사용한 적 없는 권한이 있는 사용자 계정은 방어 수단의 탐지를 피할 때가 많아 침해에 취약합니다. 또한, 이 계정은 기본 비밀번호를 사용할 가능성이 높아 공격자의 주된 표적이 됩니다.

이 IoE는 Microsoft의 데이터 가용성 제한으로 인해 Microsoft Entra ID P1 또는 P2 라이선스가 없으면 작동하지 않습니다.
사용한 적 없는 사용자는 Entra ID에서 만들어졌으며 만든 이후 특정 기간(기본적으로 90일, 사용자 지정 가능)에 대하여 인증된 적이 없는 사용자 계정입니다.
이런 계정은 다음과 같은 여러 가지 이유로 공격 표면을 넓힙니다.
<ul>
<li>이 계정을 사용한 적 없는 이전 직원 또는 인턴과 같이 더 이상 액세스 권한이 필요 없는 사용자에게 액세스를 허용하는 백도어 계정.</li>
<li>기본 비밀번호를 계속 사용하여 계정이 더 큰 침해 위험에 노출됨. 예를 들어 <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a">CISA 알림</a>에 따르면 다음과 같은 사실이 확인되었습니다.<blockquote>
캠페인에서 더 이상 피해 조직에서 근무하지 않지만 계정이 시스템에 그대로 유지된 사용자가 소유한 휴면 계정을 표적으로 삼았습니다.
</blockquote>
</li>
</ul>
 또한 
 다음과 같은 사실도 확인되었습니다.
<blockquote>
인시던트 중에 모든 사용자에게 비밀번호 재설정이 적용된 뒤, SVR 공격자가 비활성 계정에 로그인하여 비밀번호 재설정 안내를 따랐습니다. 그 결과 공격자가 인시던트 대응 제거 활동 이후 액세스 권한을 다시 얻을 수 있었습니다.
</blockquote>
<ul>
<li>리소스(예: 라이선스) 낭비. 불필요한 사용자를 정기적으로 식별, 비활성화 또는 제거하면 조직의 리소스 할당을 최적화하고 불필요한 비용을 절감할 수 있습니다.</li>
</ul>
관련 IoE인 "휴면 사용자"도 고려해야 합니다. 이 IoE는 이전에 활성이었지만 이후 비활성이 된 모든 사용자를 식별합니다.
권한이 있는 사용자의 위험이 더 큽니다. 권한이 없는 사용자의 경우, 관련 IOE "사용한 적 없는 권한이 없는 사용자"도 참조하십시오.
참고:
<ol>
<li>이 IoE는 사용자 개체의 <code>signInActivity</code> 속성 내 <code>lastSuccessfulSignInDateTime</code> 속성에 의존합니다. 이 IoE는 <code>lastSignInDateTime</code> 속성과는 달리 로그인 실패로 인한 중단을 피하고, 성공한 로그인만 보고한다는 장점이 있습니다. <code>lastSuccessfulSignInDateTime</code> 속성을 2023년 12월부터 사용할 수 있게 되었습니다.</li>
<li><code>signInActivity</code> 리소스 유형에 액세스하려면 각각의 테넌트에 <a href="https://learn.microsoft.com/ko-kr/graph/api/resources/user?view=graph-rest-beta#:~:text=Details%20for%20this%20property%20require%20a%20Microsoft%20Entra%20ID%20P1%20or%20P2%20license%20and%20the%20AuditLog.Read.All%20permission">Microsoft Entra ID P1 또는 P2 라이선스</a>가 있어야 합니다. 그렇지 않은 경우 이 IoE는 사용한 적 없는 사용자를 탐지할 수 없고, 따라서 전체 분석을 건너뛰게 됩니다.</li>
<li>이 속성은 로그인한 적이 없거나 마지막 로그인이 <a href="https://learn.microsoft.com/ko-kr/graph/api/resources/signinactivity?view=graph-rest-beta#:~:text=Effective%20December%201%2C%202023">2023년 12월 이전</a>이었던 사용자에 대해서는 작성되지 않은 채로 유지되므로, 간격을 평가하는 데 필요한 데이터를 사용할 수 없습니다. 그 결과, Tenable Identity Exposure가 마지막 로그인 날짜를 적절히 탐지할 수 없으므로 결과적으로 오탐의 가능성이 있습니다.</li>
</ol>

탐지

사용한 적 없는 권한이 있는 사용자

MEDIUM

Version 202501131029