페더레이션 서명 인증서의 유효 기간이 비정상적으로 길면 의심스러운 사례입니다. 공격자가 Entra ID에서 상승된 권한을 얻어 페더레이션 트러스트 메커니즘을 통해 백도어를 만들었다는 의미일 가능성이 있기 때문입니다.

페더레이션 도메인의 경우 관리형 도메인과 달리 Entra ID 대신에 Microsoft AD FS 서버와 같은 타사 ID 공급자가 인증을 처리합니다. 이 설정에서는 Entra ID가 ID 공급자와 트러스트 관계를 설정합니다.
AD FS가 ID 공급자 역할을 하는 경우, 기본 유효 기간이 1년인 서명 인증서를 생성합니다. <a href="https://learn.microsoft.com/ko-kr/powershell/module/adfs/set-adfsproperties">이 기간을 변경</a>할 수는 있지만 대부분의 환경에서는 1년이 일반적입니다.
따라서 이 추론이 ID 공급자의 효과적인 구성과 비교해야 함을 나타내는 지표 역할을 하지만, 직접적인 침해 지표(IoC)는 아니라는 사실을 주의하는 것이 중요합니다. 대신에 <a href="https://www.microsoft.com/ko-kr/security/blog/2020/12/28/using-microsoft-365-defender-to-coordinate-protection-against-solorigate/#Hands-on-keyboard-activity-on-prem">Solorigate 공격</a>과 같은 특정 Entra ID 공격에서 관찰되는 동작의 지표가 됩니다.
또한 이 IoE는 공격자가 사용자의 환경에 기간이 1년(옵션의 기본값) 또는 정상 서명 인증서와 같은 기간인 비정상적 서명 인증서를 삽입하더라도 그러한 공격자를 탐지하지 않는다는 한계를 주의하는 것이 중요합니다.

탐지

비정상적 페더레이션 서명 인증서 유효 기간

MEDIUM

Version 202411071130