Azure AD : sécurité, attaques et défense

Azure AD (rebaptisé Microsoft Entra ID) est le service d'annuaire et de gestion des identités cloud de Microsoft. Azure AD centralise l'authentification et l'autorisation pour les applications SaaS, les ressources Azure et les environnements hybrides. Contrairement à l'Active Directory on-premises basé sur Kerberos et LDAP, Azure AD repose sur des protocoles modernes : OAuth 2.0, OpenID Connect et SAML 2.0. Chaque utilisateur, application ou workload obtient un jeton d'accès signé (JWT) après authentification. Ce jeton porte les claims de rôle et de groupe qui déterminent les droits effectifs. En environnement hybride, Azure AD Connect synchronise les comptes depuis l'AD local vers le tenant cloud, créant un pont critique entre les deux périmètres. La compromission d'un compte à privilèges dans Azure AD — Global Administrator, Privileged Role Administrator ou Application Administrator — donne un accès transverse à l'ensemble du tenant. La surface d'attaque inclut les Service Principals, les Managed Identities, les App Registrations et les tokens de longue durée associés aux Refresh Tokens.

La détection des attaques ciblant Azure AD repose principalement sur les journaux d'audit et de connexion du tenant, ingérés dans Microsoft Sentinel ou un SIEM tiers via l'API Graph ou les connecteurs natifs. Les événements clés à surveiller sont : les connexions depuis des localisations ou ASN inhabituels, les échecs d'authentification massifs (spray de mots de passe), les élévations de rôle soudaines dans le journal 'AuditLogs' (opération 'Add member to role'), et l'ajout de credentials sur un Service Principal existant. Les Refresh Tokens volés génèrent des connexions silencieuses sans MFA challenge : surveiller les événements 'Sign-in' avec 'tokenProtection' absent et 'conditionalAccessStatus' à 'notApplied'. L'outil AADInternals peut simuler ces scénarios en lab. Côté indicateurs de compromission, un Service Principal avec un secret ajouté hors cycle de déploiement est un signal fort. Microsoft Defender for Identity et Defender for Cloud Apps complètent la visibilité en corrélant les comportements latéraux. Les alertes UEBA de Sentinel sur les 'Impossible Travel' et les 'Anomalous Token' sont des détections de premier niveau à activer impérativement.

Les Red Teams ciblent Azure AD selon plusieurs axes techniques. Le Pass-the-Token consiste à extraire un Refresh Token ou un Primary Refresh Token (PRT) depuis un poste Windows joint à Azure AD via des outils comme ROADtoken ou AADInternals, puis à rejouer ce token pour obtenir des access tokens sans déclencher de MFA. L'abus des App Registrations permet d'ajouter un secret sur une application existante disposant de permissions élevées (type 'Application.ReadWrite.All') pour se faire passer pour elle. Le Golden SAML, documenté dans des intrusions réelles, falsifie des assertions SAML signées lorsque l'attaquant contrôle les clés ADFS. Côté durcissement, les contre-mesures prioritaires sont : activer la Token Protection dans les politiques Conditional Access, restreindre les rôles permanents avec Privileged Identity Management (PIM) en mode Just-in-Time, auditer régulièrement les App Registrations et leurs credentials via 'az ad app list', et imposer des Conditional Access policies bloquant les authentifications hors appareils conformes. Désactiver l'authentification héritée (Legacy Auth) supprime un vecteur majeur de contournement du MFA. L'usage de Workload Identity Federation remplace avantageusement les secrets statiques pour les pipelines CI/CD.