Entra ID에서는 사용자가 조직의 데이터에 대한 외부 애플리케이션의 액세스 권한에 자율적으로 동의할 수 있으며 이것을 공격자가 "불법적인 동의 부여" 공격을 통해 악용할 수 있습니다. 이 문제를 방지하려면 확인된 게시자로 액세스를 제한하거나 관리자 승인을 필수로 설정합니다.

Entra ID는 OAuth 2.0 위임 메커니즘을 구현하여 사용자가 모든 타사 애플리케이션에 <a href="https://learn.microsoft.com/ko-kr/entra/identity-platform/permissions-consent-overview#consent">동의</a>할 수 있도록 합니다. 그러면 사용자는 이러한 애플리케이션에 자신의 데이터에 대한 액세스 권한과, 더 나아가 자신이 액세스할 수 있는 모든 조직 데이터에 대한 액세스 권한을 부여하게 됩니다.
공격자는 종종 적법한 비즈니스 애플리케이션으로 가장하며 중요한 권한을 요구하는 악성 애플리케이션을 사용하여 소셜 엔지니어링 공격을 고안했습니다. 이러한 권한을 허용하면 공격자가 데이터를 훔치거나 사용자를 대신하여 작업을 수행할 수 있게 됩니다. 이러한 공격을 "<a href="https://learn.microsoft.com/ko-kr/defender-office-365/detect-and-remediate-illicit-consent-grants">불법적인 동의 부여</a>" 또는 "<a href="https://www.microsoft.com/ko-kr/security/blog/2023/12/05/microsoft-incident-response-lessons-on-preventing-cloud-identity-compromise/#oauth">동의 피싱</a>"이라고 합니다.
Entra ID는 애플리케이션에 대한 사용자 동의와 관련해 다음 세 가지 옵션을 제공합니다.
<ul>
<li>"사용자 동의 허용 안 함": 가장 안전한 옵션입니다.</li>
<li>"확인된 게시자의 앱에 대하여 선택한 권한에 대해서만 사용자 동의 허용": 덜 중요한 권한만 허용하고 "<a href="https://learn.microsoft.com/ko-kr/entra/identity-platform/publisher-verification-overview">확인된 게시자</a>"의 애플리케이션으로만 액세스를 제한하여 위험을 완화하는 옵션이기 때문에 Microsoft에서는 이 중간 옵션을 권장합니다.</li>
<li>"앱에 대한 사용자 동의 허용": 기본적으로, 보안이 가장 낮은 이 옵션을 사용하면 사용자가 외부 애플리케이션을 포함한 모든 애플리케이션에 대부분의 권한에 대하여 동의하도록 허용하게 됩니다(단, 관리자 전용 권한은 예외).</li>
</ul>
기본적으로 IoE는 Entra ID에서 덜 안전한 옵션만 정확하지 않은 것으로 플래그합니다. 보안 민감도를 높이려면 IoE의 "엄격" 옵션을 사용할 수 있습니다. Entra ID의 덜 안전한 옵션과 중간 옵션을 둘 다 플래그합니다.
CISA "Microsoft Entra ID용 M365 보안 구성 기준"(BOD 25-01에서 필수로 지정)의 <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#application-registration-and-consent">MS.AAD.5.2v1</a> 정책에 따라 "관리자만 애플리케이션에 동의하도록 허용되어야" 합니다.

초기 액세스

피싱

권한 상승

계정 조작: 추가 클라우드 자격 증명

계정 조작: 추가 클라우드 역할

자격 증명 액세스

애플리케이션 액세스 토큰 도용

내부 확산 이동

다른 인증 자료 사용: 애플리케이션 액세스 토큰

애플리케이션에 대한 무제한 사용자 동의

탐지

애플리케이션에 대한 무제한 사용자 동의

MEDIUM

Version 202507230918

Version 202411071130

Version 202507230918 Jul 23, 2025, 9:18 AM Metadata (Add reference to corresponding CISA BOD 25-01 policy) Release: 202507230918
Version 202411071130 Nov 7, 2024, 11:30 AM New Release: 202411071130