同盟簽署憑證的有效期過長可能會引發疑慮，因為這表示攻擊者或許已在 Entra ID 中取得進階特權，並透過同盟信任機制建立後門程式。

同盟網域不同於受管理網域，處理驗證的是第三方身分識別提供者 (例如 Microsoft AD FS 伺服器) 而非 Entra ID。在此設定中，Entra ID 會與身分識別提供者建立信任關係。
當 AD FS 作為身分識別提供者時，會產生預設有效期為一年的簽署憑證。雖然您可以<a href="https://learn.microsoft.com/zh-tw/powershell/module/adfs/set-adfsproperties">變更此持續時間</a>，但在大多數環境中仍然普遍使用該時限。
因此請務必謹記，此啟發式只是一種參考依據，不構成直接的入侵指標 (IoC)，需要與身分識別提供者的有效設定比對確認。相對而言，它更像是展現某些 Entra ID 攻擊中觀察到的行為徵兆，例如 <a href="https://www.microsoft.com/zh-tw/security/blog/2020/12/28/using-microsoft-365-defender-to-coordinate-protection-against-solorigate/#Hands-on-keyboard-activity-on-prem">Solorigate 攻擊</a>。
此外，請務必注意以下限制: 若插入流氓簽署憑證的攻擊者將期限設為一年 (該選項的預設值)，或者持續時間與您環境中的正常簽署憑證相同，曝險指標 (IoE) 無法偵測到異常。

偵測

同盟簽署憑證的有效期出現異常

MEDIUM

版本 202411071130