Technique
Microsoft Entra ID
Aussi appeléEntra IDAzure ADAzure Active Directory
En résumé
Le service d’annuaire et de gestion des identités et des accès dans le cloud de Microsoft, anciennement Azure Active Directory. Il authentifie les utilisateurs de Microsoft 365 et de nombreuses applications, et applique les politiques d’accès conditionnel.
Microsoft Entra ID, en détail
Entra ID ne remplace pas Active Directory, l’annuaire des réseaux locaux : c’est un service distinct, bien que les deux puissent être synchronisés dans un environnement dit hybride. Il gère les comptes, les groupes, les rôles d’administration, les applications d’entreprise et les consentements accordés aux applications tierces. Il décide, via l’accès conditionnel, d’autoriser, de bloquer ou de renforcer une connexion selon l’utilisateur, l’appareil, le lieu et le risque.
Comme Microsoft 365 est accessible depuis Internet avec un compte, Entra ID est en pratique le périmètre de sécurité du tenant. Les points de contrôle essentiels sont l’authentification multifacteur : définition, les politiques d’accès conditionnel, la limitation des rôles d’administration, la maîtrise des consentements aux applications et la durée de conservation des journaux de connexion.
Qu’est-ce que cela change pour vous ?
Un seul compte compromis suffit à ouvrir messagerie, fichiers et applications. Dans un environnement hybride, la compromission de l’annuaire local peut ouvrir aussi le cloud, et inversement.
Exemple illustratif (fictif)
Imaginons une entreprise de quarante personnes qui a activé l’authentification multifacteur pour tous ses utilisateurs, mais laisse ouvert un ancien protocole d’authentification pour une imprimante. Une campagne d’essais de mots de passe passe par ce protocole et ouvre une boîte aux lettres. La politique d’accès conditionnel qui le bloque tient en quelques minutes de configuration.
La confusion fréquente
Penser qu’Entra ID est Active Directory hébergé chez Microsoft. Les modèles de droits, les protocoles et les chemins d’attaque diffèrent, et un audit doit traiter les deux.
Comment le détecter chez vous ?
- Audit Microsoft 365 : la prestationVérifier que votre tenant résiste à un compte compromis, pas seulement à un mot de passe faible.
- Audit cloud : la prestationDans le cloud, la plupart des incidents partent d’une mauvaise configuration.
Aller plus loin
- ArticleSécurité Microsoft 365 et Entra ID : les points de contrôle prioritairesLes configurations Microsoft 365 et Entra ID qui font la différence : authentification multifacteur, accès conditionnel, rôles d’administration, applications et messagerie, et comment les faire auditer.
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
- ComparatifTest d’intrusion interne ou externe : lequel choisir ?Un test d’intrusion externe part d’Internet, un test interne part d’un poste ou d’un compte déjà dans le réseau. Ce que chacun révèle, son prix d’entrée et dans quel ordre les mener.
Termes liés
- DéfenseAuthentification multifacteur : définitionUne méthode de connexion qui exige au moins deux preuves d’identité de natures différentes : quelque chose que l’on sait (mot de passe), que l’on possède (téléphone, clé de sécurité) ou que l’on est (empreinte).
- DéfenseMoindre privilège : définitionLe principe selon lequel chaque utilisateur, application ou service ne dispose que des droits strictement nécessaires à sa tâche, pour la durée nécessaire.
- DéfenseZero trust : définitionUn modèle d’architecture selon lequel aucune connexion n’est présumée fiable du seul fait de sa provenance, y compris depuis le réseau interne.
- AttaqueChemin d’attaque Active Directory : définitionUne suite de relations de confiance, de droits et de configurations dans Active Directory qui permet de passer d’un compte ou d’une machine compromise à un compte administrateur du domaine.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début