Microsoft에서는 Active Directory 동기화를 위해 숨겨진 기본 제공 Entra ID 역할을 두 개 설계했으며, 이 역할은 Entra Connect 또는 Cloud Sync 서비스 계정 전용입니다. 이러한 역할에는 묵시적인 권한이 있으며, 이 권한을 악성 행위자가 악용해 비밀 공격을 수행할 수 있습니다.

Microsoft Entra ID를 Active Directory와 동기화하려면 <a href="https://learn.microsoft.com/ko-kr/entra/identity/hybrid/connect/whatis-azure-ad-connect">Microsoft Entra Connect</a>(이전의 Azure AD Connect)를 사용하거나, <a href="https://learn.microsoft.com/ko-kr/entra/identity/hybrid/cloud-sync/what-is-cloud-sync">Microsoft Entra Cloud Sync</a>(이전의 Azure AD Connect Cloud Sync)를 사용하면 됩니다. Microsoft에서는 이러한 동기화 도구가 사용하는 서비스 계정을 위해 특별히 설계된 기본 제공 역할을 두 개 제공합니다.
<ul>
<li>기본 역할은 <a href="https://learn.microsoft.com/ko-kr/entra/identity/role-based-access-control/permissions-reference#directory-synchronization-accounts">디렉터리 동기화 계정</a>​(ID: <code>d29b2b05-8046-44ba-8758-1e26182fcf32</code>)입니다. 이 역할의 악용 가능성은 Tenable Research 블로그 게시물, <a href="https://medium.com/tenable-techblog/stealthy-persistence-with-directory-synchronization-accounts-role-in-entra-id-63e56ce5871b">Entra ID의 "디렉터리 동기화 계정" 역할을 이용한 은밀한 지속성</a>에 자세히 설명했습니다.</li>
<li><a href="https://learn.microsoft.com/ko-kr/entra/identity/role-based-access-control/permissions-reference#on-premises-directory-sync-account">온프레미스 디렉터리 동기화 계정</a>​(ID: <code>a92aed5d-d78a-4d16-b381-09adb37eb3b0</code>)은 2024년 7월에 Tenable에서 처음 식별한 새 역할입니다. 이 역할에는 "디렉터리 동기화 계정" 역할과 유사한 설명 및 동일한 권한이 있습니다. 하지만 <a href="https://www.tenable.com/blog/despite-recent-security-hardening-entra-id-synchronization-feature-remains-open-for-abuse#:~:text=What%20about%20the%20new%20On%20Premises%20Directory%20Sync%20Account%20Entra%20role%3F">Tenable Research에서 발견한 바에 따르면</a> Microsoft Entra Connect와 Entra Cloud Sync 모두 이 역할을 사용하지 않으며 현재 알려진 정상 용도가 없어 해당 역할의 목적과 악용 가능성에 관한 우려가 제기됩니다.</li>
</ul>
공격자는 이러한 역할을 자신이 통제하는 보안 주체(예: 사용자, 서비스 주체 또는 그룹)에 할당하여 권한 상승이나 장기 지속을 가능하게 할 수 있습니다. 이러한 역할이 특히 매력적인 몇 가지 이유는 다음과 같습니다.
<ul>
<li>이러한 역할은 권한이 있는 상태를 유지합니다. Microsoft에서 2024년 8월 보안 강화 업데이트 중에 이러한 역할에서 몇 가지 중요한 Entra ID 권한을 제거하기는 했지만, <a href="https://www.tenable.com/blog/despite-recent-security-hardening-entra-id-synchronization-feature-remains-open-for-abuse#:~:text=Directory%20Synchronization%20Accounts%20Entra%20role%20remains%20privileged">Tenable Research에서 알아본 바에 따르면</a> 이들 역할은 여전히 특정 API를 통해 묵시적인 권한을 유지하고 있습니다. 따라서 이들 역할은 계속해서 강력한 액세스 권한을 제공합니다.</li>
<li>이들은 은밀하게 활동합니다. 관리자가 이런 역할을 수동으로 할당하는 일은 드물기 때문에, 이런 역할은 Azure와 Entra 포털 양쪽 모두에서 숨겨져 있습니다. Entra 역할 목록에 표시되지도 않고, 주어진 주체의 "할당된 역할" 섹션 아래에도 표시되지 않아 은밀하게 사용하기에 이상적입니다.</li>
<li>역할 하나가 문서로 기록되어 있지 않습니다. Microsoft에서 "온프레미스 디렉터리 동기화 계정" 역할을 문서화하지 않아서 탐지되지 않고 악용될 위험이 더 커집니다.</li>
</ul>
이 위험 노출 지표는 다음 로직을 사용해 이러한 역할에 할당된 의심스러운 보안 주체를 탐지합니다.
<ul>
<li>"디렉터리 동기화 계정" 역할의 경우: Microsoft Entra Connect 또는 Microsoft Entra Coud Sync에서 사용하는 일반적인 서비스 계정과 일치하지 않는 담당자를 식별하기 위해 여러 가지 추론에 의지하여 감지를 수행합니다.</li>
<li>"온프레미스 디렉터리 동기화 계정" 역할의 경우: 이 역할에는 알려진 정상 용도가 없기 때문에 조건과 관계없이 모든 할당이 의심스러운 것으로 플래그됩니다.</li>
</ul>

지속성

계정 조작: 추가 클라우드 역할

권한 상승

탐지

의심스러운 AD 동기화 역할 할당

HIGH

Version 202507230918