이 문서는 Microsoft Entra ID(이전 명칭: Azure Active Directory)에 대한 다양한 일반적인 공격 시나리오와 이를 완화하거나 탐지하는 방법을 모아 놓은 것입니다.
이 문서는 Microsoft Entra에서 발생하는 다양한 일반적인 공격 시나리오와 이를 완화하거나 탐지하는 방법을 모은 자료입니다. 포함된 모든 시나리오, 통찰 및 의견은 기여자들이 공격 시뮬레이션, 실습 또는 실제 환경에서의 경험을 바탕으로 작성되었습니다.
이 문서는 살아 있는 문서로 간주되어야 하며, 방어 및 공격 기술의 발전과 변화에 따라 업데이트될 것입니다. 커뮤니티의 ID 또는 보안 전문가들이 이 자료에 함께 참여하여 업데이트, 피드백, 의견 또는 추가 내용을 기여해 주시기를 초대합니다.
모든 챕터에서 우리는 챕터 구조에 대해 동일한 지침을 따릅니다. 읽을 때 다음 내용을 확인할 수 있습니다:
다음 섹션에서는 'Entra ID Attack & Defense Playbook'에서 찾을 수 있는 각 챕터에 대한 간략한 설명을 제공합니다.
'Azure AD Attack & Defense Playbook'을 만들기 위한 초기 아이디어는 Thomas Naunheim에게서 나왔습니다. 첫 Teams 통화는 2020년 가을쯤이었으며, Thomas가 아이디어를 소개했고 즉시 수용되었습니다.
첫 번째 챕터는 'Password Spray' 공격에 관한 것으로, 'password spray' 유형의 공격을 탐지하기 위해 Entra ID Protection(이전에는 Azure AD Identity Protection으로 알려짐) 탐지 메커니즘에 크게 초점을 맞추었습니다. 첫 번째 챕터를 진행하면서 연구의 복잡성과 연구에 대한 다양한 관점으로 인해 연구를 마무리하는 데 걸리는 기간이 예상보다 훨씬 길어질 수 있다는 것을 배웠습니다. 다른 프로젝트 유형의 작업과 마찬가지로 범위 설정은 매우 중요합니다.
최근 챕터에서는 커뮤니티의 다른 구성원들인 Joosua Santasalo, Fabian Bader 및 Christopher Brumm이 스파링 파트너이자 검토자로 프로젝트에 참여하는 행운을 누렸습니다.
MITRE ATT&CK Framework는 전 세계 조직의 적대적 행위에 대한 전술, 기법 및 절차(TTP)를 매핑하고 방어를 모의 평가하는 데 일반적으로 사용됩니다. 이 플레이북에서는 모든 챕터에서 MITRE ATT&CK framework v11을 활용하여 공격 시나리오에 전술, 기법 및 절차(TTP)를 매핑합니다. 이는 블루 팀이 해당 시나리오에 대한 방어 체계를 구축하는 데 도움이 될 것입니다.
개별 챕터에서 특정 공격 시나리오를 기반으로 한 여러 탐지 규칙을 찾을 수 있습니다. 플레이북에는 많은 수의 탐지 규칙이 있기 때문에 TTP에 매핑된 모든 공격 시나리오를 포함하는 시각화를 만들기로 결정했습니다. 또한 각 개별 챕터에는 해당 공격 시나리오에 대한 시각화가 있다는 점도 고려하세요.
Microsoft 보안 제품(Microsoft Defender XDR, Microsoft Sentinel, Azure Entra ID Connect, Microsoft Defender for Cloud)의 관련 탐지 기능은 공격 시나리오의 탐지 부분에서 다룹니다. 플레이북을 위해 개발된 Microsoft Sentinel용 사용자 지정 규칙 템플릿도 TTP에 매핑됩니다. 탐지 규칙은 배포 준비가 완료된 JSON(ARM 템플릿) 형식의 Microsoft Sentinel 규칙 템플릿으로 여기에서 제공됩니다.
참고: Microsoft Sentinel 규칙 템플릿과 Microsoft 365 인시던트 상관 관계의 기존 TTP 매핑을 사용했습니다. 일부 탐지는 완전한 MITRE ATT&CK 범위를 제공하지 않으며 이 시각화에 포함되지 않습니다.
일반적으로 한 챕터를 작성하는 데 약 1~2개월의 달력 시간이 소요되므로 네(4) 개의 챕터와 부록을 모두 정리하는 것은 상당한 노력이었습니다. 지난 2년 동안 우리는 다음 시나리오에 대한 연구를 수행했습니다:
“Password Spray 공격은 일반적인 비밀번호를 사용하여 여러 사용자 이름을 통합적인 무차별 대입 방식으로 공격하여 무단 액세스를 얻는 공격입니다.”
이 챕터는 2020년 11월에 처음 작성되었으며, Microsoft Ignite 2021의 최신 보안 제품 업데이트를 포함하도록 2021년 11월에 업데이트되었습니다.
이 챕터에는 공격에 대한 간략한 설명과 Password Spray 유형의 공격을 시뮬레이션하는 데 사용되는 도구가 포함되어 있습니다. 탐지 부분에서는 Microsoft Sentinel 및 Defender for Cloud Apps와 같은 여러 Microsoft 보안 솔루션이 사용되었습니다.
참고로, 온프레미스 환경과 ADFS가 여전히 사용 중인 경우에 대한 고려 사항도 있습니다.
“불법 동의 승인(Consent Grant) 공격에서 공격자는 연락처 정보, 이메일 또는 문서와 같은 데이터에 대한 액세스를 요청하는 Azure 등록 애플리케이션을 생성합니다. 그런 다음 공격자는 피싱 공격 또는 신뢰할 수 있는 웹사이트에 불법 코드를 주입하는 방법으로 최종 사용자를 속여 해당 애플리케이션의 데이터 액세스에 대한 동의를 승인하게 합니다. 불법 애플리케이션이 동의를 받으면 조직 계정 없이도 계정 수준에서 데이터에 액세스할 수 있습니다.
침해된 계정의 비밀번호 재설정 또는 계정에 대한 MFA(다단계 인증) 요구와 같은 일반적인 복구 조치는 이러한 유형의 공격에는 효과적이지 않습니다. 이는 타사 애플리케이션이며 조직 외부에 있기 때문입니다. 이러한 공격은 정보를 호출하는 주체가 사람이 아닌 자동화라고 가정하는 상호 작용 모델을 활용합니다.”*
이 챕터에는 공격 설명과 Entra ID 동의(Consent) 프레임워크 관련 활동을 보호하고 모니터링하는 것이 중요한 이유에 대한 설명이 포함되어 있습니다. 탐지 챕터에서는 다음 솔루션을 사용했습니다:
주제가 방대하고 복잡하기 때문에 완화 부분에는 환경에서 공격 표면을 줄일 수 있는 방법에 대한 지침과 세부 정보가 포함되어 있습니다.
다음 두 가지 공격 시나리오에서는 Azure DevOps(ADO) 릴리스 파이프라인의 일부인 권한 있는 서비스 주체와 감사에서의 (잠재적) 제한된 가시성에 초점을 맞추었습니다.
ADO는 방대한 주제이며 이 챕터에서는 범위를 위에서 언급한 시나리오로만 제한합니다. 여기서도 동일한 경로를 따릅니다:
이 챕터를 작업할 때 우리는 주로 ADO 감사 로그 스키마 때문에 복잡했던 탐지 기술에 많은 시간을 할애했습니다. 그럼에도 불구하고 노력은 결실을 맺었으며 정의된 목표를 달성하여 Microsoft Sentinel에서 공격을 탐지할 수 있었습니다.
이 챕터의 완화 부분에는 Azure DevOps 환경을 보호하는 방법에 대한 심층 정보가 포함되어 있습니다.
이 문서에서는 주로 다음 시나리오에 초점을 맞춥니다:
범위를 벗어나는 것은 AADC 서버에서 Active Directory 방향으로의 권한 상승 및 공격 경로입니다(Azure AD DS 커넥터 계정 남용 포함).
2022년 3월 14일에 공개된 최신 챕터는 Microsoft Entra Connect 동기화 서비스 계정 남용에 관한 것입니다. 정확히 말하면, AAD Connect 계정은 Azure AD 측에 대한 작업을 수행하는 역할을 담당합니다.
이 주제와 공격 시나리오는 연구 작업에 매우 흥미로웠으며, 과거에 Microsoft Entra Connect를 많이 다루어 왔음에도 불구하고 지난 2개월 동안 많은 것을 배웠다는 것을 인정해야 합니다. 우리는 이전에 발견하지 못했던 몇 가지 흥미로운 결과를 발견했습니다.
여기까지 읽으셨다면 연구 작업 중에 만든 Microsoft Sentinel용 KQL 쿼리를 확인해 보시기를 권장합니다.
Microsoft는 TPM(신뢰할 수 있는 플랫폼 모듈) 칩 사용을 요구하는 Windows 11을 도입했습니다. 이로 인해 클라우드 기반 인증 시나리오에 대한 추가 보호 계층을 포함하여 Windows 11 OS 보안 기능을 사용할 수 있는 역량이 크게 향상되었습니다. PRT(기본 새로 고침 토큰) 및 기타 관련 키는 Windows 11뿐만 아니라 Windows 10 및 2016 이상의 Windows Server 버전에서도 TPM으로 잘 보호될 수 있습니다. 이 점을 고려하여 이 문서에서는 주로 다음 시나리오에 초점을 맞춥니다:
Entra ID Security Config Analyzer의 목적은 선택한 Microsoft Graph API 엔드포인트에서 Entra ID 보안 구성을 추출하고 데이터를 Log Analytics로 수집하는 솔루션을 제공하는 것입니다. 데이터 시각화에는 Azure Workbook이 사용되며, 중요한 구성 변경이 감지되면 Microsoft Sentinel을 사용하여 경고/인시던트를 생성할 수 있습니다.
다음 그림은 EIDSCA 솔루션 아키텍처, 사용된 솔루션 및 데이터 흐름을 설명합니다:
Microsoft Sentinel 환경의 일부로 EIDSCA를 통합하기 위한 참조 아키텍처입니다. 데이터는 Sentinel과 동일한 작업 영역으로 수집됩니다. 전용, 운영 또는 기존 Sentinel 작업 영역에 통합할지 여부는 구현 및 설계에 따라 다릅니다.
EIDSCA 컨트롤은 Maester에서도 사용됩니다. 자세한 내용은 Maester 문서를 참조하세요.
다양한 토큰은 클라우드 인증에서 중요한 역할을 합니다. 따라서 토큰의 작동 방식과 토큰이 악의적인 손에 들어갔을 때 공격자가 이를 악용할 수 있는 방법을 이해하는 것이 중요합니다. 이를 이해하면 ID 공격에 대한 보호 체계를 구축하는 데 도움이 될 수 있습니다.
토큰 도난은 공격자가 토큰에 접근하여 이를 손상시킬 때 발생합니다. 일단 도난당하면 공격자는 도난된 토큰을 재생하여 손상된 계정에 액세스할 수 있습니다. AiTM 시나리오에서 공격자는 MFA 요구 사항을 우회할 수 있습니다. MFA 클레임이 이미 토큰에 포함되어 있고 인증 요구 사항이 충족되었기 때문입니다. 따라서 공격자는 환경에 액세스할 수 있습니다. 이 문서의 후반부에서 시나리오, 탐지 및 완화에 대해 자세히 설명하겠습니다.
Entra ID 보안 토큰에 대한 자세한 내용은 다음 Microsoft Learn 리소스를 참조하세요:
Entra ID Attack & Defense Playbook의 'Azure AD 가입 디바이스의 PRT(기본 새로 고침 토큰) 및 기타 발급 토큰 재생' 챕터는 PRT, 액세스 토큰 및 새로 고침 토큰 재생에 대해 설명합니다:
이 챕터에서는 공격자가 피해자의 세션 쿠키를 가로챈 후 이를 재생하여 로그인 서비스에 액세스하는 Adversary-in-the-Middle(AiTM) 유형의 공격에 초점을 맞춥니다.
사이버 범죄자들은 현재 대규모로 MFA(다단계 인증) 보호를 우회하기 위해 AiTM 피싱 기술을 사용하고 있습니다. 이러한 고급 기술은 2021년 이후 여러 서비스 상품을 탄생시킨 PhaaS(Phishing-as-a-service) 사이버 범죄 경제 모델을 통해 대중화되고 증가했습니다.
현재 AiTM 기능을 갖춘 PhaaS 플랫폼의 수는 2023~2024년 내내 계속 증가하고 있으며, 기존 서비스는 플랫폼에 AiTM 기능을 추가하고 새로 만들어진 서비스는 AiTM 피싱 기술을 기본적으로 통합하고 있습니다. 전통적인 형태의 자격 증명 피싱이 여전히 존재하지만, AiTM 피싱 공격의 수는 이러한 기능이 없는 공격의 수를 초과합니다.
AiTM 피싱의 궁극적인 목표는 사용자 자격 증명과 세션 쿠키를 도용하는 것입니다. 브라우저는 사용자가 반복적으로 인증하지 않아도 서비스에 액세스할 수 있도록 세션 쿠키를 저장합니다. AiTM 피싱은 전통적인 MFA 보호를 우회하기 위해 세션 쿠키와 자격 증명을 노립니다.
PhaaS에 대한 자세한 정보:
모든 최신 웹 서비스는 인증 성공 후 사용자와 세션을 구현하여 사용자가 방문하는 모든 새 페이지마다 인증할 필요가 없도록 합니다. 이러한 세션 기능은 초기 인증 후 인증 서비스가 발급하는 세션 쿠키에 의해 활성화됩니다. 세션 쿠키는 사용자가 인증되었으며 웹사이트에서 활성 세션을 유지하고 있다는 증거로 웹 서버에 제공됩니다.
AiTM 피싱 공격에서 공격자는 대상 사용자의 세션 쿠키를 가로챈 후 이를 다시 재생하여 로그인 서비스에 액세스합니다. 쿠키는 MFA 검사가 이미 통과되었음을 증명하므로(토큰에 포함된 클레임) MFA 요구 사항을 충족하여 공격자가 MFA 보호를 우회하고 손상된 사용자 계정에 액세스할 수 있게 됩니다.
역방향 프록시를 통한 AiTM 피싱에서 프록시는 사용자와 사용자가 방문하려는 합법적인 웹사이트나 애플리케이션(예: Microsoft 로그인 포털 또는 LinkedIn) 사이에 배포됩니다. 역방향 프록시는 사용자의 요청을 실제 서비스로 전달하고 응답을 가로챕니다. 이러한 구성 덕분에 공격자는 대상자의 비밀번호와 웹사이트와의 진행 중이고 인증된 세션을 증명하는 세션 쿠키를 탈취하고 가로챌 수 있습니다.
공격자들 사이에서 인기 있었던 피싱 키트는 EvilGinx, Modlishka, Muraena 및 "Office 365"(EvilProxy)입니다. 이러한 피싱 키트를 통해 공격자는 역방향 프록시 서버를 사용하여 AiTM 피싱 공격을 수행할 수 있습니다.
참고: 많은 캠페인에서 대상 애플리케이션은 Entra ID 로그의 OfficeHome이었습니다.
역방향 프록시를 통한 AiTM 피싱 공격 다이어그램(초기 그림은 Microsoft Defender XDR Threat Intelligence 보고서에서 가져옴).
또 다른 AiTM 방법은 '동기식 릴레이를 통한 AiTM 피싱'이라고 합니다. 이러한 유형의 공격에서는 기존 피싱 공격에서 볼 수 있듯이 로그인 페이지의 복사본 또는 모조품이 대상에게 제공됩니다. 사용자가 이 페이지에 자격 증명을 입력하면 자격 증명은 관리 패널을 포함한 피싱 키트 인스턴스가 설치된 공격자 제어 서버에 저장됩니다. 기본적으로 이는 로그인 자격 증명, 2단계 인증(MFA) 코드, 세션 쿠키를 포함한 사용자 입력이 도난당하는 것을 의미합니다.
릴레이 서버는 일반적으로 개발 배후의 행위자 그룹과 PhaaS 플랫폼의 책임 이해관계자가 제공하고 제어합니다. 이러한 그룹의 한 예로 Microsoft Threat Intelligence 보고서에 따르면 Greatness PhaaS 플랫폼 배후에 있는 Storm-1295가 있습니다.
동기식 릴레이를 통한 AiTM 피싱 다이어그램(초기 그림은 Microsoft Defender XDR Threat Intelligence 보고서에서 가져옴).
업데이트 또는 새 콘텐츠(풀 리퀘스트): 앞서 언급했듯이, 우리는 Entra 커뮤니티가 운영하는 살아있는 문서를 원합니다! 이 프로젝트의 일환으로 여러분의 결과물과 통찰력을 공유하세요! 이 프로젝트에 콘텐츠를 추가하려면 풀 리퀘스트를 보내주세요.
이슈/오래된 콘텐츠: 보호 기능이나 도구는 지속적으로 변경됩니다. 오래된 콘텐츠를 업데이트하거나(풀 리퀘스트를 통해) 문제를 지적하는 이슈를 생성하세요.
검토자: 게시 전에 기존 또는 새 콘텐츠를 검토하거나 논의하고 싶은 전문가도 찾고 있습니다!
피드백: 커뮤니티에 흥미로울 수 있는 공격/방어 시나리오를 자유롭게 제안해 주세요. 백로그와 아이디어 수집 목록에 추가하겠습니다!
이 프로젝트는 커뮤니티 주도 프로젝트이지 공식 솔루션이나 제품이 아닙니다. 코드 또는 기타 모든 쿼리 샘플은 명시적이든 묵시적이든, 상품성 및/또는 특정 목적에의 적합성에 대한 묵시적 보증을 포함하되 이에 국한되지 않는 일체의 보증 없이 "AS IT IS"로 제공됩니다. 이 샘플은 어떤 지원 프로그램이나 서비스에서도 지원되지 않습니다. 또한 당사는 상품성 또는 특정 목적에의 적합성에 대한 묵시적 보증을 포함한 모든 묵시적 보증을 명시적으로 부인합니다. 샘플과 문서의 사용 또는 성능으로 인해 발생하는 모든 위험은 전적으로 사용자에게 있습니다. 어떠한 경우에도 당사, 작성자, 또는 스크립트의 생성, 제작, 배송에 관여한 다른 누구도 샘플이나 문서를 사용하거나 사용할 수 없어서 발생하는 손해(영업 이익 손실, 업무 중단, 업무 정보 손실 또는 기타 금전적 손실을 포함하되 이에 국한되지 않음)에 대해 책임을 지지 않습니다. Microsoft가 그러한 손해의 가능성을 사전에 통보받은 경우에도 마찬가지입니다.
 Sami Lamppu 💬 📖 |  Thomas Naunheim 💬 📖 |
 Joosua Santasalo 💬 📖 |  Markus Pitkäranta 💬 📖 |  Christopher Brumm 💬 📖 |  Fabian Bader 💬 📖 |  Nestori Syynimaa 💬 📖 |  Robbe Van den Daele 💬 📖 |
