Microsoft Entra ID 도메인에 비밀번호 만료를 적용하면 사용자가 비밀번호를 자주 변경하도록 하여 약하거나 예측하기 쉽거나 재사용된 비밀번호를 사용하는 결과를 초래해 전반적인 계정 보호를 약화하고 보안을 저해할 수 있습니다.

Microsoft Entra ID에서 비밀번호 만료 설정이 잘못 구성되어 사용자가 정기적으로 비밀번호를 변경하도록 하는 경우, 우발적으로 보안 취약성을 초래할 수 있습니다. 기존의 만료 정책에서는 사용자가 침해된 자격 증명을 자주 업데이트한다는 낡은 가정을 사용합니다. 하지만 실제로는 비밀번호를 자주 변경하면 <a href="https://learn.microsoft.com/ko-kr/microsoft-365/admin/misc/password-policy-recommendations?view=o365-worldwide#password-expiration-requirements-for-users">예측하기 쉬운 패턴을 초래</a>하거나 이전 비밀번호를 약간 변형할 뿐이기 때문에, 전반적인 복잡도가 감소하고 계정이 무차별 대입 및 사전 공격에 더 취약해지는 경우가 많습니다.
강제로 비밀번호를 변경하면 사용자가 비밀번호를 적어두거나, 승인되지 않은 위치에 보관하거나, 외우기 쉽도록 추측하기 쉬운 패턴을 만들 가능성이 있기 때문에 안전하지 않은 저장 위험이 커집니다. 이런 행동은 보안을 저해하고 권한이 없는 액세스를 초래할 수 있습니다. 비밀번호 만료를 필수로 지정하면 조직에서 의도치 않게 사용자가 모범 사례를 우회하도록 부추겨 궁극적으로 공격 표면을 넓히게 될 가능성이 있습니다.
CISA의 "Microsoft Entra ID용 M365 보안 구성 기준" <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#passwords">MS.AAD.6.1v1</a> 정책(BOD 25-01에서 필수로 지정)을 보면 "사용자 비밀번호는 만료되면 안 된다"고 되어 있습니다. 규정을 위반하면 특히 CISA가 관리하는 연방 기관 및 계약업체의 경우 규제 및 운영 면에서 이에 따른 결과가 발생할 수 있습니다. 최근 보안 환경에서 비밀번호 만료를 적용하는 방식은 경직된 비밀번호 수명 주기 정책보다 지속적인 모니터링, 조건부 액세스 및 위협 기반 제어에 높은 우선 순위를 지정하는 ID 중심 보안 원칙에 정렬되지 않습니다.
<a href="https://pages.nist.gov/800-63-FAQ/#q-b05">NIST SP 800-63</a>의 최신 안내에서도 무작위 비밀번호 회전을 지양하라고 권고하며 침해되었다는 증거 없이 정기적으로 강제 변경하면 비밀번호 무작위성을 감소시키고 전반적인 보안이 약해질 수 있다는 점을 지적합니다.
이 위험 노출 지표는 특정 기간이 지난 뒤 비밀번호 만료를 사용하는 도메인을 탐지합니다.

탐지

비밀번호 만료 적용됨

LOW

Version 202507230918

Version 202506111610

Version 202507230918 Jul 23, 2025, 9:18 AM Metadata (Describe that you must select password expiration settings according to relevant industry standards and regulatory requirements) Release: 202507230918
Version 202506111610 Jun 11, 2025, 4:10 PM New Release: 202506111610