Active Directory (AD)는 조직 내에서 네트워크 관리자가 사용자 권한을 관리하는 데 도움이 되도록 설계된 Microsoft 제품입니다. Windows Server에 설치하면 엔터프라이즈 환경을 관리하고 모든 것을 저장하는 것과 같은 작업을 수행하는 도메인 컨트롤러로 전환됩니다. 사용자 계정, 비밀번호 및 권한, 사용자 인증 관리.
시간이 지남에 따라 세계는 점점 더 클라우드 도입으로 이동하고 있으며 Microsoft는 조직이 보다 간소화되고 현대적인 클라우드 기반 환경으로 전환하도록 추진해 왔습니다. 신원 관리. 클라우드 기반 도메인 환경을 위한 Microsoft 솔루션은 다음과 같습니다. Entra ID. 온프레미스 AD의 기능을 클라우드로 확장하여 클라우드 기반 애플리케이션의 ID 및 액세스를 관리하기 위한 강력한 솔루션을 제공합니다. 지원하는 레거시 시스템과의 원활한 통합을 가능하게 하기 위해 Microsoft는 다음을 도입했습니다. Entra ID 연결. 이 도구를 사용하면 조직이 온프레미스를 연결할 수 있습니다. Active Directory (AD) 환경 Entra ID"하이브리드 결합 환경"을 만듭니다.
을 통하여 Entra ID Connect, 조직은 온프레미스 AD에서 클라우드로 사용자 및 디렉토리 데이터를 동기화할 수 있습니다. 이를 통해 사용자는 온프레미스 시스템과 동일한 자격 증명을 사용하면서 클라우드 서비스에 액세스할 수 있습니다. 흥미로운 기능 중 하나 Entra ID Connect는 클라우드에서 변경된 비밀번호가 온프레미스 AD로 다시 동기화되어 두 환경에서 일관된 ID 관리를 보장하는 비밀번호 쓰기 저장을 지원합니다. 이 하이브리드 모델은 조직이 클라우드와 온프레미스 인프라에서 운영되는 동안 통합 ID 시스템을 유지할 수 있도록 보장합니다.
레거시 간의 권한 관리 차이점 Active Directory Entra ID 두 제품 간 동기화 프로세스에 보안 격차가 생길 수 있습니다.
권한 관리에 대한 심층 분석
권한 관리 Active Directory 각 환경에서 변경을 위한 권한이 상승된 기본 권한 보안 그룹이 여러 개 있는 방식으로 작동합니다. 특정 사용자에게 이러한 권한을 부여하려면 그룹에 추가하기만 하면 됩니다. 예를 들어, "Domain Admin" 그룹은 그 안의 모든 사용자에게 권한을 부여합니다. 사용자 또는 그룹에 대한 권한을 정의하는 또 다른 방법은 ACL(액세스 제어 목록)을 통한 것입니다. 이 목록은 AD의 각 개체에 대해 존재하며 각 엔터티에 대한 권한을 지정합니다. 이 메커니즘을 사용하면 도메인 관리자와 같이 높은 수준의 권한이 있는 사용자에게 속한 개체에도 일반 사용자에게 수정 권한을 할당할 수 있습니다.
그러나 Entra ID (이전 Azure AD), 기본적으로 보안 그룹이 없습니다. 대신 RBAC(역할 기반 액세스 제어) 메커니즘을 사용합니다. 즉, 다양한 유형의 역할이 있으며 각각 다른 사용자 권한을 정의합니다. 그룹에 역할을 할당할 수도 있으며 해당 그룹의 모든 구성원은 동일한 권한을 상속받습니다. 하지만 이 옵션에는 기본적으로 정의된 그룹(예: Active Directory.
그렇다면 두 메커니즘의 차이점은 무엇일까요? Entra에서는 사용자가 역할 또는 그룹 할당을 통해 특권 권한을 받을 때 수정 보호가 제공됩니다. 레거시 AD에서는 모든 민감한 그룹이 수정으로부터 보호되는 것은 아니라는 사실을 발견했습니다. 사실, 특정 민감한 그룹은 다음과 관련하여 약하다고 간주됩니다. Entra ID 동기화를 연결합니다.
Entra에서 사용자가 특권 역할을 받을 때마다 자동으로 수정 보호가 부여됩니다. 더 높은 수준의 특권 또는 동등한 역할 수준을 가진 사용자만 변경을 수행할 수 있으며, 더 낮은 역할 수준을 가진 다른 사용자는 변경을 수행할 수 없습니다. 즉, 사용자는 보호를 받기 위해 보안 그룹의 구성원이 될 필요가 없습니다. AD와 달리 특권 역할을 할당하기만 하면 어느 정도 보호 수준을 제공할 수 있습니다.
예를 들어, 계층 구조에서 관리자 역할 이내 Entra ID 밸리 비밀번호 관리자 역할은 사용자에게 비밀번호를 재설정할 수 있는 권한을 부여합니다. 그러나 관리자로 분류되었음에도 불구하고 이 역할은 관리자 계층에서 가장 낮은 역할 중 하나로 간주됩니다. 결과적으로 비밀번호 관리자는 비밀번호를 재설정할 수 있는 권한이 있습니다. 일반 사용자 또는 동일한 관리자 역할을 보유한 사용자. 상위 레벨의 사용자에 대한 비밀번호를 재설정할 권한이 없습니다. 관리자 역할글로벌 관리자 또는 기타와 같은 특권 계정, 다양한 관리자 역할 간에 명확한 보안 경계를 유지합니다. 이 계층적 구조는 더 민감한 역할이 무단 암호 변경으로부터 보호되도록 합니다.
동기화는 어떻게 이루어지는가?
온프레미스 AD와 동기화 프로세스 Entra ID 두 가지 주요 부분으로 나눌 수 있습니다.
- 온프레미스에서 ID 동기화 Entra ID
- 비밀번호 쓰기백 Entra ID 온프레미스로
1부: 온프레미스에서 동기화 Entra ID
Entra ID Connect는 다음을 생성합니다. 서비스 계정 사용자는 설치 식별자의 처음 8바이트 다음에 MSOL을 호출했습니다. 이 사용자는 도메인 컨트롤러와 동등할 수 있는 강력한 기능을 가지고 있습니다. "디렉토리 변경 사항 모두 복제" 권한을 통해 사용자는 DC 동기화를 수행하고 클라이언트의 자격 증명을 포함한 모든 개체의 속성(즉, NT 해시)을 추출할 수 있습니다. 이 사용자에게 디렉토리 전체에서 부여된 광범위한 권한으로 인해 보호된 그룹의 사용자에 대한 정보에 액세스하고 읽을 수 있습니다. 제공된 권한을 통해 사용자는 도메인 컨트롤러와 같은 권한으로 작업할 수 있기 때문입니다. 결과적으로 사용자가 그룹의 ACL에 명시적으로 나열되지 않은 경우에도 그룹 구성원의 NT 해시를 검색할 수 있는 기능을 유지합니다. 이 권한은 동기화 프로세스의 온프레미스 측을 허용하며 RPC 전송을 통해 작동하는 Directory Replication Service Remote Protocol을 사용하여 관리됩니다. 동일한 프로토콜이 DCSync 공격을 수행하는 데 사용됩니다. 온프레미스 동기화 에이전트는 모든 사용자 정보와 속성을 Entra ID 포트 443을 통해 Entra가 이 데이터를 수신하면 환경 내에서 필요한 세부 정보를 처리하고 채워 초기 동기화 프로세스를 완료합니다.
2부: 비밀번호 쓰기백 Entra ID 온프레미스로
동기화 프로세스의 두 번째 부분은 Entra AD Connect에서 Password Writeback이 활성화될 때 발생합니다. 이 기능을 사용하면 클라우드에서 온프레미스 환경으로 암호를 동기화할 수 있으므로 사용자가 클라우드에서 암호를 변경하면 온프레미스에도 변경 사항이 반영됩니다. 이렇게 하면 두 환경 간의 정확한 동기화가 보장되며, 이는 두 환경을 연결하는 주요 이유 중 하나입니다. 즉, 사용자가 조직의 모든 애플리케이션과 환경에서 동일한 암호로 로그인할 수 있도록 하는 것입니다.
사용자에 대한 비밀번호 재설정 작업이 시작되면 Entra ID, 시스템은 먼저 사용자 이름을 검색하여 해당 사용자 이름이 존재하는지 확인합니다. Entra ID. 사용자가 발견되면 권한 검사를 수행하여 비밀번호 재설정을 시도하는 사람이 이 작업을 수행할 수 있는 역할을 가지고 있는지 확인합니다. 사용자에게 필요한 권한이 있는 경우, Entra ID 사용자 이름과 새 비밀번호를 Entra Service Bus로 전송합니다.
온프레미스에서 실행되는 동기화 에이전트가 이 정보를 검색합니다. Entra Connect에서 만든 MSOL 사용자는 DS Sync 권한이 있지만 읽기 전용이므로 RPC 프로토콜을 사용하여 암호를 재설정하지 않습니다. 대신 LDAP 요청을 수행하여 해당 사용자를 찾습니다. Active Directory 그리고 “IADsUser.ChangePassword” 작업을 사용하여 요청으로 비밀번호를 업데이트하려고 시도합니다.
이 단계에서는 중요한 보안 검사가 수행됩니다. 도메인 컨트롤러(DC)가 LDAP 요청을 수신하면 Active Directory 권한 시스템은 암호 변경을 시도하는 사용자에게 대상 사용자의 암호를 재설정하는 데 필요한 권한이 있는지 확인합니다. 이는 대상 사용자의 ACL을 검사하여 수행됩니다. MSOL 사용자에게 엔터티에 대한 "암호 재설정" 권한이 없는 경우 오류가 다시 전송됩니다. Entra ID, 권한이 부족하여 비밀번호 업데이트에 실패했음을 나타냅니다. "비밀번호 재설정" 권한이 있는 경우 비밀번호 변경이 성공적으로 완료됩니다.
보안 격차
동기화 프로세스 중에 어떤 사용자가 특권 그룹에 속하거나 더 높은 권한을 가지고 있는지에 대한 전체 범위가 없다는 것을 알았습니다. 결과적으로 Entra 환경에서 이러한 사용자는 온프레미스에서와 동일한 특권 상태를 자동으로 받지 못합니다. 기본적으로 하이브리드 사용자는 네트워크 관리자가 이러한 특권과 보호를 수동으로 할당하지 않는 한 초기 동기화 중에 Entra의 특권 역할과 동일한 보호를 받지 못합니다. Entra ID.
두 환경 간의 동기화 기능과 Entra에서 온프레미스로 자격 증명을 다시 동기화하는 기능을 이해하면 다음과 같은 의문이 생깁니다. 잠재적으로 발생할 수 있는 위험은 무엇일까요?
주요 위험은 Entra의 약한 관리자 역할을 통해 온프레미스 AD에서 높은 권한을 얻는 것입니다. AD에 있는 동안 사용자는 특권 권한을 받을 수 있지만 반드시 보호된 그룹에 속할 필요는 없으므로 공격에 노출됩니다. 이 공격 흐름에도 동일한 위험이 있습니다.
공격자가 제어권을 얻으면 Entra ID 암호 관리자 역할이 할당된 사용자는 온프레미스 사용자가 없더라도 암호 재설정 권한을 활용하여 권한을 승격할 수 있습니다. DNS 관리자 그룹의 사용자와 같이 승격된 AD 권한이 있는 사용자의 암호를 재설정하면 계정을 제어하고 온프레미스 도메인 내에서 권한을 승격할 수 있습니다.
공격자가 해야 할 일은 최소한 암호 관리자 역할이 있는 올바른 사용자 계정으로 로그인하는 것뿐입니다. Entra ID. 그들이 인터페이스를 사용하는지 여부는 중요하지 않습니다. https://entra.microsoft.com or https://portal.azure.com. 로그인한 후 대상 온프레미스 사용자를 선택하고 간단히 비밀번호를 재설정합니다. 이를 통해 공격자는 비밀번호를 변경한 계정으로 온프레미스 환경에 로그인할 수 있습니다.
타겟 사용자가 온프레미스 환경의 보호 그룹에 속한 경우 공격은 실패한다는 점을 알아두는 것이 중요합니다.
이는 온프레미스에서 보호된 사용자에 대한 권한 관리가 변경 사항을 차단하기 때문입니다. Entra ID 보호된 그룹의 사용자에게 계정을 연결합니다. 온프레미스 환경에서 보호된 그룹은 다음을 검사하여 식별할 수 있습니다. 관리자 수 그룹의 속성입니다. 관리자 수 속성이 "1"로 설정된 경우 그룹이 보호되는 것으로 간주됨을 나타냅니다. 이러한 보호 그룹은 주기적으로 적용되는 고정된 권한 템플릿을 따릅니다. 매시간 보호 메커니즘이 Active Directory 그룹의 권한이 있는지 확인하는 프로세스를 실행합니다. ACL 템플릿에 정의된 권한과 일치합니다. 불일치가 있는 경우 프로세스는 템플릿과 일치하도록 권한을 재설정합니다.
이 프로세스는 다음과 같은 메커니즘으로 관리됩니다. 에스디프로프 (보안 설명자 전파기) 및 권한 템플릿은 다음과 같이 알려져 있습니다. 관리자SD홀더.
이 약점을 악용하는 공격 시나리오
섀도우 관리자
섀도우 관리자 관리자에게 비밀번호를 재설정할 수 있지만 어떤 관리자 그룹에도 속하지 않는 사용자입니다. 온프레미스 둘 다 Active Directory Entra ID 이러한 Shadow Admin을 일반 사용자(특권 사용자 그룹의 특별한 보호 없이)로 취급하면 공격자는 Entra에서 특권 사용자의 비밀번호를 재설정하는 기능을 악용할 수 있습니다. 즉, 공격자는 온프레미스 환경에서 해당 사용자의 비밀번호를 재설정할 수도 있습니다.
이러한 시나리오는 공격자에게 권한을 상승시키고 네트워크 전체로 자신의 통제력을 확대하여 손상된 사용자의 상승된 권한을 악용할 수 있는 명확한 경로를 제공합니다.
DNS 관리자 그룹
또 다른 예는 DNS 관리자 그룹입니다. DNS 관리자는 중요한 네트워크 인프라 구성 요소, 특히 DNS 서버를 관리합니다. DNS 관리자 그룹은 온프레미스에서 추가 보호 없이 특권 그룹으로 설정되므로 공격자는 Entra를 통해 DNS 관리자 그룹 구성원의 비밀번호를 쉽게 재설정할 수 있습니다. 이를 통해 온프레미스 환경에서 해당 계정을 완전히 제어할 수 있습니다.
DNS 관리자 계정을 제어하면 공격자는 네트워크 작업을 크게 방해할 수 있습니다. 그들은 내부 네트워크 트래픽을 리디렉션하고, 중간자 공격(MITM) 자신이 제어하는 서버를 통해 트래픽을 리디렉션하여 공격을 수행하거나, DNS 설정을 변경하여 사용자를 악성 웹사이트로 보냅니다.
그룹 정책 작성자 소유자
그룹 정책 작성자 소유자는 추가 보호 없이 특권 그룹이 될 수 있는 또 다른 그룹의 예입니다. 이 그룹의 구성원은 자신이 만든 그룹 정책 개체(GPO)를 수정할 수 있습니다. 공격자가 이 그룹의 계정에 액세스하면 권한을 악용하여 자격 증명을 훔치거나 맬웨어를 설치할 수 있는 스크립트와 같이 유해한 스크립트나 설정을 포함할 수 있는 기존 강제 GPO를 수정할 수 있습니다.
Cert Publishers 그룹
인증서 게시자 그룹은 보안과 관련하여 항상 필요한 주의를 받지 못할 수 있는 특권 그룹의 또 다른 예입니다. 이 그룹의 구성원은 인증서를 게시할 수 있는 권한이 부여됩니다. Active Directory조직의 핵심 역할을 하는 공개 키 인프라(PKI). 공격자가 해당 계정의 일부인 계정에 액세스하는 경우 인증서 게시자 그룹 내에서 인증서를 발급하거나 조작할 수 있으며, 이는 심각한 보안 위험을 초래할 수 있습니다.
예를 들어 공격자는 다음을 게시할 수 있습니다. 악의적 또는 사기성 인증서 신뢰할 수 있는 사용자나 서비스를 가장하여 MITM 공격을 실행하고 보안 통신을 해독하거나 우회할 수 있도록 합니다. 인증 제어. 공격자는 또한 도메인 관리자와 같은 높은 권한 계정에 대한 인증서를 발급하여 권한을 확대하여 전체 도메인 손상으로 이어질 수 있습니다.
공격 완화
1. 하이브리드 조인 ID 설정을 사용할 때는 항상 온프레미스 환경과 Entra 간의 권한을 비교하세요. 또한 Entra에만 존재하고 온프레미스에 해당 계정이 없는 권한이 있는 사용자는 암호 재설정 권한을 받지 않도록 하세요. 이렇게 하면 허가되지 않은 외부 액세스와 환경 제어를 방지하는 데 도움이 됩니다.
2. 온프레미스 간 동기화를 설정할 때 Active Directory (광고) 그리고 Entra ID, 온프레미스 환경에서 권한 있는 그룹에 할당된 권한을 항상 확인하는 것이 필수적입니다. 특히, 이러한 그룹에 불필요한 비밀번호 변경 권한이 없는지 확인해야 합니다.
권한이 있는 그룹의 멤버가 비밀번호를 변경할 수 있는 경우 이를 해결하는 두 가지 옵션이 있습니다.
- 권한을 수동으로 제거: 각 권한 그룹의 권한을 수동으로 조정하여 비밀번호 변경 기능을 제거할 수 있습니다.
- AdminSDHolder 템플릿 활용: 또는 다음을 수정할 수 있습니다. 관리자 수 특권 그룹의 속성을 "1"로 설정하여 보호합니다.
AdminSDHolder는 보안 템플릿입니다. Active Directory 보호된 그룹의 멤버에 대한 보안 권한을 정의하고 적용합니다. 이 템플릿에 권한 있는 그룹을 추가하면 해당 그룹의 비밀번호 변경 권한을 자동으로 제거할 수 있습니다.
