 Microsoft Entra 구성</a>에서 "게스트에게 디렉터리 개체에 제한된 액세스 권한을 제공"하는 것을 권장합니다.

초기 액세스

유효한 계정: 기본 계정

유효한 계정: 클라우드 계정

권한 상승

계정 조작: 추가 클라우드 역할

탐색

계정 탐색: 이메일 계정

계정 탐색: 클라우드 계정

클라우드 서비스 탐색

정찰

공격 대상 네트워크 정보 수집

활성 스캔

일반 계정과 동등한 액세스 권한이 있는 게스트 계정

탐지

일반 계정과 동등한 액세스 권한이 있는 게스트 계정

HIGH

Version 202405221022