Une période de validité anormalement élevée pour un certificat de signature de fédération est suspecte, car elle pourrait indiquer qu'un attaquant a obtenu des privilèges élevés dans Entra ID et a créé une porte dérobée via le mécanisme d'approbation de la fédération.

Pour les domaines fédérés, contrairement aux domaines gérés, un fournisseur d'identité tiers tel qu'un serveur Microsoft AD FS gère l'authentification au lieu d'Entra ID. Dans cette configuration, Entra ID établit une relation d'approbation avec le fournisseur d'identité.
Lorsqu'AD FS agit en tant que fournisseur d'identité, il génère des certificats de signature avec une période de validité par défaut d'un an. Bien que vous puissiez <a href="https://learn.microsoft.com/fr-fr/powershell/module/adfs/set-adfsproperties">modifier cette durée</a>, elle reste très courante dans la plupart des environnements.
Par conséquent, il est important de noter que cette heuristique est une indication qui doit être comparée à la configuration effective du fournisseur d'identité, mais n'est pas un indicateur direct de compromission (IoC). Au contraire, elle fournit une indication du comportement observé lors de certaines attaques Entra ID, telles que <a href="https://www.microsoft.com/fr-fr/security/blog/2020/12/28/using-microsoft-365-defender-to-coordinate-protection-against-solorigate/#Hands-on-keyboard-activity-on-prem">Solorigate</a>.
De plus, il est important de noter une limitation : l'IoE ne détectera pas un attaquant qui insère dans votre environnement un certificat de signature malveillant avec une durée d'un an (valeur par défaut de l'option) ou avec la même durée qu'un certificat de signature normal.

Détections

Période de validité inhabituelle du certificat de signature de fédération

MEDIUM

Version 202411071130