Microsoft hat zwei versteckte integrierte Entra ID-Rollen für die Active Directory-Synchronisierung entwickelt, die ausschließlich für Entra Connect- oder Entra-Cloudsynchronisierungsdienstkonten vorgesehen sind. Diese Rollen verfügen über implizite privilegierte Berechtigungen, die böswillige Akteure für verdeckte Angriffe ausnutzen können.

Sie können Microsoft Entra ID mit Active Directory synchronisieren, indem Sie entweder <a href="https://learn.microsoft.com/de-de/entra/identity/hybrid/connect/whatis-azure-ad-connect">Microsoft Entra Connect</a> (früher Azure AD Connect) oder <a href="https://learn.microsoft.com/de-de/entra/identity/hybrid/cloud-sync/what-is-cloud-sync">Microsoft Entra-Cloudsynchronisierung</a> (früher Azure AD Connect-Cloudsynchronisierung) verwenden. Microsoft stellt zwei integrierte Rollen bereit, die speziell für die Dienstkonten entwickelt wurden, die von diesen Synchronisierungstools verwendet werden.
<ul>
<li>Die primäre Rolle ist <a href="https://learn.microsoft.com/de-de/entra/identity/role-based-access-control/permissions-reference#directory-synchronization-accounts">Verzeichnissynchronisierungskonten</a> (ID: <code>d29b2b05-8046-44ba-8758-1e26182fcf32</code>). Ihr potenzieller Missbrauch wurde in einem Blog-Beitrag von Tenable Research dargelegt: <a href="https://medium.com/tenable-techblog/stealthy-persistence-with-directory-synchronization-accounts-role-in-entra-id-63e56ce5871b">Stealthy Persistence with "Directory Synchronization Accounts" Role in Entra ID</a>.</li>
<li><a href="https://learn.microsoft.com/de-de/entra/identity/role-based-access-control/permissions-reference#on-premises-directory-sync-account">Konto für On-Premises-Verzeichnissynchronisierung</a> (ID: <code>a92aed5d-d78a-4d16-b381-09adb37eb3b0</code>) ist eine neuere Rolle, die Tenable erstmals im Juli 2024 identifiziert hat. Die Beschreibung ähnelt der Rolle „Verzeichnissynchronisierungskonten“ und die Berechtigungen sind identisch. <a href="https://www.tenable.com/blog/despite-recent-security-hardening-entra-id-synchronization-feature-remains-open-for-abuse#:~:text=What%20about%20the%20new%20On%20Premises%20Directory%20Sync%20Account%20Entra%20role%3F">Tenable Research hat jedoch herausgefunden</a>, dass diese Rolle weder von Microsoft Entra Connect noch von der Entra-Cloudsynchronisierung verwendet wird und dass derzeit keine legitime Verwendung bekannt ist. Dies gibt Anlass zu Bedenken hinsichtlich ihres Zwecks und ihres Missbrauchspotenzials.</li>
</ul>
Angreifer können diese Rollen ausnutzen, indem sie sie Sicherheitsprinzipalen – z. B. Benutzern, Dienstprinzipalen oder Gruppen – zuweisen, die sie kontrollieren. Dadurch wird eine Rechteausweitung oder eine langfristige Persistenz ermöglicht. Diese Rollen sind aus mehreren Gründen besonders attraktiv:
<ul>
<li>Sie bleiben privilegiert. Obwohl Microsoft im Rahmen eines Updates zur Härtung der Sicherheit im August 2024 mehrere sensible Entra ID-Berechtigungen entfernt hat, hat <a href="https://www.tenable.com/blog/despite-recent-security-hardening-entra-id-synchronization-feature-remains-open-for-abuse#:~:text=Directory%20Synchronization%20Accounts%20Entra%20role%20remains%20privileged">Tenable Research herausgefunden</a>, dass diese Rollen über eine spezielle API immer noch implizite Berechtigungen besitzen. Infolgedessen bieten die Rollen weiterhin umfassenden Zugriff.</li>
<li>Sie arbeiten getarnt. Da Administratoren diese Rollen nur selten manuell zuweisen, sind sie sowohl im Azure- als auch im Entra-Portal nicht sichtbar. Sie werden weder in der Liste der Entra-Rollen noch im Abschnitt „Zugewiesene Rollen“ für einen bestimmten Prinzipal angezeigt, was sie ideal für die verdeckte Verwendung macht.</li>
<li>Eine Rolle ist undokumentiert. Microsoft hat die Rolle „Konto für On-Premises-Verzeichnissynchronisierung“ nicht dokumentiert, was das Risiko eines unentdeckten Missbrauchs weiter erhöht.</li>
</ul>
Dieser Indicator of Exposure verwendet die folgende Logik, um verdächtige Sicherheitsprinzipale zu erkennen, die diesen Rollen zugewiesen sind:
<ul>
<li>Für die Rolle „Verzeichnissynchronisierungskonten“: Die Erkennung stützt sich auf mehrere Heuristiken, um Zuweisungen zu identifizieren, die nicht mit den typischen Dienstkonten übereinstimmen, die von Microsoft Entra Connect oder Microsoft Entra-Cloudsynchronisierung verwendet werden.</li>
<li>Für die Rolle „Konto für On-Premises-Verzeichnissynchronisierung“: Jede Zuweisung wird unabhängig von den Bedingungen als verdächtig markiert, da für diese Rolle keine legitime Verwendung bekannt ist.</li>
</ul>

Erkennungen

Verdächtige Zuweisung der Rolle „AD-Synchronisierung”

HIGH

Version 202507230918

Version 202404160821

Version 202507230918 Jul 23, 2025, 9:18 AM Detection (Consider the new "On Premises Directory Sync Account" role in addition to the current "Directory Synchronization Accounts" role) Metadata (Change title from 'Suspicious "Directory Synchronization Accounts" Role Assignment' to 'Suspicious AD Synchronization Role Assignment' given the wider scope) Release: 202507230918
Version 202404160821 Apr 16, 2024, 8:21 AM New Release: 202404160821