Sécuriser les identités Microsoft 365 : 7 réglages prioritaires
Les mesures de sécurité des identités au meilleur rapport effort-protection sur un tenant Microsoft 365, dans l'ordre où les appliquer.
L'identité est devenue le périmètre
Dans une organisation qui travaille avec Microsoft 365, la quasi-totalité des compromissions passe par un compte utilisateur, pas par une faille technique. Un mot de passe réutilisé, une page de connexion imitée, un consentement accordé à la va-vite : il n'en faut pas davantage.
La bonne nouvelle est que les mesures les plus efficaces sont incluses dans les licences courantes et se configurent en quelques heures.
1. L'authentification multifacteur, sans exception
C'est la mesure au meilleur rendement, et de loin. Deux points font échouer les déploiements :
- Les exceptions permanentes. Un compte de direction ou un compte de service exempté devient la cible prioritaire.
- Le SMS comme méthode par défaut. Privilégiez l'application d'authentification : le SMS reste vulnérable au détournement de ligne.
2. Bloquer l'authentification héritée
Les anciens protocoles de messagerie ne savent pas gérer le multifacteur : ils permettent donc de contourner entièrement la mesure précédente. Vérifiez d'abord ce qui les utilise encore, souvent un copieur multifonction ou une application métier, puis bloquez-les.
3. L'accès conditionnel plutôt que les règles globales
L'accès conditionnel permet de raisonner par situation plutôt que par utilisateur :
- Exiger un appareil conforme pour accéder aux données sensibles
- Exiger le multifacteur en dehors des réseaux de l'entreprise
- Bloquer les connexions depuis les pays où vous n'opérez pas
Créez toujours une exclusion pour au moins un compte d'administration d'urgence, et testez chaque stratégie en mode rapport avant de l'activer.
4. Protéger les comptes d'administration
Les comptes à privilèges méritent un traitement distinct :
- Des comptes d'administration séparés des comptes de travail quotidiens
- Aucune boîte aux lettres ni licence sur ces comptes
- Une élévation temporaire plutôt que des rôles attribués en permanence
- Un inventaire écrit de qui détient quoi, revu chaque trimestre
5. Reprendre la main sur le consentement aux applications
Par défaut, un utilisateur peut autoriser une application tierce à lire ses données. C'est un vecteur d'exfiltration discret et rarement surveillé. Restreignez le consentement utilisateur et mettez en place un circuit de validation par l'administrateur.
6. Surveiller ce qui compte
Activez la journalisation et définissez des alertes sur les événements qui méritent une réaction immédiate :
- Connexion réussie signalée à risque élevé
- Ajout d'un membre à un rôle d'administration
- Création d'une règle de transfert automatique de courrier vers l'extérieur
Ce dernier point est le signal le plus fiable d'une boîte aux lettres compromise.
7. Préparer la réponse avant l'incident
Écrivez la procédure pendant que tout va bien : qui révoque les sessions, qui réinitialise les identifiants, qui prévient la direction, à quel moment. Une procédure d'une page suffit, à condition qu'elle existe avant d'en avoir besoin.
Par où commencer si vous n'avez qu'une journée
Multifacteur généralisé, blocage de l'authentification héritée, alerte sur les règles de transfert externe. Ces trois mesures couvrent l'essentiel des scénarios réellement observés et se mettent en place en une demi-journée sur un tenant de taille moyenne.