Article · Microsoft 365
Une liste de contrôle de sécurité Microsoft 365 que vous pouvez vraiment appliquer
La plupart des locataires Microsoft 365 ne sont pas compromis par des failles exotiques. Ils le sont par des connexions mal protégées, des comptes dotés de trop de privilèges et des paramètres que personne n’a revus après la mise en place. Cette liste de contrôle passe en revue, dans un ordre logique, les mesures qui comptent le plus pour une petite ou moyenne organisation.
- Publié le
- Lecture de 9 min
Sur cette page
À retenir
- L’identité est la porte d’entrée : imposez l’authentification multifacteur à tous les comptes et adoptez progressivement des méthodes résistantes à l’hameçonnage pour les administrateurs.
- Bloquez les protocoles d’authentification hérités, car ils contournent entièrement les protections modernes à la connexion.
- Utilisez des comptes d’administration distincts, uniquement infonuagiques, avec le rôle le plus restreint qui permet de faire le travail, et limitez à quelques personnes le rôle d’administrateur général.
- Traitez Microsoft Secure Score comme une liste de tâches à évaluer, et non comme une note à maximiser aveuglément.
- Restreignez les liens de partage anonymes, le transfert automatique vers l’externe et le consentement des utilisateurs aux applications tierces.
- Vérifiez que l’audit est activé et publiez des enregistrements SPF, DKIM et DMARC pour qu’il soit plus difficile d’usurper votre domaine.
Commencer par l’identité : authentification multifacteur, paramètres de sécurité par défaut et accès conditionnel
Chaque locataire Microsoft 365 est d’abord protégé par Microsoft Entra ID, le service d’identité derrière chaque connexion. Si un attaquant peut se connecter au nom d’un de vos utilisateurs, la plupart des autres mesures perdent beaucoup de leur utilité. C’est pourquoi l’authentification multifacteur figure en tête de toute liste de contrôle sérieuse, et pourquoi elle doit couvrir tous les comptes, y compris les comptes partagés ou les comptes de service souvent oubliés.
Les locataires qui n’ont pas de licence Entra ID P1 peuvent activer les paramètres de sécurité par défaut (security defaults), un ensemble géré par Microsoft qui exige l’inscription à l’authentification multifacteur, sollicite plus souvent les administrateurs et bloque l’authentification héritée. C’est un plancher raisonnable, mais c’est tout ou rien. Les organisations qui disposent d’Entra ID P1, inclus dans Microsoft 365 Business Premium ainsi que dans les forfaits entreprise E3 et E5, devraient remplacer les paramètres par défaut par des stratégies d’accès conditionnel adaptées à leurs activités.
Voici un ensemble de départ réaliste de stratégies d’accès conditionnel : exiger l’authentification multifacteur pour tous les utilisateurs ; exiger une authentification plus forte, résistante à l’hameçonnage, pour les rôles d’administration ; bloquer l’authentification héritée ; exiger un appareil conforme ou joint en mode hybride pour accéder aux applications sensibles lorsque la gestion des appareils est en place ; et bloquer ou restreindre les connexions provenant de pays où vous n’avez aucun employé, si cela correspond aux déplacements de votre équipe. Créez d’abord les stratégies en mode rapport seulement, examinez les journaux de connexion, puis activez-les.
Conservez toujours deux comptes d’accès d’urgence (comptes « bris de glace ») exclus de l’accès conditionnel, protégés par de longs mots de passe aléatoires ou des clés de sécurité matérielles, rangés en lieu sûr et surveillés pour toute connexion. Sans eux, une stratégie mal configurée peut empêcher tous les administrateurs d’accéder au locataire.
Choisir des méthodes d’authentification plus robustes
Toutes les formes d’authentification multifacteur ne se valent pas. Les attaquants utilisent désormais couramment des trousses d’hameçonnage de type « adversaire au milieu » qui capturent à la fois le mot de passe et le code à usage unique, puis réutilisent le jeton de session.
Application Authenticator avec correspondance de numéros
Les notifications push de Microsoft Authenticator avec correspondance de numéros constituent un bon choix par défaut pour la plupart des employés et sont beaucoup plus difficiles à approuver par erreur qu’un simple bouton « Approuver ».
Méthodes résistantes à l’hameçonnage
Les clés d’accès (passkeys), les clés de sécurité FIDO2 et Windows Hello Entreprise sont liées à la page de connexion légitime et résistent à l’hameçonnage par relais. Accordez-leur la priorité pour les administrateurs, le personnel des finances et la direction.
Abandonner le texto et l’appel vocal quand c’est possible
Les codes envoyés par texto ou par appel valent mieux que rien, mais ils sont vulnérables à l’échange frauduleux de carte SIM et à l’interception. Utilisez la stratégie des méthodes d’authentification pour les désactiver une fois que les utilisateurs ont inscrit une méthode plus forte.
Protéger l’inscription elle-même
Exigez que l’inscription à l’authentification multifacteur se fasse depuis un emplacement de confiance ou un appareil conforme, ou utilisez un passe d’accès temporaire (Temporary Access Pass) à l’intégration, afin qu’un attaquant muni d’un mot de passe volé ne puisse pas inscrire sa propre méthode en premier.
Combler la brèche de l’authentification héritée
L’authentification héritée désigne d’anciens protocoles comme POP, IMAP et SMTP avec authentification de base, qui transmettent un nom d’utilisateur et un mot de passe sans prendre en charge les vérifications modernes d’authentification multifacteur. Microsoft a désactivé l’authentification de base pour la plupart des protocoles d’Exchange Online, mais l’envoi SMTP authentifié, les vieux appareils multifonctions, les numériseurs et certaines applications métier causent encore des exceptions dans bien des petits bureaux.
Consultez les journaux de connexion d’Entra ID et filtrez par application cliente pour voir quels clients hérités se connectent encore. Remplacez les configurations de numérisation vers courriel par une solution prise en charge, comme un connecteur de relais SMTP limité à l’adresse IP de votre bureau ou un service de numérisation moderne, puis bloquez l’authentification héritée au moyen de l’accès conditionnel ou des paramètres de sécurité par défaut. Désactivez SMTP AUTH à l’échelle de l’organisation et ne le réactivez que sur les boîtes aux lettres qui en ont réellement besoin, le temps de trouver une solution de remplacement.
Verrouiller l’accès administrateur
Les comptes d’administration sont les identifiants les plus précieux de votre locataire. Traitez-les différemment des comptes de tous les jours.
Comptes d’administration distincts
Attribuez à chaque administrateur un compte dédié uniquement infonuagique (par exemple admin.prenom@votrelocataire.onmicrosoft.com), sans licence de boîte aux lettres. Ne l’utilisez ni pour lire vos courriels ni pour naviguer sur le Web.
Rôles selon le moindre privilège
Attribuez des rôles précis comme administrateur d’utilisateurs, administrateur Exchange, administrateur du support technique ou administrateur SharePoint plutôt que le rôle d’administrateur général. Microsoft recommande de limiter le nombre d’administrateurs généraux à une poignée de personnes, soit moins de cinq.
Élévation juste-à-temps si la licence le permet
Privileged Identity Management (PIM) exige Entra ID P2, offert avec E5 ou en module complémentaire. Les rôles deviennent admissibles plutôt que permanents : les administrateurs les activent pour une durée limitée, avec une justification et l’authentification multifacteur. Sans P2, révisez manuellement les attributions de rôles chaque trimestre.
Réviser les accès des partenaires et des applications
Vérifiez les relations d’administration déléguée (GDAP) avec tout fournisseur TI, supprimez celles dont vous n’avez plus besoin et passez en revue les applications d’entreprise qui détiennent des autorisations Microsoft Graph à privilèges élevés.
Se servir de Microsoft Secure Score comme d’une liste de tâches priorisée
Microsoft Secure Score, accessible dans le portail Microsoft Defender, énumère des actions recommandées touchant l’identité, les appareils, les applications et les données, avec une estimation de l’effet de chacune sur la note et sur les utilisateurs. C’est un bon moyen de repérer des paramètres auxquels vous n’aviez pas pensé, et l’outil permet de suivre les progrès dans le temps.
Lisez chaque recommandation avant d’agir. Certaines actions exigent des licences que vous n’avez peut-être pas, d’autres ont un effet important sur les utilisateurs, et d’autres encore peuvent être marquées comme couvertes par un outil tiers ou comme un risque accepté, avec une justification écrite. Le but n’est pas d’obtenir une note parfaite, mais d’avoir une décision documentée pour chaque recommandation. Consultez Secure Score chaque mois et après tout changement important, et consignez les actions que vous avez délibérément choisi de ne pas appliquer.
Encadrer le partage, le transfert et le consentement aux applications
Les données quittent généralement un locataire par des fonctions qui font exactement ce pour quoi elles ont été configurées. Ces paramètres méritent une décision réfléchie.
- Partage externe SharePoint et OneDrive : réglez le niveau à l’échelle de l’organisation pour ne permettre le partage qu’avec les invités nouveaux et existants, ou plus strictement, et désactivez les liens « Tout le monde » ou imposez-leur une date d’expiration. Définissez « Personnes de votre organisation » comme type de lien par défaut.
- Accès invité : exigez que les invités s’authentifient, faites expirer l’accès invité et révisez périodiquement les comptes invités dans Entra ID et Teams.
- Transfert automatique : configurez la stratégie de filtrage du courrier indésirable sortant pour bloquer le transfert automatique vers l’externe, puis n’accordez d’exceptions que pour des besoins d’affaires documentés. Les attaquants qui compromettent une boîte aux lettres créent souvent des règles de transfert pour continuer à lire les courriels.
- Consentement des utilisateurs aux applications : empêchez les utilisateurs de consentir à des applications tierces qui demandent l’accès aux données de l’entreprise, et activez le flux de travail de consentement administrateur pour que les demandes soient soumises aux TI.
- Protection contre les menaces par courriel : si vous avez Microsoft Defender pour Office 365 Plan 1 (inclus dans Business Premium), appliquez les stratégies de sécurité prédéfinies Standard ou Stricte afin d’activer uniformément les Liens fiables, les Pièces jointes fiables et la protection contre l’emprunt d’identité.
- Confidentialité et conservation : si vos licences le permettent, publiez des étiquettes de confidentialité pour les documents sensibles et des stratégies de conservation afin de pouvoir récupérer le contenu supprimé pendant la période que vous avez définie.
Activer l’audit et authentifier votre domaine de courriel
Quand un problème survient, c’est le journal d’audit qui permet de comprendre ce qui s’est passé. Vérifiez que la journalisation d’audit unifiée est activée dans Microsoft Purview et que l’audit des boîtes aux lettres est actif pour toutes les boîtes. Microsoft l’active par défaut dans les locataires récents, mais il vaut la peine de le confirmer, surtout dans les locataires plus anciens. La durée de conservation des journaux d’audit dépend de votre licence ; si vous avez besoin d’un historique plus long, prévoyez d’exporter les journaux ou d’acquérir la licence appropriée.
L’authentification du courriel empêche que votre domaine soit utilisé pour usurper votre identité. Publiez un enregistrement SPF qui énumère les services autorisés à envoyer des courriels au nom de votre domaine, activez la signature DKIM pour chaque domaine personnalisé dans le portail Defender et publiez un enregistrement DMARC. Commencez DMARC à p=none avec les rapports activés pour voir qui envoie des courriels en votre nom, corrigez les expéditeurs légitimes comme votre logiciel comptable ou votre plateforme d’infolettres, puis passez à p=quarantine et, à terme, à p=reject. Les grands fournisseurs de messagerie s’attendent de plus en plus à ce que les expéditeurs de gros volumes aient SPF, DKIM et DMARC en place : cette démarche améliore donc aussi la livraison de vos courriels.
Enfin, configurez des stratégies d’alerte pour les événements à risque élevé, comme la création de règles de transfert dans une boîte de réception, l’élévation de privilèges ou la suppression inhabituelle de fichiers, et assurez-vous que quelqu’un reçoit et examine réellement ces alertes pendant les heures d’ouverture.
Procéder par étapes
Inutile de tout faire en une fin de semaine. Un ordre logique serait : authentification multifacteur pour tout le monde, comptes d’accès d’urgence, séparation des comptes d’administration, blocage de l’authentification héritée, puis partage, transfert, audit et authentification du courriel. Notez ce que vous avez modifié et pourquoi, afin que la prochaine personne puisse suivre votre raisonnement.
Questions fréquentes
Les paramètres de sécurité par défaut suffisent-ils pour une petite entreprise ?
Les paramètres de sécurité par défaut constituent une base raisonnable pour les locataires sans Entra ID P1. Ils exigent l’inscription à l’authentification multifacteur et bloquent l’authentification héritée. Si vous avez Business Premium ou un autre forfait comprenant P1, l’accès conditionnel vous offre un contrôle plus fin, par exemple l’exigence d’appareils conformes ou de méthodes plus fortes pour les administrateurs.
Faut-il Microsoft 365 E5 pour bien sécuriser notre locataire ?
Non. La plupart des mesures de cette liste sont offertes dans Microsoft 365 Business Premium, voire dans des forfaits inférieurs. E5 ajoute des fonctions comme Privileged Identity Management et une conservation plus longue des journaux d’audit, que certaines organisations apprécieront, mais l’essentiel n’en dépend pas.
À quelle fréquence devrions-nous revoir les paramètres de sécurité de Microsoft 365 ?
Révisez Secure Score et les attributions de rôles d’administration chaque mois ou chaque trimestre, passez en revue les comptes invités et les liens de partage au moins chaque trimestre, et revoyez l’accès conditionnel chaque fois que vous ajoutez une application, un bureau ou une formule de télétravail.
Le blocage de l’authentification héritée va-t-il empêcher nos imprimantes ou nos applications de fonctionner ?
C’est possible, et c’est pourquoi il faut d’abord consulter les journaux de connexion. Les numériseurs et les anciennes applications qui utilisent SMTP avec authentification de base ont généralement besoin d’un connecteur de relais ou d’une solution de remplacement prise en charge avant que le blocage soit appliqué.
Services connexes
Produits et forfaits
Sachez où en est votre locataire
Une évaluation de sécurité Microsoft 365 examine les stratégies de connexion, les rôles d’administration, le partage et l’authentification du courriel en fonction de cette liste de contrôle, et vous remet une liste écrite et priorisée de correctifs.