MS 'Azure Automation' 교차 테넌트 계정 탈취 리스크 급부상

MS ‘Azure Automation’ 기본 설정서 다중기관 계정 탈취 리스크 확산

보안사 Solvo가 Azure Automation의 기본 설정을 분석한 결과, 관리자가 테넌트 간 작업 공유를 허용할 경우 자동 생성되는 서비스 계정이 타 임대 기업 자산에 접근할 수 있어 교차 테넌트 계정 탈취로 이어질 수 있다고 지적한다.
문제의 핵심은 Azure Automation이 워크플로우 실행을 위해 기본적으로 ‘시스템 관리형 ID’를 부여하고 이를 다른 테넌트에서 신뢰할 수 있게 구성할 수 있어, 공격자가 오케스트레이션 스크립트를 악용하면 다수 조직의 클라우드 자원 통제가 동시에 무력화된다는 점이다.
연구진은 취약 구성이 적용된 Automation 계정에서 최소 수십 개 이상의 서드파티 구독과 애플리케이션에 대한 권한 위임 사례를 확인하고, 기본 설정을 유지한 상태에서 잘못된 권한 부여만으로도 조직 간 경계를 넘는 ID 탈취가 가능하다는 점을 실증했다.
국내 공공·금융기관이 디지털서비스 전문계약제도 등을 통해 다수 MSP와 SaaS 사업자의 Azure 자원을 혼합 활용하는 상황에서 교차 테넌트 취약점은 ‘1회 설정 오류가 여러 부처·지자체·공공기관 동시 침해’로 연결될 수 있어, 정부 차원의 클라우드 보안 기준과 감사 체계를 재설계해야 한다.
이번 사례는 제로 트러스트와 N2SF가 강조하는 ‘클라우드 계정 단위 최소권한·테넌트 경계 보호’ 원칙을 위반하는 전형적 구성 이슈로, 국내 보안 산업에선 Azure 전용 설정 점검 도구·관리형 보안 서비스(MSS)·SBOM 기반 클라우드 공급망 진단 등 새로운 서비스 영역을 개척할 기회이자 국정원 기본지침과 KISA 국가사이버안보전략을 연계한 통합 가이드 마련의 계기가 된다.

정부는 공공·금융·기간산업의 Azure 사용 현황을 전수 조사하고, 테넌트 간 자동 권한 위임을 원칙적 금지로 규정하며, 국정원 N2SF·범부처 정보보호 종합대책과 연계한 클라우드 설정 의무 기준과 전문 MS·MSSP 생태계 육성 정책을 병행해야 한다.

주요 용어: Azure Automation(마이크로소프트 클라우드의 작업 자동화·스크립트 실행 서비스), 테넌트(클라우드에서 조직 경계를 구분하는 논리적 구획), 관리형 ID(클라우드 리소스에 자동 부여되는 서비스 계정으로 애플리케이션이 암호 없이 다른 서비스에 접근하도록 하는 기능), 제로 트러스트(네트워크 내부·외부를 불문하고 모든 요청을 검증·최소 권한만 허용하는 보안 모델), N2SF(국가 망 보안체계로 공공업무 정보를 기밀·민감·공개 3등급으로 분류해 연결성과 보안을 동시에 관리하는 한국형 망 보안 체계)

출처: Dark Reading