Ctrlk
For the complete documentation index, see llms.txt. This page is also available as Markdown.

Microsoft Azure / Entra ID / Microsoft 365

Ces constatations s'appliquent aux organisations utilisant les services cloud Microsoft (abonnements Azure, Microsoft 365, Entra ID / Azure Active Directory).

Utilisateurs à privilèges avec MFA désactivée

Gravité : élevée

Ce que cela signifie

L'authentification multifacteur (MFA) ajoute une deuxième couche de sécurité lors de la connexion, généralement un code provenant d'une application sur téléphone ou une clé matérielle. Sans MFA, si un attaquant devine ou vole le mot de passe d'un administrateur (par hameçonnage, une faille de données ou une attaque par force brute), il obtient un accès complet à votre environnement cloud sans rien pour l'en empêcher.

Cette constatation signale les comptes administrateur pour lesquels MFA n'est pas activée. Ce sont les comptes les plus sensibles de votre organisation : un compte administrateur compromis peut entraîner une prise de contrôle totale de vos e-mails, fichiers et infrastructure.

Ce que l'analyse vérifie

L'analyse examine tous les utilisateurs disposant de rôles à privilèges (Administrateur général, Administrateur d'application, Administrateur de la sécurité, etc.) et vérifie s'ils se sont inscrits à MFA. L'alerte se déclenche si un utilisateur à privilèges a MFA désactivée.

Comment corriger

Option A : activer les paramètres de sécurité par défaut (le plus simple)

Si vous n'avez pas déjà de stratégies d'Accès conditionnel, les paramètres de sécurité par défaut sont le moyen le plus rapide d'imposer MFA à tous les utilisateurs :

  1. Accédez à Entra ID > Identité > Vue d’ensemble > Propriétés.

  2. Cliquez sur Gérer les paramètres de sécurité par défaut.

  3. Définissez sur Activé.

Option B : utiliser l'Accès conditionnel (recommandé pour les grandes organisations)

  1. Accédez à Entra ID > Protection > Accès conditionnel.

  2. Cliquez sur + Nouvelle stratégie.

  3. Nommez-la : "Exiger MFA pour les administrateurs".

  4. Sous Utilisateurs: sélectionnez Rôles de répertoire et choisissez tous les rôles d'administration (Administrateur général, Administrateur de la sécurité, etc.).

  5. Sous Accorder: sélectionnez Exiger l'authentification multifacteur.

  6. Définissez la stratégie sur Activé et enregistrez.

Après avoir créé la stratégie, chaque administrateur sera invité à configurer MFA lors de sa prochaine connexion.

Administrateurs fantômes

Gravité : faible

Ce que cela signifie

Un « administrateur fantôme » est un utilisateur qui dispose de privilèges d'administration sans être un administrateur évident. Il détient des rôles comme « Administrateur des mots de passe » ou « Administrateur du support technique » qui lui confèrent des autorisations importantes (par exemple, réinitialiser le mot de passe de n'importe qui, gérer des applications), mais il peut ne pas être soumis aux mêmes contrôles de sécurité (MFA, revues d'accès) que les administrateurs officiellement reconnus.

Le risque est que ces comptes passent sous le radar : ils n'apparaissent pas dans la liste des « Administrateurs généraux », mais un attaquant qui compromet l'un d'entre eux peut tout de même causer de sérieux dégâts, comme réinitialiser le mot de passe d'un Administrateur général et prendre le contrôle de l'ensemble du tenant.

Ce que l'analyse vérifie

L'analyse identifie les utilisateurs affectés à l'un de ces rôles Entra ID :

  • Administrateur d'application

  • Administrateur de l'authentification

  • Administrateur d'application cloud

  • Administrateur du support technique

  • Administrateur des mots de passe

  • Administrateur de l'authentification privilégiée

  • Administrateur de rôles privilégiés

  • Administrateur des comptes d'utilisateurs

Les utilisateurs qui disposent également du rôle Administrateur général sont exclus (ils sont déjà visibles en tant qu'administrateurs complets).

Comment corriger

  1. Accédez à Entra ID > Rôles et administrateurs.

  2. Cliquez sur chacun des rôles listés ci-dessus.

  3. Passez en revue la liste des utilisateurs affectés. Pour chaque utilisateur, demandez :

    • Cette personne a-t-elle réellement besoin de ce rôle ? Sinon, supprimez-le.

    • S'agit-il d'une attribution permanente ? Envisagez d'utiliser Gestion des identités privilégiées (PIM) pour un accès à la demande plutôt que des attributions de rôles permanentes.

    • MFA est-elle activée pour cet utilisateur ? Les administrateurs fantômes doivent avoir les mêmes exigences MFA que les administrateurs complets.

Pourcentage élevé d'utilisateurs à privilèges

Gravité : moyenne

Ce que cela signifie

Plus de 10 % de vos utilisateurs ont des rôles d'administration dans Entra ID. Cela indique que les autorisations d'administration ont été accordées de manière trop large, peut-être par commodité, ou parce qu'un accès temporaire n'a jamais été révoqué.

Chaque compte administrateur est un point d'entrée potentiel pour un attaquant. Réduire le nombre d'administrateurs limite le rayon d'impact si un compte est compromis.

Ce que l'analyse vérifie

L'analyse compte le nombre total d'utilisateurs disposant d'un rôle d'administration et le compare au nombre total d'utilisateurs activés. L'alerte se déclenche si le ratio dépasse 10 %.

Comment corriger

  1. Accédez à Entra ID > Rôles et administrateurs.

  2. Pour chaque rôle d'administration, vérifiez qui y est affecté.

  3. Supprimez les utilisateurs qui n'ont plus besoin d'un accès administrateur.

  4. Pour les utilisateurs qui n'ont besoin d'un accès administrateur qu'occasionnellement, utilisez Gestion des identités privilégiées (PIM) pour une élévation à la demande.

Utilisateurs avec MFA désactivée

Gravité : élevée

Ce que cela signifie

Certains utilisateurs de votre organisation n'ont pas MFA activée. Sans MFA, un mot de passe volé ou deviné suffit à un attaquant pour accéder à leur boîte aux lettres, leurs fichiers et à toutes les applications auxquelles ils ont accès.

C'est ainsi que se produisent la majorité des attaques de compromission de messagerie d'entreprise (BEC) : un attaquant hameçonne le mot de passe d'un utilisateur, se connecte sans MFA, puis envoie des e-mails frauduleux ou vole des données sensibles.

Ce que l'analyse vérifie

L'analyse vérifie l'état d'inscription MFA de tous les utilisateurs activés. Tout utilisateur dont isMfaRegistered = false déclenche l'alerte.

Comment corriger

L'approche la plus efficace consiste à imposer MFA à tous les utilisateurs via l'Accès conditionnel ou les paramètres de sécurité par défaut (voir « Utilisateurs à privilèges avec MFA désactivée » ci-dessus pour des instructions étape par étape).

Pour vérifier quels utilisateurs n'ont pas MFA :

  1. Accédez à Entra ID > Protection > Méthodes d'authentification > Détails d'inscription de l'utilisateur.

  2. Filtrez par « MFA capable = Non » pour voir qui ne s'est pas inscrit.

Aucun contact de sécurité défini

Gravité : moyenne

Ce que cela signifie

Microsoft Defender for Cloud peut détecter les menaces de sécurité dans votre environnement Azure (tentatives de connexion suspectes, logiciels malveillants, services exposés, etc.). Mais si aucune adresse e-mail n'est configurée, ces alertes n'ont nulle part où aller : personne n'est averti, et les attaques peuvent passer inaperçues.

Ce que l'analyse vérifie

L'analyse vérifie qu'au moins une adresse e-mail de contact de sécurité est configurée dans les paramètres de notification de Microsoft Defender for Cloud.

Comment corriger

  1. Accédez au portail Azure.

  2. Accédez à Microsoft Defender for Cloud > Paramètres de l'environnement.

  3. Sélectionnez votre abonnement.

  4. Cliquez sur Notifications par e-mail.

  5. Renseignez :

    • Adresses e-mail supplémentaires : ajoutez une liste de distribution (par exemple, security@yourcompany.com), évitez d'utiliser l'adresse e-mail d'une seule personne.

    • Types de notification : au moins les alertes « Gravité élevée ».

  6. Cliquez sur Enregistrer.

Aucun rôle d'administration des verrous de ressources

Gravité : faible

Ce que cela signifie

Azure Verrous de ressources protègent les ressources critiques (bases de données, réseaux virtuels, comptes de stockage) contre la suppression ou la modification accidentelle. Même un administrateur disposant de toutes les autorisations ne peut pas supprimer une ressource verrouillée sans avoir d'abord supprimé le verrou.

Cette constatation signifie que personne dans votre organisation ne s'est vu attribuer un rôle spécifiquement dédié à la gestion de ces verrous. Sans responsable, les verrous peuvent ne pas être utilisés de manière cohérente, ou des ressources critiques peuvent rester non protégées.

Ce que l'analyse vérifie

L'analyse recherche un rôle RBAC personnalisé disposant des autorisations nécessaires pour gérer les verrous de ressources (Microsoft.Authorization/locks/*). Si aucun rôle de ce type n'existe ou si personne n'y est affecté, l'alerte se déclenche.

Comment corriger

  1. Accédez au portail Azure > Abonnements > sélectionnez votre abonnement.

  2. Accédez à Contrôle d'accès (IAM) > Rôles > + Ajouter > Ajouter un rôle personnalisé.

  3. Créez un rôle avec les autorisations suivantes :

  1. Attribuez ce rôle à un administrateur de confiance.

  2. Demandez à cet administrateur d'appliquer Supprimer les verrous sur les ressources critiques (bases de données, comptes de stockage, coffres de clés).

Key Vault non récupérable

Gravité : élevée

Ce que cela signifie

Azure Key Vault stocke vos secrets, clés de chiffrement et certificats. Si quelqu'un supprime accidentellement (ou malveillamment) un Key Vault, vous perdez tout cela. Sans la suppression réversible et la protection contre la purge activées, un Key Vault supprimé est perdu à jamais : il n'y a aucune possibilité de récupération.

Ce que l'analyse vérifie

L'analyse vérifie que les deux protections sont activées :

  • Suppression réversible : les Key Vault supprimés sont conservés pendant une période de rétention (90 jours par défaut) et peuvent être récupérés.

  • Protection contre la purge : même après la suppression réversible, le coffre ne peut pas être définitivement effacé pendant la période de rétention.

Comment corriger

  1. Accédez au portail Azure > Key Vault > sélectionnez votre coffre.

  2. Accédez à Propriétés.

  3. Activer Suppression réversible (remarque : cette option est désormais activée par défaut sur les nouveaux coffres et ne peut pas être désactivée).

  4. Activer Protection contre la purge.

  5. Cliquez sur Enregistrer.

Pour les coffres existants via Azure CLI :

HTTPS non imposé sur App Service

Gravité : élevée

Ce que cela signifie

Votre App Service Azure (site web ou API) accepte le trafic HTTP non chiffré. Cela signifie que les données échangées entre les utilisateurs et votre application, y compris les identifiants de connexion, les informations personnelles et les jetons de session, peuvent être interceptées par toute personne située sur le trajet réseau.

Ce que l'analyse vérifie

L'analyse vérifie le paramètre HTTPS uniquement sur chaque App Service. S'il est défini sur Désactivé, l'alerte se déclenche.

Comment corriger

  1. Accédez au portail Azure > App Services > sélectionnez votre application.

  2. Accédez à Paramètres > Configuration > Paramètres généraux.

  3. Définissez HTTPS uniquement sur Activé.

  4. Cliquez sur Enregistrer.

Version TLS non sécurisée sur App Service

Gravité : élevée

Ce que cela signifie

Votre App Service accepte des connexions utilisant TLS 1.0 ou 1.1, qui sont des protocoles de chiffrement obsolètes présentant des vulnérabilités connues. Les navigateurs modernes et les normes de sécurité exigent TLS 1.2 ou une version ultérieure.

Ce que l'analyse vérifie

La version minimale de TLS configurée sur l'App Service. L'alerte se déclenche si elle est inférieure à 1.2.

Comment corriger

  1. Accédez au portail Azure > App Services > sélectionnez votre application.

  2. Accédez à Paramètres > Configuration > Paramètres généraux.

  3. Définissez Version minimale de TLS sur 1.2.

  4. Cliquez sur Enregistrer.

SQL / PostgreSQL / MySQL : l'application de SSL est désactivée

Gravité : élevée

Ce que cela signifie

Votre serveur de base de données accepte des connexions non chiffrées. Sans application de SSL/TLS, les identifiants et les données envoyés entre votre application et la base de données peuvent être interceptés sur le réseau.

Comment corriger

Pour Azure Database for MySQL :

  1. Accédez à portail Azure > Azure Database for MySQL > sélectionnez votre serveur.

  2. Accédez à Sécurité de la connexion.

  3. Définissez Imposer la connexion SSL sur ACTIVÉ.

  4. Cliquez sur Enregistrer.

Pour Azure Database for PostgreSQL :

  1. Accédez à portail Azure > Azure Database for PostgreSQL > sélectionnez votre serveur.

  2. Accédez à Sécurité de la connexion.

  3. Définissez Imposer la connexion SSL sur ACTIVÉ.

  4. Cliquez sur Enregistrer.

Conteneur Blob public

Gravité : élevée

Ce que cela signifie

Un ou plusieurs de vos conteneurs Blob de stockage Azure sont configurés pour un accès public, ce qui signifie que n'importe qui sur Internet peut lire les fichiers qu'ils contiennent sans authentification. C'est une source courante de fuites de données.

Comment corriger

  1. Accédez à portail Azure > Comptes de stockage > sélectionnez le compte.

  2. Accédez à Configuration.

  3. Définissez Autoriser l'accès public aux blobs sur Désactivé.

  4. Ou, pour corriger des conteneurs individuellement : accédez à Conteneurs, sélectionnez le conteneur et modifiez Niveau d'accès public sur Privé.

Disques de machine virtuelle non chiffrés

Gravité : élevée

Ce que cela signifie

Les disques de votre machine virtuelle ne sont pas chiffrés. Si le matériel physique sous-jacent est compromis, mis hors service ou mis au rebut de manière incorrecte, les données sur ces disques pourraient être lues en clair.

Comment corriger

  1. Accédez à portail Azure > Machines virtuelles > sélectionnez la machine virtuelle.

  2. Accédez à Disques > Paramètres supplémentaires.

  3. Activer Chiffrement de disque Azure (ADE) ou Chiffrement côté serveur avec des clés gérées par le client.

  4. Pour les nouvelles machines virtuelles, activez le chiffrement lors de la création.

PrécédentScan Cloud
SuivantAmazon Web Services (AWS)

Mis à jour

Ce contenu vous a-t-il été utile ?