Microsoft 365 : les 5 réglages que nous vérifions en premier
MFA, authentification héritée, transferts d'e-mails, administrateurs, journal d'audit : cinq contrôles simples qui ferment les portes les plus utilisées par les attaquants.
Dans la plupart des tests d'intrusion que nous menons, le chemin le plus court vers les données d'une organisation passe par Microsoft 365. Pas besoin d'une faille exotique ni d'un exploit sophistiqué : un réglage oublié suffit souvent.
La messagerie, les documents partagés, les comptes des dirigeants, les accès des prestataires : tout est réuni au même endroit. C'est précisément ce qui en fait la première cible d'un attaquant. Voici les cinq points que nous contrôlons systématiquement en début de mission.
1. Une MFA pour tous, et une MFA résistante au phishing pour les administrateurs
L'authentification multifacteur reste la mesure la plus rentable. Mais toutes les MFA ne se valent pas. Les codes par SMS ou les notifications à valider peuvent être relayés par une page de phishing qui intercepte la session en temps réel.
Pour les comptes à privilèges, nous recommandons une MFA résistante au phishing : clés de sécurité FIDO2 ou passkeys. Elles sont liées au vrai domaine et ne fonctionnent pas sur un site imitateur.
- MFA activée pour l'ensemble des comptes, sans exception « temporaire » oubliée
- Méthodes résistantes au phishing imposées aux administrateurs
- Accès conditionnel pour bloquer les connexions depuis des contextes anormaux
2. L'authentification héritée désactivée
Les anciens protocoles de messagerie ne savent pas gérer la MFA. S'ils restent ouverts, un attaquant qui dispose d'un mot de passe peut contourner complètement la double authentification. C'est l'une des premières choses que nous testons, et l'une des plus fréquemment trouvées.
3. Le transfert automatique des e-mails vers l'extérieur bloqué
Une simple règle de boîte aux lettres qui renvoie discrètement les messages vers une adresse externe : c'est l'outil préféré d'un attaquant qui veut lire vos échanges en silence, préparer une fraude au virement ou exfiltrer des documents sans laisser de trace visible.
Bloquer le transfert automatique vers l'extérieur par défaut, et autoriser seulement les exceptions justifiées, ferme cette porte en quelques minutes.
4. Deux à quatre administrateurs globaux, pas quinze
Chaque compte administrateur global est une clé du royaume. Plus il y en a, plus la surface d'attaque est grande. Nous trouvons régulièrement des tenants avec des dizaines d'administrateurs, souvent d'anciens prestataires ou des comptes de service oubliés.
- Limiter le rôle d'administrateur global à deux à quatre personnes identifiées
- Attribuer des rôles limités pour les tâches courantes (messagerie, utilisateurs, Teams)
- Utiliser l'élévation de privilèges à la demande lorsque c'est possible
5. Le journal d'audit activé, et quelqu'un qui le regarde vraiment
Sans journal d'audit, impossible de savoir ce qui s'est passé après un incident : qui s'est connecté, d'où, qu'est-ce qui a été lu ou modifié. Mais un journal que personne ne consulte ne protège pas davantage. Il faut des alertes sur les événements critiques et une personne chargée de les traiter.
Une heure de travail pour l'essentiel
Ces cinq contrôles représentent souvent une heure de travail pour une équipe informatique, et ils ferment les portes les plus empruntées. Ils ne remplacent pas un audit complet, mais ils changent radicalement le niveau d'effort nécessaire à un attaquant.
Combien sont déjà en place chez vous ? Si vous n'êtes pas certain de la réponse, c'est exactement ce que nous vérifions lors d'un audit de tenant Microsoft 365, avec le regard d'un attaquant.