Auditer la sécurité de Microsoft 365 : les 24 points que nous vérifions

Une entreprise qui utilise Microsoft 365 y a concentré, souvent sans l’avoir décidé, à peu près tout ce qui compte : la messagerie, l’annuaire des comptes, les fichiers partagés et les droits d’administration. Un attaquant qui obtient un compte à privilèges sur ce tenant n’a plus besoin d’entrer dans votre réseau. Il est déjà à l’intérieur de ce qui a de la valeur.

Pourtant, la configuration de sécurité d’un tenant se dégrade silencieusement. Une exception créée pour dépanner un dirigeant en déplacement reste active trois ans. Un prestataire invité conserve son accès après la fin de la mission. Voici les 24 points que nous passons en revue, groupés comme dans le référentiel CIS, et ce que chacun révèle vraiment.

Identité : 7 contrôles

C’est le socle. Si l’identité tombe, le reste suit.

• Security Defaults ou Accès Conditionnel équivalent

  Vérifie qu’une protection de base existe. Beaucoup de tenants ont désactivé les Security Defaults pour déployer de l’Accès Conditionnel, puis ne l’ont jamais terminé. Résultat : plus de filet du tout.

• MFA enregistré pour tous les comptes actifs

  Distinguer « MFA activé » de « MFA réellement enregistré » est essentiel. Un compte à qui l’on a assigné la double authentification sans qu’il l’ait configurée reste vulnérable.

• Nombre de Global Administrators maîtrisé

  La recommandation tient entre deux et quatre. Moins de deux, et vous êtes bloqué si la personne part. Beaucoup plus, et chacun devient une porte d’entrée équivalente.

• Aucun Global Admin sans MFA

  Le contrôle le plus grave en cas d’échec. Un administrateur général sans double authentification annule à peu près toutes les autres mesures.

• Réinitialisation self-service activée

  Sans elle, les réinitialisations passent par le support, par téléphone, avec une vérification d’identité souvent faible. C’est un vecteur classique d’ingénierie sociale.

• Comptes inactifs ou obsolètes

  Les comptes de personnes parties restent des identités valides. Ils ne déclenchent aucune alerte parce que personne ne les surveille.

• Utilisateurs et connexions à risque

  Remonte ce que la détection Microsoft a déjà signalé et que personne n’a traité.

Accès : 7 contrôles

Qui peut faire quoi, depuis où, et avec quelle application.

• MFA obligatoire pour les administrateurs

  Distinct du contrôle précédent : ici on vérifie la politique, pas l’état constaté.

• Authentification héritée bloquée

  Les anciens protocoles ne savent pas présenter de second facteur. Tant qu’ils restent ouverts, ils offrent un contournement complet de la double authentification.

• MFA obligatoire pour tous les utilisateurs

  La couverture partielle est la norme, et c’est précisément le compte non couvert qui sert de point d’entrée.

• Comptes invités inventoriés et restreints

  Les invités s’accumulent au fil des projets. Peu d’organisations savent combien elles en ont.

• Élévation just-in-time des rôles privilégiés

  Un rôle attribué en permanence est exploitable en permanence. L’élévation temporaire réduit la fenêtre.

• Consentement utilisateur aux applications restreint

  Sans restriction, n’importe qui peut autoriser une application tierce à lire sa boîte mail. C’est un vecteur de phishing redoutablement efficace, car la victime approuve elle-même.

• Applications à permissions sensibles

  Inventorie les applications disposant de droits étendus sur le tenant, y compris celles installées et oubliées.

Données : 5 contrôles

• Partage externe SharePoint et OneDrive non anonyme

  Un lien « toute personne disposant du lien » est indexable, transférable et ne s’éteint jamais de lui-même.

• Expiration des liens de partage

  Le partage anonyme est parfois nécessaire. Sans date d’expiration, il devient permanent.

• Accès invité à l’annuaire limité

  Par défaut, un invité peut souvent énumérer vos utilisateurs et vos groupes. C’est une carte de votre organisation offerte à un tiers.

• Aucun usage d’authentification héritée détecté

  Complète le contrôle de politique : on regarde ici les connexions réellement observées.

• Règles de boîte transférant vers l’extérieur

  Signature classique d’une compromission de messagerie : l’attaquant crée une règle qui transfère discrètement le courrier vers une adresse externe.

Journaux : 3 contrôles, et appareils : 2

• Journalisation des connexions disponible

  Sans journaux, une investigation après incident est impossible. On ne saura pas ce qui a été consulté.

• Alertes de sécurité exploitables

  Vérifie que les alertes existent et sont lisibles, pas seulement que le produit est licencié.

• Robustesse des mots de passe non affaiblie

  Certaines configurations désactivent des protections par commodité.

• Inventaire des appareils et non-conformité

  Combien de machines accèdent au tenant, et combien respectent la politique.

• Politiques de conformité définies et assignées

  Une politique existante mais non assignée ne protège rien. C’est un écart fréquent et invisible depuis le tableau de bord.

Auditer une fois ne suffit pas

Un audit ponctuel donne une photographie. Le problème, c’est que la configuration d’un tenant bouge : un administrateur crée une exception, un projet ouvre un partage, une application est autorisée. Trois mois plus tard, le rapport ne décrit plus la réalité.

C’est la raison pour laquelle nous repassons ces contrôles automatiquement, et signalons l’écart au moment où un réglage change plutôt qu’au prochain audit annuel. La valeur n’est pas dans le rapport initial, elle est dans le fait de savoir quand il cesse d’être vrai.