> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/cyber-best-practices/fr/guides-de-remediation-des-vulnerabilites/cloud-scan/microsoft-azure-entra-id-microsoft-365.md). # Microsoft Azure / Entra ID / Microsoft 365 Ces constatations s'appliquent aux organisations utilisant les services cloud Microsoft (abonnements Azure, Microsoft 365, Entra ID / Azure Active Directory). ## Utilisateurs à privilèges avec MFA désactivée **Gravité : élevée** ### Ce que cela signifie L'authentification multifacteur (MFA) ajoute une deuxième couche de sécurité lors de la connexion, généralement un code provenant d'une application sur téléphone ou une clé matérielle. Sans MFA, si un attaquant devine ou vole le mot de passe d'un administrateur (par hameçonnage, une faille de données ou une attaque par force brute), il obtient un accès complet à votre environnement cloud sans rien pour l'en empêcher. Cette constatation signale **les comptes administrateur pour lesquels MFA n'est pas activée**. Ce sont les comptes les plus sensibles de votre organisation : un compte administrateur compromis peut entraîner une prise de contrôle totale de vos e-mails, fichiers et infrastructure. ### Ce que l'analyse vérifie L'analyse examine tous les utilisateurs disposant de rôles à privilèges (Administrateur général, Administrateur d'application, Administrateur de la sécurité, etc.) et vérifie s'ils se sont inscrits à MFA. L'alerte se déclenche si un utilisateur à privilèges a MFA désactivée. ### Comment corriger **Option A : activer les paramètres de sécurité par défaut (le plus simple)** Si vous n'avez pas déjà de stratégies d'Accès conditionnel, les paramètres de sécurité par défaut sont le moyen le plus rapide d'imposer MFA à tous les utilisateurs : 1. Accédez à [Entra ID](https://entra.microsoft.com) > `Identité` > `Vue d’ensemble` > `Propriétés`. 2. Cliquez sur `Gérer les paramètres de sécurité par défaut`. 3. Définissez sur `Activé`. **Option B : utiliser l'Accès conditionnel (recommandé pour les grandes organisations)** 1. Accédez à [Entra ID](https://entra.microsoft.com) > `Protection` > `Accès conditionnel`. 2. Cliquez sur `+ Nouvelle stratégie`. 3. Nommez-la : "Exiger MFA pour les administrateurs". 4. Sous `Utilisateurs`: sélectionnez `Rôles de répertoire` et choisissez tous les rôles d'administration (Administrateur général, Administrateur de la sécurité, etc.). 5. Sous `Accorder`: sélectionnez `Exiger l'authentification multifacteur`. 6. Définissez la stratégie sur `Activé` et enregistrez. Après avoir créé la stratégie, chaque administrateur sera invité à configurer MFA lors de sa prochaine connexion. ## Administrateurs fantômes **Gravité : faible** ### Ce que cela signifie Un « administrateur fantôme » est un utilisateur qui dispose de privilèges d'administration sans être un administrateur évident. Il détient des rôles comme « Administrateur des mots de passe » ou « Administrateur du support technique » qui lui confèrent des autorisations importantes (par exemple, réinitialiser le mot de passe de n'importe qui, gérer des applications), mais il peut ne pas être soumis aux mêmes contrôles de sécurité (MFA, revues d'accès) que les administrateurs officiellement reconnus. Le risque est que ces comptes passent sous le radar : ils n'apparaissent pas dans la liste des « Administrateurs généraux », mais un attaquant qui compromet l'un d'entre eux peut tout de même causer de sérieux dégâts, comme réinitialiser le mot de passe d'un Administrateur général et prendre le contrôle de l'ensemble du tenant. ### Ce que l'analyse vérifie L'analyse identifie les utilisateurs affectés à l'un de ces rôles Entra ID : * Administrateur d'application * Administrateur de l'authentification * Administrateur d'application cloud * Administrateur du support technique * Administrateur des mots de passe * Administrateur de l'authentification privilégiée * Administrateur de rôles privilégiés * Administrateur des comptes d'utilisateurs Les utilisateurs qui disposent également du rôle Administrateur général sont exclus (ils sont déjà visibles en tant qu'administrateurs complets). ### Comment corriger 1. Accédez à [Entra ID](https://entra.microsoft.com) > `Rôles et administrateurs`. 2. Cliquez sur chacun des rôles listés ci-dessus. 3. Passez en revue la liste des utilisateurs affectés. Pour chaque utilisateur, demandez : * **Cette personne a-t-elle réellement besoin de ce rôle ?** Sinon, supprimez-le. * **S'agit-il d'une attribution permanente ?** Envisagez d'utiliser [Gestion des identités privilégiées (PIM)](https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/) pour un accès à la demande plutôt que des attributions de rôles permanentes. * **MFA est-elle activée pour cet utilisateur ?** Les administrateurs fantômes doivent avoir les mêmes exigences MFA que les administrateurs complets. ## Pourcentage élevé d'utilisateurs à privilèges **Gravité : moyenne** ### Ce que cela signifie Plus de **10 % de vos utilisateurs** ont des rôles d'administration dans Entra ID. Cela indique que les autorisations d'administration ont été accordées de manière trop large, peut-être par commodité, ou parce qu'un accès temporaire n'a jamais été révoqué. Chaque compte administrateur est un point d'entrée potentiel pour un attaquant. Réduire le nombre d'administrateurs limite le rayon d'impact si un compte est compromis. ### Ce que l'analyse vérifie L'analyse compte le nombre total d'utilisateurs disposant d'un rôle d'administration et le compare au nombre total d'utilisateurs activés. L'alerte se déclenche si le ratio dépasse 10 %. ### Comment corriger 1. Accédez à [Entra ID](https://entra.microsoft.com) > `Rôles et administrateurs`. 2. Pour chaque rôle d'administration, vérifiez qui y est affecté. 3. Supprimez les utilisateurs qui n'ont plus besoin d'un accès administrateur. 4. Pour les utilisateurs qui n'ont besoin d'un accès administrateur qu'occasionnellement, utilisez **Gestion des identités privilégiées (PIM)** pour une élévation à la demande. ## Utilisateurs avec MFA désactivée **Gravité : élevée** ### Ce que cela signifie Certains utilisateurs de votre organisation n'ont pas MFA activée. Sans MFA, un mot de passe volé ou deviné suffit à un attaquant pour accéder à leur boîte aux lettres, leurs fichiers et à toutes les applications auxquelles ils ont accès. C'est ainsi que se produisent la majorité des attaques de compromission de messagerie d'entreprise (BEC) : un attaquant hameçonne le mot de passe d'un utilisateur, se connecte sans MFA, puis envoie des e-mails frauduleux ou vole des données sensibles. ### Ce que l'analyse vérifie L'analyse vérifie l'état d'inscription MFA de tous les utilisateurs activés. Tout utilisateur dont `isMfaRegistered = false` déclenche l'alerte. ### Comment corriger L'approche la plus efficace consiste à imposer MFA à tous les utilisateurs via l'Accès conditionnel ou les paramètres de sécurité par défaut (voir « Utilisateurs à privilèges avec MFA désactivée » ci-dessus pour des instructions étape par étape). Pour vérifier quels utilisateurs n'ont pas MFA : 1. Accédez à [Entra ID](https://entra.microsoft.com) > `Protection` > `Méthodes d'authentification` > `Détails d'inscription de l'utilisateur`. 2. Filtrez par « MFA capable = Non » pour voir qui ne s'est pas inscrit. ## Aucun contact de sécurité défini **Gravité : moyenne** ### Ce que cela signifie Microsoft Defender for Cloud peut détecter les menaces de sécurité dans votre environnement Azure (tentatives de connexion suspectes, logiciels malveillants, services exposés, etc.). Mais si aucune adresse e-mail n'est configurée, ces alertes n'ont nulle part où aller : personne n'est averti, et les attaques peuvent passer inaperçues. ### Ce que l'analyse vérifie L'analyse vérifie qu'au moins une adresse e-mail de contact de sécurité est configurée dans les paramètres de notification de Microsoft Defender for Cloud. ### Comment corriger 1. Accédez au [portail Azure](https://portal.azure.com). 2. Accédez à `Microsoft Defender for Cloud` > `Paramètres de l'environnement`. 3. Sélectionnez votre abonnement. 4. Cliquez sur `Notifications par e-mail`. 5. Renseignez : * **Adresses e-mail supplémentaires :** ajoutez une liste de distribution (par exemple, `security@yourcompany.com`), évitez d'utiliser l'adresse e-mail d'une seule personne. * **Types de notification :** au moins les alertes « Gravité élevée ». 6. Cliquez sur `Enregistrer`. ## Aucun rôle d'administration des verrous de ressources **Gravité : faible** ### Ce que cela signifie Azure **Verrous de ressources** protègent les ressources critiques (bases de données, réseaux virtuels, comptes de stockage) contre la suppression ou la modification accidentelle. Même un administrateur disposant de toutes les autorisations ne peut pas supprimer une ressource verrouillée sans avoir d'abord supprimé le verrou. Cette constatation signifie que personne dans votre organisation ne s'est vu attribuer un rôle spécifiquement dédié à la gestion de ces verrous. Sans responsable, les verrous peuvent ne pas être utilisés de manière cohérente, ou des ressources critiques peuvent rester non protégées. ### Ce que l'analyse vérifie L'analyse recherche un rôle RBAC personnalisé disposant des autorisations nécessaires pour gérer les verrous de ressources (`Microsoft.Authorization/locks/*`). Si aucun rôle de ce type n'existe ou si personne n'y est affecté, l'alerte se déclenche. ### Comment corriger 1. Accédez au [portail Azure](https://portal.azure.com) > `Abonnements` > sélectionnez votre abonnement. 2. Accédez à `Contrôle d'accès (IAM)` > `Rôles` > `+ Ajouter` > `Ajouter un rôle personnalisé`. 3. Créez un rôle avec les autorisations suivantes : ``` Microsoft.Authorization/locks/read Microsoft.Authorization/locks/write Microsoft.Authorization/locks/delete ``` 4. Attribuez ce rôle à un administrateur de confiance. 5. Demandez à cet administrateur d'appliquer **Supprimer les verrous** sur les ressources critiques (bases de données, comptes de stockage, coffres de clés). ## Key Vault non récupérable **Gravité : élevée** ### Ce que cela signifie Azure Key Vault stocke vos secrets, clés de chiffrement et certificats. Si quelqu'un supprime accidentellement (ou malveillamment) un Key Vault, vous perdez tout cela. Sans **la suppression réversible** et **la protection contre la purge** activées, un Key Vault supprimé est perdu à jamais : il n'y a aucune possibilité de récupération. ### Ce que l'analyse vérifie L'analyse vérifie que les deux protections sont activées : * **Suppression réversible :** les Key Vault supprimés sont conservés pendant une période de rétention (90 jours par défaut) et peuvent être récupérés. * **Protection contre la purge :** même après la suppression réversible, le coffre ne peut pas être définitivement effacé pendant la période de rétention. ### Comment corriger 1. Accédez au [portail Azure](https://portal.azure.com) > `Key Vault` > sélectionnez votre coffre. 2. Accédez à `Propriétés`. 3. Activer `Suppression réversible` (remarque : cette option est désormais activée par défaut sur les nouveaux coffres et ne peut pas être désactivée). 4. Activer `Protection contre la purge`. 5. Cliquez sur `Enregistrer`. Pour les coffres existants via Azure CLI : ```bash az keyvault update --name --enable-purge-protection true ``` ## HTTPS non imposé sur App Service **Gravité : élevée** ### Ce que cela signifie Votre App Service Azure (site web ou API) accepte le trafic HTTP non chiffré. Cela signifie que les données échangées entre les utilisateurs et votre application, y compris les identifiants de connexion, les informations personnelles et les jetons de session, peuvent être interceptées par toute personne située sur le trajet réseau. ### Ce que l'analyse vérifie L'analyse vérifie le paramètre `HTTPS uniquement` sur chaque App Service. S'il est défini sur `Désactivé`, l'alerte se déclenche. ### Comment corriger 1. Accédez au [portail Azure](https://portal.azure.com) > `App Services` > sélectionnez votre application. 2. Accédez à `Paramètres` > `Configuration` > `Paramètres généraux`. 3. Définissez `HTTPS uniquement` sur `Activé`. 4. Cliquez sur `Enregistrer`. ## Version TLS non sécurisée sur App Service **Gravité : élevée** ### Ce que cela signifie Votre App Service accepte des connexions utilisant TLS 1.0 ou 1.1, qui sont des protocoles de chiffrement obsolètes présentant des vulnérabilités connues. Les navigateurs modernes et les normes de sécurité exigent TLS 1.2 ou une version ultérieure. ### Ce que l'analyse vérifie La version minimale de TLS configurée sur l'App Service. L'alerte se déclenche si elle est inférieure à 1.2. ### Comment corriger 1. Accédez au [portail Azure](https://portal.azure.com) > `App Services` > sélectionnez votre application. 2. Accédez à `Paramètres` > `Configuration` > `Paramètres généraux`. 3. Définissez `Version minimale de TLS` sur `1.2`. 4. Cliquez sur `Enregistrer`. ## SQL / PostgreSQL / MySQL : l'application de SSL est désactivée **Gravité : élevée** ### Ce que cela signifie Votre serveur de base de données accepte des connexions non chiffrées. Sans application de SSL/TLS, les identifiants et les données envoyés entre votre application et la base de données peuvent être interceptés sur le réseau. ### Comment corriger **Pour Azure Database for MySQL :** 1. Accédez à [portail Azure](https://portal.azure.com) > `Azure Database for MySQL` > sélectionnez votre serveur. 2. Accédez à `Sécurité de la connexion`. 3. Définissez `Imposer la connexion SSL` sur `ACTIVÉ`. 4. Cliquez sur `Enregistrer`. **Pour Azure Database for PostgreSQL :** 1. Accédez à [portail Azure](https://portal.azure.com) > `Azure Database for PostgreSQL` > sélectionnez votre serveur. 2. Accédez à `Sécurité de la connexion`. 3. Définissez `Imposer la connexion SSL` sur `ACTIVÉ`. 4. Cliquez sur `Enregistrer`. ## Conteneur Blob public **Gravité : élevée** ### Ce que cela signifie Un ou plusieurs de vos conteneurs Blob de stockage Azure sont configurés pour **un accès public**, ce qui signifie que n'importe qui sur Internet peut lire les fichiers qu'ils contiennent sans authentification. C'est une source courante de fuites de données. ### Comment corriger 1. Accédez à [portail Azure](https://portal.azure.com) > `Comptes de stockage` > sélectionnez le compte. 2. Accédez à `Configuration`. 3. Définissez `Autoriser l'accès public aux blobs` sur `Désactivé`. 4. Ou, pour corriger des conteneurs individuellement : accédez à `Conteneurs`, sélectionnez le conteneur et modifiez `Niveau d'accès public` sur `Privé`. ## Disques de machine virtuelle non chiffrés **Gravité : élevée** ### Ce que cela signifie Les disques de votre machine virtuelle ne sont pas chiffrés. Si le matériel physique sous-jacent est compromis, mis hors service ou mis au rebut de manière incorrecte, les données sur ces disques pourraient être lues en clair. ### Comment corriger 1. Accédez à [portail Azure](https://portal.azure.com) > `Machines virtuelles` > sélectionnez la machine virtuelle. 2. Accédez à `Disques` > `Paramètres supplémentaires`. 3. Activer `Chiffrement de disque Azure` (ADE) ou `Chiffrement côté serveur avec des clés gérées par le client`. 4. Pour les nouvelles machines virtuelles, activez le chiffrement lors de la création. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.stoik.io/cyber-best-practices/fr/guides-de-remediation-des-vulnerabilites/cloud-scan/microsoft-azure-entra-id-microsoft-365.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.