MFA 등록 시 관리형 장치를 필수로 지정하면 공격자가 자격 증명을 도용한 경우에도 관리형 장치에 대한 액세스가 없으면 비정상적 MFA를 등록하기 어렵습니다.

장치의 관리 여부나 규정 준수 상태와 관계없이, 모든 장치의 다단계 인증(MFA)을 허용하면 심각한 보안 위험이 발생합니다. 공격자가 사용자의 자격 증명을 침해하면 비관리형 장치에서 자체적인 MFA 단계를 등록할 수 있습니다. 그러면 MFA의 보호를 우회하고, 공격자가 두 번째 인증 단계에 대한 통제력을 확보해 중요한 리소스에 권한 없이 액세스할 수 있기 때문에 전체 계정을 장악할 수 있습니다.
제로 트러스트 모델은 MFA 등록과 같은 중요한 작업을 신뢰할 수 있고 규정을 준수하는 장치에서만 허용합니다. MFA 등록을 관리형 장치로만 제한하면 이 중요한 보안 기능을 사용하는 장치가 조직의 기준에 부합할 수 있습니다. 이렇게 하면 자격 증명을 도용한 공격자가 악성 MFA를 등록할 위험이 대폭 감소합니다.
CISA의 "Microsoft Entra ID의 M365 보안 구성 기준"(BOD 25-01에서 필수로 지정) <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#strong-auth-and-a-secure-registration-process">MS.AAD.3.8v1</a> 정책에서는 "MFA를 등록하려면 관리형 장치가 필수여야 한다"고 구체적으로 명시하고 있습니다.
CISA 참고 자료에 따라 이 위험 노출 지표(IoE)에서는 하나 이상의 조건부 액세스 정책을 사용 설정하여 다음 설정을 사용한 관리형 장치에만 MFA 등록을 승인하도록 합니다.
<ul>
<li>"<a href="https://learn.microsoft.com/ko-kr/entra/identity/conditional-access/concept-conditional-access-users-groups#include-users">사용자</a>"가 "모든 사용자"를 포함하도록 설정합니다.</li>
<li>"<a href="https://learn.microsoft.com/ko-kr/entra/identity/conditional-access/concept-conditional-access-cloud-apps">대상 리소스</a>"를 "사용자 작업"으로 설정하고 "보안 정보 등록"을 선택합니다.</li>
<li>"<a href="https://learn.microsoft.com/ko-kr/entra/identity/conditional-access/concept-conditional-access-grant">부여</a>"를 "액세스 권한 부여"로 설정하고 "<a href="https://learn.microsoft.com/ko-kr/entra/identity/conditional-access/concept-conditional-access-grant#require-device-to-be-marked-as-compliant">장치가 규정 준수로 표시되어야 함</a>" 및 "<a href="https://learn.microsoft.com/ko-kr/entra/identity/conditional-access/concept-conditional-access-grant#require-microsoft-entra-hybrid-joined-device">Microsoft Entra 하이브리드에 조인한 장치 필요</a>" 옵션을 선택하고 하단에서 "선택한 제어 중 하나 필수"를 선택합니다.</li>
<li>"정책 사용"을 "활성"으로 설정합니다("비활성" 또는 "보고 전용" 아님).</li>
</ul>

탐지

MFA 등록에 관리형 장치가 필요하지 않음

MEDIUM

Version 202506111610