Sentinel Audit365 by SF2i
Demander un audit EN
Menu

Sécuriser Microsoft 365 : les 5 domaines à auditer

Identité, messagerie, collaboration, documents et fichiers : ce qu'il faut vérifier pour sécuriser le tenant Microsoft 365 d'une TPE ou d'une PME, domaine par domaine, avec les références CIS et ANSSI.

Pourquoi la sécurité de Microsoft 365 n'est pas automatique

Microsoft 365 repose sur un modèle de responsabilité partagée. Microsoft protège ses centres de données, son réseau et ses applications. La façon dont votre tenant est configuré, qui peut se connecter, comment, avec quels droits, et ce qui peut être partagé à l'extérieur, relève de vous.

Or les réglages par défaut privilégient la simplicité d'usage. Un tenant créé il y a quelques années conserve des paramètres hérités, et chaque nouvelle fonctionnalité arrive avec ses propres options. Sans contrôle régulier, l'écart se creuse entre la configuration réelle et les recommandations des référentiels.

C'est ce que mesure un audit de sécurité Microsoft 365 : la conformité de chaque réglage aux référentiels CIS Microsoft 365, ANSSI et Microsoft Security Baseline. Sentinel Audit365 en vérifie plus de 180, regroupés en cinq domaines.

Entra ID : verrouiller les identités

Entra ID (anciennement Azure Active Directory) gère les comptes, l'authentification et les accès conditionnels. Un compte compromis donne accès à la messagerie, aux fichiers et parfois à l'administration du tenant : c'est la première cible des attaquants. Dans notre modèle, Entra ID pèse 37 % du score global, et l'audit y exécute plus de 50 contrôles.

  • MFA de tous les comptes, administrateurs en premier CIS 5.2.2.1CIS 5.2.2.2ANSSI n°13
  • Blocage de l'authentification héritée par accès conditionnel CIS 5.2.2.3ANSSI n°21
  • Nombre d'administrateurs généraux (2 à 5 recommandés) CIS 1.1.3ANSSI n°9
  • Comptes administrateurs cloud uniquement, non synchronisés CIS 1.1.1ANSSI n°9
  • Comptes d'accès d'urgence (break-glass) CIS 1.1.2
  • Méthodes MFA faibles (SMS, appel vocal) CIS 5.2.3.5ANSSI n°13
  • Consentement des utilisateurs aux applications tierces CIS 5.1.5.1
  • Rôle et droits d'invitation des comptes invités CIS 5.1.6.2CIS 5.1.6.3

L'audit analyse aussi les connexions par pays et les applications enregistrées dans le tenant, pour repérer celles qui disposent de droits trop larges ou qui ne servent plus. Si une fonctionnalité n'est pas incluse dans vos licences, le rapport le précise.

Exchange Online : protéger la messagerie

La messagerie reste la porte d'entrée la plus utilisée : hameçonnage, usurpation de domaine, pièces jointes piégées, fraude au président. Exchange Online pèse 45 % du score, et l'audit y consacre plus de 70 contrôles.

  • SPF, DKIM et DMARC de chaque domaine CIS 2.1.8 à 2.1.10ANSSI n°24
  • Politiques anti-phishing, antispam et antimalware CIS 2.1.7CIS 2.1.2
  • Safe Links et Safe Attachments (Defender for Office 365) CIS 2.1.1CIS 2.1.4
  • SMTP AUTH désactivé au niveau de l'organisation CIS 6.5.4ANSSI n°21
  • Redirections automatiques vers l'extérieur CIS 6.2.1
  • Audit des boîtes aux lettres CIS 6.1.1ANSSI n°36

Le détail de ces contrôles est présenté sur la page sécurité de la messagerie Microsoft 365. Vous pouvez aussi tester gratuitement SPF, DKIM et DMARC sur votre domaine.

Teams : maîtriser l'accès externe

Teams concentre réunions, conversations et partages avec l'extérieur. Mal réglé, il permet à des inconnus de rejoindre une réunion sans contrôle, ou à des applications tierces d'accéder aux échanges. Teams pèse 6 % du score.

  • Démarrage des réunions par des participants anonymes CIS 8.5.2
  • Contrôle donné à des participants externes CIS 8.5.7
  • Rôle de présentateur par défaut CIS 8.5.6
  • Applications tierces autorisées CIS 8.4.1
  • Envoi d'e-mails vers les canaux CIS 8.1.2
  • Équipes sans propriétaire ou inactives depuis plus de 6 mois Gouvernance

SharePoint et OneDrive : contrôler le partage

Vos documents vivent dans SharePoint et OneDrive. La question clé : jusqu'où peuvent-ils sortir de l'organisation ? Un lien « accessible à tous » créé par défaut peut exposer un fichier sensible à n'importe qui. SharePoint et OneDrive pèsent ensemble 12 % du score.

  • Niveau de partage externe autorisé CIS 7.2.3
  • Type de lien et permission par défaut CIS 7.2.7CIS 7.2.11
  • Re-partage par les invités CIS 7.2.5
  • Expiration et ré-authentification des accès invités CIS 7.2.9CIS 7.2.10
  • Protocoles d'authentification hérités CIS 7.2.1ANSSI n°21
  • Synchronisation OneDrive limitée aux postes de l'entreprise CIS 7.3.2

Gouvernance et licences : la dette invisible

Certains écarts ne sont pas des failles, mais ils coûtent cher ou compliquent la sécurité : licences attribuées à des comptes inactifs, sièges vacants, abonnements expirés, invités porteurs de licences, sites et équipes abandonnés. Ces contrôles d'optimisation ne pèsent pas dans le score, mais le rapport chiffre les économies possibles, en F CFP ou en euros.

La gouvernance couvre aussi la traçabilité : journal d'audit unifié activé, durée de conservation des journaux, localisation des données.

Les 10 réglages à vérifier en premier

Si vous ne deviez commencer que par dix points, voici l'ordre que nous recommandons. Il suit l'impact sur le risque, pas la facilité.

  1. Imposer le MFA à tous les comptes, en commençant par les administrateurs.
  2. Bloquer l'authentification héritée (IMAP, POP3, SMTP AUTH…), qui contourne le MFA.
  3. Limiter les administrateurs généraux à 2 à 5 comptes nominatifs, cloud uniquement.
  4. Prévoir deux comptes d'accès d'urgence, exclus de l'accès conditionnel et surveillés.
  5. Publier SPF, DKIM et DMARC pour chaque domaine d'envoi, avec un DMARC qui finit en rejet.
  6. Désactiver SMTP AUTH au niveau de l'organisation, sauf besoin applicatif justifié.
  7. Bloquer les redirections automatiques de boîtes aux lettres vers l'extérieur.
  8. Encadrer le consentement aux applications tierces par un workflow d'approbation administrateur.
  9. Restreindre le partage externe SharePoint et OneDrive, avec expiration des accès invités.
  10. Activer et conserver le journal d'audit unifié, pour pouvoir enquêter en cas d'incident.

Pourquoi un audit mensuel plutôt qu'un audit ponctuel

Un audit ponctuel donne une photo. Le mois suivant, un administrateur temporaire est ajouté, une règle de transfert est créée, un site est partagé avec un partenaire : la photo n'est déjà plus vraie.

Sentinel Audit365 repasse chaque mois sur l'ensemble des contrôles. Vous voyez ce qui a changé, ce qui s'est amélioré et ce qui a régressé, avec un historique du score. Les nouveaux écarts sont détectés en quelques semaines, pas en quelques années.

Ce que fait Sentinel Audit365. SF2i le paramètre pour votre tenant, puis l'audit s'exécute automatiquement chaque mois, en lecture seule, et produit un rapport priorisé, en français, avec les actions concrètes à effectuer. Découvrez le contenu du rapport et la méthode de calcul du score.

Prêt à voir ce que cache votre tenant ? Premier rapport sous 48 h.

Un abonnement, un audit automatique chaque mois, sans rien à lancer. Un premier échange suffit pour démarrer. Nous intervenons en Nouvelle-Calédonie, en Polynésie française et en France.

Demander un audit Tester ma messagerie