Azure API 연결을 위한 지속적 노출 스캐너
다른 누군가가 먼저 찾기 전에, Azure Logic Apps API 연결의 과도한 권한 토큰과 알려진 테넌트 간 공격 경로를 지속적으로 점검합니다.
Claude Code, Cursor 등 코딩 에이전트에 바로 붙여 넣을 수 있는 브리프(영어)입니다.
종합6.5/10
고통7
지불 의향6
타이밍8
시장 공백6
해자6
실현 가능성6
찬성
- 누가 돈을 내나
- Logic Apps와 Power Platform을 많이 쓰는 Azure 중심 대기업(직원 500명 이상)의 클라우드 보안 책임자 또는 AppSec 관리자. 클라우드 보안 posture 예산에서 월 $1–3k를 지출합니다.
- 사람들이 한 말 · 4
- 기사에는 API Connection을 통한 테넌트 간 침해 경로 다섯 가지가 나와 있으며, 이를 통해 피해자의 Key Vault, SQL 데이터베이스, Jira, Salesforce에 접근할 수 있었습니다. 저자는 연결 토큰이 최소 권한으로 범위가 지정되는 경우가 거의 없다고 추측합니다. 기사에서 ↗
- Microsoft는 신고된 버그를 잘못 패치했고, 이후 수정에서 앞선 수정이 다시 깨져 시스템이 다시 취약해졌습니다. 댓글 읽기 ↗
- Azure는 테넌트 간 데이터 노출에서 경쟁사보다 문제가 많아 보이지만, 기업들은 계속 Azure를 도입합니다. 댓글 읽기 ↗
- 발견된 결함은 경로 순회와 IDOR 같은 기본적인 취약점으로, 기능이 출시된 이후 계속 존재했을 가능성이 높습니다. 댓글 읽기 ↗
토론 내용을 요약한 것입니다. 원래 댓글은 링크에서 볼 수 있습니다.
- 경쟁사와 빈틈
CSPM 도구는 일반적인 설정 오류를 잡아내지만, Logic Apps와 API Connection의 공격 표면을 깊이 모델링하는 도구는 없습니다. 예를 들어 DynamicInvoke 형태의 프록시 엔드포인트, host.api.RuntimeUrl 재정의, V1과 V2 연결의 암묵적 접근 권한, 커넥터별 토큰 권한 범위 같은 항목입니다. Defender for Cloud는 바로 이 표면에 대해 불완전한 수정을 계속 내놓는 업체입니다.
- 왜 지금인가
- 한 시리즈에서 하나의 커넥터 하위 시스템에 대한 실제 테넌트 간 공격 다섯 가지가 공개됐고, 수정은 여러 차례 회귀했습니다. 댓글 작성자들은 LLM 기반 취약점 발견으로 이런 유형의 문제가 늘어날 것으로 봅니다. 방어자에게는 일회성 모의해킹이 아니라 지속적인 테스트가 필요합니다.
- 해자 · 6/10
- 수백 종의 Azure 커넥터 유형과 문서화되지 않은 엔드포인트에 대한 규칙과 공격 그래프 라이브러리를 지속적으로 갱신하며, 독자 연구로 만들어집니다. 재현 하네스와 테넌트 텔레메트리가 시간에 따라 쌓여, 일반 CSPM이 빠르게 따라잡기 어렵습니다.
반대
- 레드팀
- CSPM이 이 특정 Logic Apps와 API Connection 공격 표면을 놓친다는 점은 입증되어 있고, 연구에서 실제 악용 가능성도 확인됐습니다. Azure 중심 대기업은 이미 Wiz급 posture 도구에 큰 예산을 씁니다.
- 실패한다면 그 이유
- Microsoft가 API Connection을 근본적으로 재설계해서(관리 ID 또는 V2 강제 적용) 특정 공격 표면이 사라지고, 고객 전환이 그보다 느리게 일어날 수 있습니다.
시작
- 첫 세 단계
- 테넌트의 API 연결을 열거하는 읽기 전용 Azure 감사 도구를 만들고, V1 연결, 광범위한 백엔드 권한이 있는 관리되지 않는 OAuth 토큰, 접근 가능한 동적 엔드포인트를 표시합니다.
- 공개된 공격 유형(DynamicInvoke를 통한 경로 순회, RuntimeUrl 재정의)에 대해, 고객 자신의 연결을 대상으로 안전하고 파괴적이지 않은 점검을 재현합니다.
- 설정이 바뀔 때마다, 그리고 Microsoft가 수정을 배포한 뒤에 점검을 다시 실행하는 대시보드와 알림을 제공하고, 커넥터 토큰 범위를 줄이는 방법에 대한 개선 안내를 함께 제공합니다.
- 원래 토론
- Azure's Weakest Link – Five Full Cross-Tenant Compromises ↗ 329포인트댓글 60개스토리에서링크된 기사
영어에서 번역했습니다. 원문 읽기