攻撃者は自己変更可能な属性を操作することで Microsoft Entra ID の動的グループを悪用し、グループメンバーとして攻撃者自身を追加できるようにする可能性があります。この悪意のある操作により、権限昇格や、グループに関連付けられた機密性の高いリソースへの不正アクセスが可能になります。

<a href="https://learn.microsoft.com/ja-jp/entra/identity/users/groups-create-rule">Microsoft Entra ID の動的グループ</a>は、P1 ライセンス以上が必要になる強力な機能です。これらのグループは、ユーザー属性に関連付けられた<a href="https://learn.microsoft.com/ja-jp/entra/identity/users/groups-dynamic-membership">固有のルール</a>に基づいて自動的にメンバーシップを更新します。ただしそのルールが、ユーザーが自分で変えられる属性に依存している場合、悪用に対して脆弱になります。
攻撃者が動的グループのルールで使用される属性を変更できるようになると、そのメンバーシップも操作することができます。そのグループが機密性の高いリソースへのアクセスを付与している場合、この設定ミスは不正アクセスや権限昇格につながる可能性があります。
テナントの多くの属性はユーザーが変更できないものですが、ゲストアカウントは例外です。攻撃者がゲストユーザーをコントロールし、攻撃者のホームテナントで管理者権限を持つようになると、そこで属性を変更して、標的としたテナントの動的グループルールを悪用することが可能になります。
この問題は、2020 年頃にセキュリティ調査やペネトレーションテストのドキュメントで初めて強調され、設定ミスのある環境では今でも実行可能な攻撃手法です。2024 年後半以降、AADInternals 攻撃ツールに、悪用可能なグループを特定する機能が導入されています。
実行可能な攻撃シナリオ:
<ol>
<li>偵察: 攻撃者は、特権ロールを持たない標準ユーザーとしてテナントへのアクセス権を取得します。デフォルトで、グループを列挙し、動的グループルールを閲覧できます。</li>
<li>標的の選択: 攻撃者は、サブスクリプションの特権 Azure ロールなど、機密性の高いアクセス許可を持つ動的グループを特定します。特定のキーワード (例: 「admin」) を含む <code>displayName</code> など、悪用可能な属性を使用しているルールを標的にします。</li>
<li>悪意のある準備: 攻撃者は、標的にしたグループのメンバーシップルールと一致する属性を持つユーザーを自身の Entra テナントで作成します。</li>
<li>ゲストの招待: 攻撃者はこの悪意のあるユーザーをゲストとして標的のテナントに招待します。</li>
<li>ルールの悪用: 悪意のあるゲストが招待を受け入れると、標的テナントでそのアカウントが作成され、動的グループのメンバーシップルールによって属性が処理されます。</li>
<li>昇格: 悪意のあるゲストは、アカウント作成後数分以内に動的グループに自動的に参加し、そのアクセス許可 (例えば、特権 Azure サブスクリプションロール) を継承します。</li>
</ol>
リスクとそれに伴う深刻度は、次の要因によって異なります。
<ul>
<li>ゲストのアクセス設定: ゲストに課されている制限が緩いと、攻撃の実行可能性が高まります。ゲストの招待や、グループルールの閲覧ができてしまうと、リスクが高まります (関連する [無制限のゲストアカウント] や [通常アカウントと同等のアクセス権を持つゲストアカウント] の露出インジケーター (IoE) を参照)。</li>
<li>グループのアクセス範囲: 悪用の深刻度は、グループが制御するリソースによって異なります。これには、次の内容が含まれます。<ul>
<li>Microsoft 365 サービス (Teams チャネル、SharePoint サイト、Exchange インボックス)</li>
<li>Azure クラウドリソース</li>
<li>統合されている他のアプリケーション</li>
</ul>
</li>
</ul>

権限昇格

検出

悪用可能なルールを持つ動的グループ

MEDIUM

バージョン 202412121441