Audit de sécurité Microsoft 365 et Entra ID
Vérifier que votre tenant résiste à un compte compromis, pas seulement à un mot de passe faible.
Réponse courte
Audit Microsoft 365 : de quoi s’agit-il, pour qui, à quel prix ?
Revue de configuration et tests offensifs d’un tenant Microsoft 365 : identités et accès conditionnels dans Entra ID, Exchange Online, SharePoint, Teams, Intune, et consentements donnés aux applications. Durée indicative : 3 à 8 jours selon la taille du tenant. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Dans la plupart des compromissions de messagerie, l’attaquant n’a pas deviné un mot de passe : il a obtenu une session valide par hameçonnage : définition, parfois en interceptant le jeton après l’authentification multifacteur : définition, ou il a fait accepter à un utilisateur les droits d’une application malveillante. Un tenant se défend donc moins par la force des mots de passe que par ses règles d’accès, ses rôles et ce que la messagerie autorise en silence.
La mission combine une revue de configuration, menée avec des rôles en lecture seule, et des essais offensifs encadrés. Nous partons de deux hypothèses : un compte utilisateur ordinaire est compromis, puis un compte à privilèges l’est à son tour. À chaque fois, la question est la même : qu’est-ce qui l’arrête, qu’est-ce qui alerte, jusqu’où peut-on aller dans la messagerie, les fichiers et l’annuaire ?
Les recommandations tiennent compte de votre licence. Beaucoup de mesures de protection dépendent du niveau de licence acquis. Le rapport distingue ce qui se corrige sans coût, ce qui demande une licence supérieure et ce qui peut se compenser autrement, pour que le plan reste applicable avec votre budget.
En résumé
- Durée indicative
- 3 à 8 jours selon la taille du tenant
- Prix
- sur devissur devis après cadrage : le prix dépend du nombre de services Microsoft 365 et d’appareils gérés
- Référentiels appliqués
- CIS Microsoft 365 Foundations BenchmarkMITRE ATT&CK (techniques cloud)Bonnes pratiques de sécurité Microsoft EntraCISA SCuBA, bases de référence Microsoft 365
Mission conduite sous autorisation écrite, avec accord de confidentialité et clause d’arrêt immédiat.
Réponse à toute demande sous 24 h ouvrées.
Audit Microsoft 365 : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Identités et authentification
Méthodes d’authentification multifacteur et leur résistance à l’hameçonnage, comptes d’urgence, comptes sans MFA, protocoles d’authentification hérités encore autorisés.
Accès conditionnel et appareils
Politiques d’accès, exclusions oubliées, exigences d’appareil conforme, accès depuis des pays ou des appareils non gérés, durée de vie des sessions.
Rôles privilégiés et invités
Rôles Entra attribués en permanence ou à la demande, administrateurs globaux en trop, comptes invités, comptes synchronisés à privilèges.
Messagerie Exchange Online
Règles de transfert et de redirection, authentification de l’expéditeur (SPF, DKIM, DMARC), délégations de boîtes, flux de messagerie, protection contre l’usurpation.
Partage SharePoint, OneDrive et Teams
Liens de partage anonymes, accès externes, sites hérités sans propriétaire, étiquettes de confidentialité, stockage de documents sensibles.
Applications, consentements et Intune
Applications d’entreprise et consentements accordés, secrets d’applications, autorisations excessives, politiques de conformité et de configuration des appareils.
Audit Microsoft 365 : que livre la mission ?
- Rapport de constats avec la preuve de chaque défaut et le chemin d’attaque qu’il ouvre
- Tableau des écarts par rapport au CIS Benchmark, classés par priorité
- Plan de correction distinguant gratuit, licence supérieure et mesure compensatoire
- Revue des consentements d’applications et des règles de messagerie suspectes
- Restitution avec l’administrateur du tenant et le responsable de la sécurité
- Une passe de vérification des correctifs incluse
Qu’est-ce que cela change pour vous ?
- Un tenant dont les règles d’accès ont été éprouvées, pas seulement lues dans la console
- La fermeture des portes laissées ouvertes par habitude : protocoles hérités, exclusions, partages anonymes
- Un plan exécutable avec la licence que vous avez déjà
Vérification des correctifs incluse
Une passe de contrôle rejoue les preuves d’origine jusqu’à trois mois après le rapport, et produit une attestation de correction.
Audit Microsoft 365 : pour qui est-ce utile ?
- PME et ETI qui ont migré leur messagerie et leurs fichiers vers Microsoft 365 sans revue de sécurité
- Organisations hybrides dont l’annuaire local est synchronisé avec Entra ID
- Entreprises victimes d’une prise de contrôle de compte, d’une fraude au virement ou d’un hameçonnage réussi
- Équipes qui s’apprêtent à déployer un assistant d’IA connecté à la messagerie et aux documents
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Audit Microsoft 365 : combien de temps dure la mission ?
Durée indicative : 3 à 8 jours selon la taille du tenant. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Définir ce qui est testé, ce qui est exclu, et ce qu’une réussite signifierait pour vous.
- 02
Autorisation et règles d’engagement
Aucune requête n’est émise avant une autorisation écrite nominative sur un périmètre explicite.
- 03
Reconnaissance et cartographie
Établir la surface réelle, presque toujours plus large que l’inventaire fourni.
- 04
Tests et exploitation
Vérifier les vulnérabilités connues, puis chercher ce qu’aucun outil ne trouve.
- 05
Rapport et restitution
Deux lectures : une synthèse de décision, un rapport technique actionnable.
- 06
Vérification des correctifs
Vérifier que ce qui a été corrigé l’est bien, sans régression.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Autorisation écrite avant toute requêteNominative, sur un périmètre et une période écrits. Hors périmètre, rien n’est sondé.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Arrêt immédiat sur simple demandeUn contact que vous désignez peut interrompre la mission par un seul message, sans justification.
- Chaque constat est reproduitCe qui ne peut pas être reproduit passe en observation, il n’entre pas dans la liste des vulnérabilités.
- Vérification des correctifs incluseJusqu’à trois mois après le rapport, avec une attestation de correction.
- Un exemple de rapport à lireLa structure réelle d’un rapport, sur un exemple entièrement fictif.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez faire tester, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
Audit Microsoft 365 : ce qu’on nous demande
Faut-il être administrateur général pour auditer notre tenant Microsoft 365 ?
Non, et nous préférons ne pas l’être. La revue se fait avec des rôles en lecture seule, comme lecteur général et lecteur de sécurité, et avec des comptes de test créés pour la mission. Aucun paramètre n’est modifié pendant l’audit. Les rares essais qui supposent un droit d’écriture sont décrits à l’avance, limités à un compte de test et exécutés après votre accord écrit.
Que peut-on corriger avec notre licence actuelle ?
Davantage qu’on ne le croit. Désactiver les protocoles hérités, supprimer les règles de transfert externes, fermer les liens de partage anonymes, retirer des administrateurs globaux superflus ou activer les valeurs par défaut de sécurité ne demandent pas de licence supérieure. Les mesures avancées, comme les accès conditionnels fins ou la gestion des rôles à la demande, dépendent du niveau acquis. Le rapport sépare ces trois cas pour que vous sachiez quoi faire dès la semaine suivante.
L’authentification multifacteur suffit-elle à protéger un compte Microsoft 365 ?
Elle élimine une grande part des attaques par mot de passe volé, mais pas toutes. Un attaquant qui se place entre l’utilisateur et la page de connexion peut récupérer la session une fois l’authentification terminée. Les méthodes résistantes à l’hameçonnage, comme les clés de sécurité FIDO2, et des règles d’accès liées à l’appareil réduisent ce risque. Nous vérifions quelles méthodes sont acceptées chez vous et lesquelles restent contournables.
Un audit du tenant remplace-t-il le score de sécurité de Microsoft ?
Non, il le complète. Le score de sécurité est un indicateur utile, calculé sur des paramètres dont le tenant dispose. Il ne dit pas si un compte compromis peut transférer silencieusement tout un courrier, si un consentement d’application oublié donne accès aux fichiers, ni si vos équipes verraient ces actions. L’audit teste ces scénarios, et il vous indique aussi quels points du score méritent d’être traités en priorité et lesquels peuvent attendre.
Pour comprendre avant de décider
- ArticleSécurité des applications d’IA générative : comprendre l’injection de promptInjection de prompt, fuite de données, agents trop permissifs : les risques d’une application fondée sur un modèle de langage, et comment en limiter les effets.
- ArticleSécurité Microsoft 365 et Entra ID : les points de contrôle prioritairesLes configurations Microsoft 365 et Entra ID qui font la différence : authentification multifacteur, accès conditionnel, rôles d’administration, applications et messagerie, et comment les faire auditer.
Quelles prestations s’y associent ?
Audit Active Directory
Savoir qui peut devenir administrateur du domaine, et par quel chemin.
3 à 10 jours selon la taille de la forêtdès 2 400 €
Audit cloud
Dans le cloud, la plupart des incidents partent d’une mauvaise configuration.
2 à 12 joursdès 1 290 €
Pentest IA et LLM
Savoir ce qu’un utilisateur malveillant peut faire dire et faire faire à votre assistant.
3 à 10 jours selon le nombre d’outils et de sources de donnéessur devis
Réponse à toute demande sous 24 h ouvrées
Faire tester ce périmètre
Trente minutes de cadrage suffisent à savoir si « Audit Microsoft 365 » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Autorisation écrite obligatoire
- Accord de confidentialité systématique
- Vérification des correctifs incluse