Fiche 08 — Sécurité de la workplace : Microsoft 365, endpoint, messagerie

1. Microsoft 365 — la cartographie à connaître

Brique Rôle sécurité
Entra ID Identités, Conditional Access, PIM, Identity Protection (cf. fiche 06)
Exchange Online Messagerie : anti-spam/anti-malware, règles de transport, audit
Defender for Office 365 Safe Links, Safe Attachments, anti-phishing (usurpation, impersonation), Attack Simulation Training
Defender for Endpoint (MDE) EDR/XDR, ASR rules, gestion des vulnérabilités (TVM)
Defender for Cloud Apps (MDA) CASB / SSPM, découverte du shadow IT, app governance
Defender for Identity (MDI) Détection sur AD on-premises (capteurs sur les DC)
Microsoft Purview Classification & étiquetage (MIP/sensitivity labels), DLP, rétention, eDiscovery, Insider Risk, Communication Compliance, Audit (Standard/Premium)
Intune / Endpoint Manager MDM/MAM, conformité, baselines, chiffrement, déploiement
Microsoft Sentinel SIEM/SOAR (souvent hors périmètre M365 mais couplé)
SharePoint / OneDrive / Teams Partage externe, liens anonymes, gouvernance des sites/équipes
Power Platform Souvent oublié : connecteurs, DLP Power Platform, citizen dev
Copilot / IA Nouveau sujet : le Copilot expose les données sur lesquelles l’utilisateur a des droits → l’oversharing SharePoint devient un risque de fuite. Prérequis : nettoyage des permissions + labels. ⭐

Le top 15 des mesures M365 (livrable classique de mission)

  1. MFA obligatoire pour tous, MFA matériel/FIDO2 pour les administrateurs.
  2. Blocage de l’authentification legacy (POP/IMAP/SMTP basic, EWS legacy).
  3. Conditional Access : appareil conforme ou hybride pour l’accès aux données ; blocage des géographies non utilisées ; sessions limitées sur navigateurs non gérés.
  4. Comptes d’urgence (break-glass) : 2 comptes, exclus des CA, secrets sous scellés, surveillés.
  5. Rôles Entra en PIM (activation JIT, approbation, justification) + Access Reviews.
  6. Restriction du consentement applicatif utilisateur + revue des service principals et de leurs permissions (surtout Mail.ReadWrite, Files.Read.All, Directory.ReadWrite.All).
  7. Audit unifié activé + rétention étendue + export vers le SIEM.
  8. Anti-phishing : Safe Links/Attachments, politiques anti-impersonation sur les VIP, bannière « expéditeur externe », blocage des types de pièces jointes exécutables.
  9. SPF / DKIM / DMARC en p=reject (+ MTA-STS, TLS-RPT) — cf. §3.
  10. Blocage des macros Office provenant d’Internet (et signature des macros internes).
  11. Partage externe maîtrisé : liens « personnes spécifiques » par défaut, expiration des liens anonymes, blocage des domaines non approuvés, revue des invités.
  12. Sensitivity labels + chiffrement des documents les plus sensibles + DLP (au moins en mode audit d’abord) sur les données réglementées.
  13. Rétention & suppression : politiques Purview, litigation hold pour les comptes clés.
  14. Sauvegarde M365 : la corbeille n’est pas une sauvegarde (rétention limitée) → solution tierce si le RPO/RTO l’exige. Attention aux attentes du client sur ce point. ⭐
  15. Désactivation de la création libre de Teams/sites ou gouvernance (naming, expiration, owner).

Outils d’évaluation M365 : Microsoft Secure Score (à interpréter, pas à suivre aveuglément), CISA ScubaGear, Monkey365, Maester, 365Inspect, CIS Microsoft 365 Benchmark. → Excellente réponse à « comment audites-tu un tenant M365 en 5 jours ? »