„Verzeichnissynchronisierungskonten“ ist eine privilegierte Entra-Rolle, die in den Azure- und Entra ID-Portalen ausgeblendet ist und in der Regel für Microsoft Entra Connect (früher Azure AD Connect)-Dienstkonten bestimmt ist. Allerdings können böswillige Akteure diese Rolle für verdeckte Angriffe ausnutzen.

In Entra ID ist die integrierte Rolle „<a href="https://learn.microsoft.com/de-de/entra/identity/role-based-access-control/permissions-reference#directory-synchronization-accounts">Verzeichnissynchronisierungskonten</a>“ den Entra-Dienstkonten zugewiesen, die „<a href="https://learn.microsoft.com/de-de/entra/identity/hybrid/connect/whatis-azure-ad-connect">Microsoft Entra Connect</a>“ (früher „Azure AD Connect“) oder „<a href="https://learn.microsoft.com/de-de/entra/identity/hybrid/cloud-sync/what-is-cloud-sync">Microsoft Entra-Cloudsynchronisierung</a>“ (früher „Azure AD Connect--Cloudsynchronisierung“) verwenden, um die <a href="https://learn.microsoft.com/de-de/entra/identity/hybrid/what-is-inter-directory-provisioning">Verzeichnissynchronisierung</a> aus Active Directory (On-Premises) mit Entra ID (in der Cloud) zu ermöglichen.
Angreifer können diese Rolle einem Sicherheitsprinzipal (z. B. Benutzer, Serviceprinzipal oder Gruppe) zuweisen, den sie kontrollieren, um Rechteausweitung oder Persistenz zu erlangen. Diese Rolle kann insbesondere aus folgenden Gründen für Angreifer interessant sein:
<ul>
<li>Sie gewährt mehrere sensible Entra ID-Berechtigungen.</li>
<li>Da Entra ID-Administratoren diese Rolle in der Regel nicht zuweisen, bleibt sie sowohl im Azure- als auch im Entra-Portal verborgen und fehlt in der Liste der Entra-Rollen und im Abschnitt „Zugewiesene Rollen“ eines Sicherheitsprinzipals. Diese Tarneigenschaft macht sie zu einer effektiven Methode für die Durchführung verdeckter Angriffe.</li>
</ul>
Dieses Missbrauchspotenzial wurde im folgenden Blogbeitrag von Tenable Research beschrieben: <a href="https://medium.com/tenable-techblog/stealthy-persistence-with-directory-synchronization-accounts-role-in-entra-id-63e56ce5871b">Stealthy Persistence with „Directory Synchronization Accounts“ Role in Entra ID</a>
Dieser Indicator of Exposure setzte mehrere Heuristiken zur Erkennung verdächtiger Sicherheitsprinzipale ein, denen diese riskante Rolle zugewiesen wurde, insbesondere wenn sie nicht mit typischen Entra-Dienstkonten für Microsoft Entra Connect oder Microsoft Entra-Cloudsynchronisierung übereinstimmen.

Erkennungen

Verdächtige Zuweisung der Rolle „Verzeichnissynchronisierungskonten”

HIGH

Version 202404160821