Entra ID에 권한 있는 역할이 있고 Active Directory에서 동기화된 하이브리드 계정은 AD를 침해한 공격자가 Entra ID로 전환할 수 있게 하기 때문에 보안 위험을 초래합니다. Entra ID에서 권한 있는 계정은 클라우드 전용 계정이어야 합니다.

조직에서 <a href="https://learn.microsoft.com/ko-kr/entra/identity/hybrid/what-is-inter-directory-provisioning">디렉터리 동기화</a>(예: <a href="https://learn.microsoft.com/ko-kr/entra/identity/hybrid/connect/whatis-azure-ad-connect">Microsoft Entra Connect</a>(이전의 "Azure AD Connect") 또는 "<a href="https://learn.microsoft.com/ko-kr/entra/identity/hybrid/cloud-sync/what-is-cloud-sync">Microsoft Entra Cloud Sync</a>"(이전의 "Azure AD Connect Cloud Sync"))를 설정하여 사용자를 온프레미스 Active Directory에서 클라우드 Entra ID로 동기화하려 하는 경우, Entra ID의 권한 있는 역할에 하이브리드 AD 계정을 사용해야 한다고 생각할 수 있습니다. 하지만 이렇게 하면 공격자에게 전환 기회를 제공하여 공격자가 Active Directory를 침해한 다음 Entra ID에까지 악성 제어를 확대할 수 있습니다​. 공격자는 여러 가지 기법을 동원해 임의의 AD 사용자로 가장하고 이 가장을 Entra ID에도 적용합니다.
이런 이유로 Microsoft에서는 "<a href="https://learn.microsoft.com/ko-kr/entra/architecture/protect-m365-from-on-premises-attacks">Microsoft 365를 온프레미스 공격에서 보호하는 방법</a>" 문서에서 이런 관행을 사용하지 않도록 경고하고 있습니다. "Microsoft 365에 관리 권한이 있는 온프레미스 계정이 있으면 안 된다"는 점을 감안해 "온프레미스 계정에 Microsoft 365에 대한 상승된 권한이 없어야 한다"고 권장합니다. 또한 <a href="https://learn.microsoft.com/ko-kr/entra/fundamentals/configure-security#privileged-accounts-are-cloud-native-identities">보안이 강화된 Microsoft Entra 구성</a>에서 "권한 있는 계정은 클라우드 네이티브 ID"라고도 합니다.

탐지

AD와 동기화되고 권한이 있는 Entra 계정(하이브리드)

HIGH

Version 202411071130