Les « Comptes de synchronisation d'annuaires » sont un rôle privilégié dans Entra, caché dans les portails Azure et Entra ID. Ils sont généralement désignés pour les comptes de service Microsoft Entra Connect (anciennement Azure AD Connect). Toutefois, des acteurs malveillants peuvent exploiter ce rôle pour des attaques secrètes.

Entra ID dispose du rôle intégré « <a href="https://learn.microsoft.com/fr-fr/entra/identity/role-based-access-control/permissions-reference#directory-synchronization-accounts">Comptes de synchronisation d'annuaires</a> » assigné au(x) compte(s) de service Entra que « <a href="https://learn.microsoft.com/fr-fr/entra/identity/hybrid/connect/whatis-azure-ad-connect">Microsoft Entra Connect</a> » (anciennement « Azure AD Connect ») ou « <a href="https://learn.microsoft.com/fr-fr/entra/identity/hybrid/cloud-sync/what-is-cloud-sync">Microsoft Entra Cloud Sync</a> » (anciennement « Azure AD Connect Cloud Sync ») utilise pour permettre la <a href="https://learn.microsoft.com/fr-fr/entra/identity/hybrid/what-is-inter-directory-provisioning">synchronisation de répertoires</a> depuis Active Directory sur site vers Entra ID dans le cloud.
Les attaquants peuvent attribuer ce rôle à un principal de sécurité dont ils ont le contrôle, tel qu'un utilisateur, un principal de service ou un groupe, afin d'obtenir une élévation de privilèges ou une persistance. En particulier, ce rôle peut intéresser les attaquants pour les raisons suivantes :
<ul>
<li>Il accorde plusieurs autorisations Entra ID sensibles.</li>
<li>Étant donné que ce rôle n'est généralement pas attribué par les administrateurs Entra ID, il reste masqué dans les portails Azure et Entra, absent de la liste des rôles Entra et de la section « Rôles attribués » d'un principal de sécurité. Ces caractéristiques furtives en font un moyen efficace d'effectuer des attaques secrètes.</li>
</ul>
Ce potentiel d'abus a été décrit dans cet article de blog Tenable Research : <a href="https://medium.com/tenable-techblog/stealthy-persistence-with-directory-synchronization-accounts-role-in-entra-id-63e56ce5871b">Persistance furtive avec le rôle « Comptes de synchronisation d'annuaires » dans Entra ID</a>
Cet indicateur d'exposition utilise plusieurs heuristiques pour détecter les principaux de sécurité suspects auxquels ce rôle dangereux est assigné, en particulier lorsqu'ils ne correspondent pas aux comptes de service Entra typiques pour Microsoft Entra Connect ou Microsoft Entra Cloud Sync.

Persistence

Account Manipulation: Additional Cloud Roles

Privilege Escalation

Détections

Attribution du rôle « Comptes de synchronisation d'annuaires » suspecte

HIGH

Version 202404160821