Microsoft Entra ID 可透過同盟的方式，將驗證工作委派給其他提供者。但是，獲得進階特權的攻擊者可以新增惡意同盟網域來利用此功能，進而達到潛伏和特權提升的目的。

Microsoft Entra 租用戶可以<a href="https://learn.microsoft.com/zh-tw/entra/identity/hybrid/connect/whatis-fed">與外部網域同盟</a>，以便與另一個網域建立信任來進行驗證和授權。組織使用同盟功能將 Active Directory 使用者驗證委派至他們的內部部署 Active Directory Federation Services (AD FS)。(註: 外部網域不是 Active Directory「網域」)。
不過，如果惡意攻擊執行者在 Microsoft Entra ID 中獲得進階特權，就能新增同盟網域，或編輯現有同盟網域以新增自訂的次要設定，進而不當利用這種同盟機制並建立後門程式​。此攻擊可達成以下目的: 
<ul>
<li>假冒​: 惡意同盟網域會產生權杖，讓攻擊者無需知道或重設密碼，就能透過任何 Microsoft Entra 使用者的身分來進行驗證。這包括「雲端專用」使用者 (非混合使用者) 和外部使用者。即便您已強制使用 MFA (請見下文)，這仍允許對 Microsoft Entra ID、Microsoft 365 (O365)，以及其他依賴 Microsoft Entra ID 作為身分識別提供者 (SSO) 的應用程式發動攻擊。</li>
<li>特權提升​: 攻擊者可以假冒任何使用者，尤其是特權 Microsoft Entra ID 使用者。</li>
<li>多因素驗證繞過​: 有了同盟驗證，受信任的外部網域可以<a href="https://learn.microsoft.com/zh-tw/graph/api/resources/internaldomainfederation?view=graph-rest-beta#federatedidpmfabehavior-values">擔任強制執行 MFA 的角色</a>。惡意同盟網域可以謊稱偽造的驗證使用了 MFA，Microsoft Entra ID 會信任此聲明，不會再次提示使用 MFA。即便在有 MFA 保護的情況下，攻擊者也可藉此假冒所有使用者。</li>
<li>長期潛伏​: 新增惡意同盟網域是一種隱蔽技術，允許入侵 Microsoft Entra 租用戶並擁有進階特權的攻擊者之後重新取得存取權。</li>
</ul>
本曝險指標根據 <a href="https://aadinternals.com/">AADInternals</a> 駭客工具組建立或轉換的後門程式網域的特定特徵，偵測所建立的同盟網域後門程式​，尤其是 <code>ConvertTo-AADIntBackdoor</code> 和 <code>New-AADIntBackdoor</code> 指令程式。
另請參閱相關的曝險指標「同盟簽署憑證不相符」。
將驗證證明從惡意同盟網域傳輸至目標 Microsoft Entra ID 時，所用的同盟通訊協定可能是 WS-Federation 或 SAML。使用 SAML 時，這種攻擊與「<a href="https://services.google.com/fh/files/misc/remediation-and-hardening-strategies-for-microsoft-wp-en.pdf#page=9">Golden SAML</a>」攻擊相似，但主要區別如下:
<ul>
<li>攻擊者不是竊取現有同盟的正當 SAML 簽署金鑰，而是使用自己的金鑰插入新網域。</li>
<li>攻擊者不是將偽造的權杖提交給特定服務，而是提交給同盟服務，以在未經授權的情況下存取多個系統。</li>
</ul>
<code>microsoft.directory/domains/allProperties/allTasks</code> 和 <code>microsoft.directory/domains/federation/update</code> 權限讓管理員可以修改同盟網域。截至 2023 年 11 月，除了潛在的自訂角色外，下列內建 Microsoft Entra 角色也具有此權限:
<ul>
<li><a href="https://learn.microsoft.com/zh-tw/entra/identity/role-based-access-control/permissions-reference#domain-name-administrator">網域名稱管理員</a></li>
<li><a href="https://learn.microsoft.com/zh-tw/entra/identity/role-based-access-control/permissions-reference#external-identity-provider-administrator">外部身分識別提供者管理員</a></li>
<li><a href="https://learn.microsoft.com/zh-tw/entra/identity/role-based-access-control/permissions-reference#hybrid-identity-administrator">混合身分管理員</a></li>
<li><a href="https://learn.microsoft.com/zh-tw/entra/identity/role-based-access-control/permissions-reference#global-administrator">全域管理員</a></li>
<li><a href="https://learn.microsoft.com/zh-tw/entra/identity/role-based-access-control/permissions-reference#partner-tier2-support">合作夥伴第 2 層支援</a></li>
<li><a href="https://learn.microsoft.com/zh-tw/entra/identity/role-based-access-control/permissions-reference#security-administrator">安全管理員</a></li>
</ul>
APT29 威脅組織在 2020 年 12 月不當利用此方法，對 SolarWinds 發動惡名昭彰的「Solorigate」攻擊，<a href="https://www.microsoft.com/zh-tw/security/blog/2020/12/28/using-microsoft-365-defender-to-coordinate-protection-against-solorigate/">Microsoft</a> 和 <a href="https://services.google.com/fh/files/misc/remediation-and-hardening-strategies-for-microsoft-wp-en.pdf#page=22">Mandiant</a> 均有相關記錄。

規避防禦

偵測

已知的同盟網域後門程式

CRITICAL

版本 202411071130