Entra テナントに対してすべてのユーザーの無制限のデバイスの参加を許可すると、攻撃者が不正なデバイスを組織の ID システムに設置し、さらなる侵害の足がかりを得る可能性が出てきます。

デフォルトでは、Microsoft Entra ID はすべての Entra ユーザーに対して、Microsoft Entra の<a href="https://learn.microsoft.com/ja-jp/entra/identity/devices/concept-directory-join">参加デバイス</a>としてテナントに登録する権限を付与します。<a href="https://learn.microsoft.com/ja-jp/entra/identity/devices/manage-device-identities#configure-device-settings">ユーザーはデバイスを Microsoft Entra に参加させることができる</a>というこの設定により、サインインしたユーザーは参加プロセスを完了することができます。攻撃者が通常のユーザーアカウントを侵害した場合、このワークフローを悪用して、自分が完全に制御している不正なワークステーションを登録する可能性があります。デバイスは、被害者がその所有者としてリストされている Entra ID に表示され、そのユーザーのベースラインの<a href="https://learn.microsoft.com/ja-jp/windows/client-management/azure-active-directory-integration-with-mdm">モバイルデバイス管理 (MDM)</a> ポリシーを継承し、攻撃者に環境内での永続的で信頼できる足がかりを与えます。
デバイス参加によって多要素認証 (MFA) などの追加のチェックをトリガーできますが、デフォルトでは登録時に必須ではありません。つまり、盗んだパスワードさえあれば、攻撃者はどこからでもデバイスを登録できることになります。Microsoft Intune または条件付きアクセスポリシーに設定ミスがある場合、不正なデバイスが自動的に順守状態として認識され、さらなる認証の課題を抑制するアクセス条件を満たす可能性があります。順守状態となると、MFA プロンプトが表示されることなく、攻撃者は Entra ID 認証の背後にあるクラウドリソースに密かにアクセスできるようになります。
Microsoft のインシデント対応チームは、不正なデバイスの参加にフィッシングアカウントが使用され、設定ミスのあるコンプライアンスチェックをバイパスし、Microsoft 365 メールボックスの機密データを盗み出すという<a href="https://www.microsoft.com/ja-jp/security/blog/2023/12/05/microsoft-incident-response-lessons-on-preventing-cloud-identity-compromise/#poor-device">実際の侵害</a>を文書化しました。これらのケースからわかるのは、過度に寛容なデバイス参加設定によって 1 件のアカウント侵害の影響範囲が劇的に広がる可能性があることです。
この寛容な設定により、従業員は個人の Windows および macOS デバイスを自由に登録できるようになり (BYOD (私物端末の業務利用))、組織のデバイスインベントリが増大します。このため、管理されていない無秩序に増加したデバイスの中から悪意のあるデバイスや不正なデバイスを見つけることが難しくなります。
デフォルトでは、各ユーザーは最大 50 個のデバイスを登録できます。これは、1 つの侵害されたアカウントが、アラートをトリガーすることなく、攻撃者が制御する数十のエンドポイントをホストする可能性があることを意味します。これらのユーザー主導の参加は、<a href="https://learn.microsoft.com/ja-jp/autopilot/self-deploying">Windows Autopilot セルフデプロイメントモード</a>などの安全なプロビジョニングフロー外で発生し、条件付きアクセスがデバイスの信頼性を検証するために依存しているハードウェア認証やその他のオンボーディングの安全策をバイパスします。

検出

デバイスの参加が許可されたユーザー

LOW

バージョン 202505121217