Entra ID : sécurité et attaques sur l'IAM cloud

Entra ID est le service de gestion des identités et des accès (IAM) cloud de Microsoft, anciennement connu sous le nom d'Azure Active Directory. Entra ID centralise l'authentification et l'autorisation pour les ressources Microsoft 365, Azure et les applications tierces intégrées via les protocoles OAuth2, OpenID Connect et SAML 2.0. Contrairement à l'Active Directory on-premise, Entra ID ne repose pas sur Kerberos mais sur des tokens JWT (JSON Web Tokens) et des refresh tokens à longue durée de vie. Ce modèle expose des surfaces d'attaque spécifiques : vol de tokens d'accès, abus de consentement OAuth, compromission de Service Principals et escalade via les rôles Entra intégrés. La gestion des identités hybrides, via Azure AD Connect ou Entra Connect Sync, introduit des chemins de pivots entre l'annuaire on-premise et le tenant cloud. Comprendre ces mécanismes est fondamental pour sécuriser les environnements Microsoft modernes.

La détection des attaques sur Entra ID repose principalement sur les journaux Entra ID Sign-in Logs et Audit Logs, accessibles via le portail Azure, Log Analytics ou un SIEM intégré (Microsoft Sentinel). Les événements clés à surveiller incluent les connexions depuis des localisations inhabituelles, les échecs d'authentification répétés (code d'erreur AADSTS50126), les octrois de consentement OAuth à des applications non managées et les modifications de rôles privilegiés (Global Administrator, Privileged Role Administrator). L'événement 'Add member to role' dans les Audit Logs est un indicateur critique d'escalade de privilèges. Les alertes sur les Service Principals avec des credentials nouvellement ajoutés (certificats ou secrets) signalent souvent une persistance post-compromission. Les tentatives de Device Code Phishing génèrent des connexions avec le flux 'urn:ietf:params:oauth:grant-type:device_code', facilement filtrable. Microsoft Defender for Identity et Defender for Cloud Apps complètent la visibilité en détectant les comportements anormaux sur les comptes synchronisés et les applications connectées.

Côté Red Team, Entra ID concentre plusieurs techniques d'attaque à fort impact. Le Device Code Phishing (via l'outil TokenTactics ou AADInternals) permet d'obtenir des tokens valides sans connaître le mot de passe de la victime. L'abus d'applications OAuth malveillantes avec des permissions 'Mail.Read' ou 'Directory.ReadWrite.All' offre un accès persistant difficile à révoquer. Les attaques Pass-the-Token exploitent des refresh tokens volés pour se ré-authentifier sans MFA. L'outil ROADtools permet d'énumérer les objets Entra ID (utilisateurs, groupes, applications, rôles) depuis un token légitime. L'attaque Golden SAML cible les configurations hybrides : en compromettant le certificat ADFS ou le compte AD Connect, un attaquant forge des assertions SAML valides pour n'importe quel utilisateur cloud. Côté durcissement, les contre-mesures prioritaires sont l'activation du Privileged Identity Management (PIM) pour les rôles sensibles, la restriction des consentements OAuth aux applications vérifiées, l'activation du Conditional Access avec contrôle de conformité des devices et la surveillance continue des Service Principals via Microsoft Secure Score et les recommandations Entra ID Protection.