Microsoft Entra ID를 사용하면 페더레이션을 통해 인증을 다른 제공자에게 위임할 수 있습니다. 그렇지만 상승된 권한이 있는 공격자의 경우 자신의 악성 페더레이션된 도메인을 추가하여 이 기능을 악용할 수 있고, 그러면 지속성 및 권한 상승이 발생하게 됩니다.

Microsoft Entra 테넌트는 <a href="https://learn.microsoft.com/ko-kr/entra/identity/hybrid/connect/whatis-fed">외부 도메인과 페더레이션</a>하여 다른 도메인과의 트러스트를 설정해 인증과 권한 부여에 이용할 수 있습니다. 조직에서는 페더레이션을 사용해 Active Directory 사용자에 대한 인증을 조직의 온프레미스 Active Directory Federation Services (AD FS)에 위임합니다. (참고: 여기에서 외부 도메인은 Active Directory "도메인"이 아닙니다.)
하지만, 악성 행위자가 Microsoft Entra ID에서 상승된 권한을 얻으면 이 페더레이션 방식을 악용해 백도어를 만들 수 있습니다.​ 즉, 자신만의 페더레이션 도메인을 추가하거나 기존 페더레이션 도메인을 편집하여 자체 설정을 포함한 이차 구성을 추가하는 방식입니다. 이 공격으로 인해 다음과 같은 작업이 가능하게 됩니다.
<ul>
<li>가장​: 악성 페더레이션 도메인이 토큰을 생성하여 공격자가 비밀번호를 알거나 초기화하지 않고도 임의의 Microsoft Entra 사용자로 인증하도록 허가합니다. 여기에는 "클라우드 전용" 사용자(하이브리드 아님)와 외부 사용자가 포함됩니다. 이 경우 MFA를 적용한 경우에도 Microsoft Entra ID, Microsoft 365(O365)는 물론 Microsoft Entra ID를 ID 공급자(SSO)로 사용하는 기타 애플리케이션을 공격할 수 있게 됩니다(아래 참조).</li>
<li>권한 상승​: 공격자가 임의의 사용자, 특히 권한이 있는 Microsoft Entra 사용자로 가장할 수 있습니다.</li>
<li>다단계 인증 우회​: 페더레이션 인증을 사용하면 신뢰할 수 있는 외부 도메인이 <a href="https://learn.microsoft.com/ko-kr/graph/api/resources/internaldomainfederation?view=graph-rest-beta#federatedidpmfabehavior-values">MFA를 적용하는 역할을 맡게 됩니다</a>. 그러면 악성 페더레이션 도메인이 스푸핑한 인증이 MFA를 사용했다고 거짓으로 주장을 할 수 있고 Microsoft Entra ID는 이것을 신뢰하여 MFA를 다시 요청하지 않습니다. 이렇게 하면 MFA 보호가 적용된 경우에도 공격자가 모든 사용자를 가장할 수 있습니다.</li>
<li>지속성​: 악성 페더레이션 도메인을 추가하는 것은 일종의 은폐 기법입니다. 이를 통해 Microsoft Entra 테넌트를 침해하고 높은 수준의 권한을 도용한 공격자가 나중에 액세스 권한을 다시 얻을 수 있습니다.</li>
</ul>
이 위험 노출 지표는 <a href="https://aadinternals.com/">AADInternals</a> 해킹 도구 키트에서 만드는 페더레이션 도메인 백도어를 탐지합니다.​ 특히 만들거나 변환한 백도어 도메인의 몇몇 특징에 따라 <code>ConvertTo-AADIntBackdoor</code> 및 <code>New-AADIntBackdoor</code> cmdlet을 탐지할 수 있습니다.
또한 관련 위험 노출 지표인 "페더레이션 서명 인증서 불일치"도 참조하십시오.
악성 페더레이션 도메인에서 공격 대상 Microsoft Entra ID로 인증 증거를 전송하는 데 사용되는 페더레이션 프로토콜은 WS-Federation 또는 SAML일 수 있습니다. SAML을 사용하는 경우, 공격이 "<a href="https://services.google.com/fh/files/misc/remediation-and-hardening-strategies-for-microsoft-wp-en.pdf#page=9">Golden SAML</a>" 공격과 비슷하지만 다음과 같은 중요한 차이점이 있습니다.
<ul>
<li>기존 페더레이션의 합법적인 SAML 서명 키를 탈취하는 대신, 공격자는 자체 키로 새 도메인을 주입합니다.</li>
<li>공격자는 위조된 토큰을 특정 서비스가 아닌 페더레이션 서비스에 제시하여 여러 시스템에 대한 무단 액세스를 획득합니다.</li>
</ul>
<code>microsoft.directory/domains/allProperties/allTasks</code> 및 <code>microsoft.directory/domains/federation/update</code> 권한이 관리자에게 페더레이션 도메인을 수정할 능력을 부여합니다. 2023년 11월 기준으로, 잠재적인 사용자 지정 역할 외에 이 권한이 있는 기본 제공 Microsoft Entra 역할은 다음과 같습니다.
<ul>
<li><a href="https://learn.microsoft.com/ko-kr/entra/identity/role-based-access-control/permissions-reference#domain-name-administrator">도메인 이름 관리자</a></li>
<li><a href="https://learn.microsoft.com/ko-kr/entra/identity/role-based-access-control/permissions-reference#external-identity-provider-administrator">외부 ID 공급자 관리자</a></li>
<li><a href="https://learn.microsoft.com/ko-kr/entra/identity/role-based-access-control/permissions-reference#hybrid-identity-administrator">하이브리드 ID 관리자</a></li>
<li><a href="https://learn.microsoft.com/ko-kr/entra/identity/role-based-access-control/permissions-reference#global-administrator">전역 관리자</a></li>
<li><a href="https://learn.microsoft.com/ko-kr/entra/identity/role-based-access-control/permissions-reference#partner-tier2-support">파트너 계층 2 지원</a></li>
<li><a href="https://learn.microsoft.com/ko-kr/entra/identity/role-based-access-control/permissions-reference#security-administrator">보안 관리자</a></li>
</ul>
APT29 위협 그룹이 2020년 12월에 SolarWinds를 상대로 감행한 악명높은 "Solorigate" 공격이 이 방식을 악용했습니다. 자세한 내용은 <a href="https://www.microsoft.com/ko-kr/security/blog/2020/12/28/using-microsoft-365-defender-to-coordinate-protection-against-solorigate/">Microsoft</a> 및 <a href="https://services.google.com/fh/files/misc/remediation-and-hardening-strategies-for-microsoft-wp-en.pdf#page=22">Mandiant</a>에서 문서화했습니다.

방어 회피

탐지

알려진 페더레이션 도메인 백도어

CRITICAL

Version 202510271638

Version 202411071130

Version 202510271638 Oct 27, 2025, 4:38 PM Metadata (use tables instead of long lists in weakness details) Release: 202510271638
Version 202411071130 Nov 7, 2024, 11:30 AM New Release: 202411071130