모든 사용자가 Entra 테넌트에 무제한으로 장치를 조인할 수 있도록 허용하면 위협 행위자가 조직의 ID 시스템에 비정상적인 장치를 심어 추가 침해의 가능성을 제공할 수 있습니다.

기본적으로 Microsoft Entra ID는 모든 Entra 사용자에게 자신의 장치를 테넌트에 Microsoft Entra <a href="https://learn.microsoft.com/ko-kr/entra/identity/devices/concept-directory-join">조인된 장치</a>로 등록할 권한을 부여합니다. <a href="https://learn.microsoft.com/ko-kr/entra/identity/devices/manage-device-identities#configure-device-settings">사용자는 Microsoft Entra에 장치를 조인할 수 있음</a>이라는 이 설정으로 인해 로그인한 모든 사용자가 조인 프로세스를 완료할 수 있습니다. 위협 행위자가 일반 사용자 계정을 침해하면 이 워크플로를 악용하여 완전히 그들의 통제하에 있는 비정상적인 워크스테이션을 등록할 수 있습니다. 그러면 해당 장치는 소유자 명의가 침해 피해자인 상태로 Entra ID에 표시되고, 그 사용자의 기본 <a href="https://learn.microsoft.com/ko-kr/windows/client-management/azure-active-directory-integration-with-mdm">모바일 장치 관리(MDM)</a> 정책을 상속하며, 이러한 환경 내에서 공격자에게 지속적이고 신뢰할 수 있는 기반을 제공하게 됩니다.
장치 조인은 다단계 인증(MFA)과 같은 추가적인 검사를 트리거할 수 있지만, 등록할 때 기본적인 필수 요구 사항은 아닙니다. 공격자가 비밀번호를 탈취하기만 하면 어디서든 장치를 등록할 수 있음을 의미합니다. Microsoft Intune 또는 조건부 액세스 정책에 구성 오류가 있는 경우, 비정상적인 장치가 자동으로 규정 준수로 표시될 수 있으며, 이에 따라 액세스 조건을 충족하여 추가적인 인증 요구를 받지 않을 수 있습니다. 규정 준수로 표시되면 공격자에게 MFA 프롬프트가 한 번도 표시되지 않고 Entra ID 인증을 통해 클라우드 리소스에 은밀하게 액세스할 수 있습니다.
Microsoft의 인시던트 대응팀에서 정리한 <a href="https://www.microsoft.com/ko-kr/security/blog/2023/12/05/microsoft-incident-response-lessons-on-preventing-cloud-identity-compromise/#poor-device">실제 침해</a> 기록을 보면 피싱된 계정을 사용해 비정상적인 장치를 조인하고, 잘못 구성된 규정 준수 검사를 우회한 다음 Microsoft 365 사서함에서 중요한 데이터를 유출한 사례가 있었습니다. 이러한 사례를 통해 과도한 권한이 부여된 장치 조인 설정으로 인해 계정 하나가 침해되면 블래스트 반경이 대폭 넓어질 수 있다는 점을 알 수 있습니다.
또한 이런 과도한 권한 설정은 직원이 자유롭게 개인용 Windows 및 macOS 장치("Bring Your Own Device", 즉 BYOD)를 등록할 수 있게 하여 조직의 장치 인벤토리가 부풀려지고 관리되지 않는 스프롤 중에서 악성 장치 또는 권한 없는 장치를 발견하기가 더 어려워집니다.
기본적으로 각 사용자는 장치를 최대 50개까지 등록할 수 있습니다. 따라서 계정이 하나만 침해되어도 알림을 트리거하지 않고 공격자가 제어하는 수십 개의 엔드포인트를 호스팅할 수 있습니다. 이러한 사용자 기반 조인은 <a href="https://learn.microsoft.com/ko-kr/autopilot/self-deploying">Windows Autopilot 자체 배포 모드</a>와 같은 안전한 프로비저닝 흐름을 벗어나, 하드웨어 증명과 같이 조건부 액세스가 장치 트러스트를 확인할 때 의존하는 기타 온보딩 안전장치를 우회하여 실행합니다.

탐지

장치를 조인할 수 있는 사용자

LOW

Version 202608241311