Exchange Hybrid : sécurité des environnements mixtes

Exchange Hybrid désigne une architecture mixte où des serveurs Exchange on-premises coexistent avec Exchange Online (Microsoft 365), reliés par un ensemble de connecteurs, de relations d'organisation et de protocoles d'authentification partagés. La configuration Exchange Hybrid repose sur l'Hybrid Configuration Wizard (HCW), qui déploie des connecteurs SMTP bidirectionnels, active OAuth entre les deux environnements et synchronise les attributs d'annuaire via Azure AD Connect. Cette topologie permet le free/busy, le déplacement de boîtes aux lettres (MRS Proxy) et la coexistence prolongée. Du point de vue cybersécurité, elle représente une surface d'attaque élargie : les flux d'authentification OAuth entre on-premises et cloud, les comptes à privilèges synchronisés, et les connecteurs SMTP constituent autant de chemins d'escalade. Un attaquant qui compromet le serveur Exchange hybride peut pivoter vers le tenant Microsoft 365. Inversement, une compromission cloud peut impacter l'infrastructure locale. La sécurité de cet environnement exige une maîtrise simultanée des deux périmètres.

La détection dans un environnement Exchange Hybrid nécessite une surveillance croisée sur les deux périmètres. Côté on-premises, les journaux IIS des répertoires virtuels EWS, MRS Proxy et Autodiscover sont critiques. L'Event ID 4648 (ouverture de session explicite) et l'Event ID 1309 dans les logs ASP.NET signalent des accès anormaux aux services Exchange. Le suivi des authentifications OAuth entre les serveurs Exchange et Azure AD se fait via les journaux d'audit unifiés de Microsoft 365 (Unified Audit Log), filtrés sur les opérations 'MailboxLogin' et 'Add-MailboxPermission'. Les tentatives de déplacement de boîtes aux lettres non autorisées apparaissent dans les logs MRS (Mailbox Replication Service). Côté Azure AD Connect, surveiller les synchronisations forcées inattendues et les modifications de l'attribut 'msExchRecipientTypeDetails' est essentiel. L'outil HAWK ou l'ancienne version de Microsoft MSERT permettent d'identifier des web shells sur les serveurs hybrides. Un SIEM doit corréler les événements Exchange on-premises avec les alertes Microsoft Defender for Office 365 pour détecter les mouvements latéraux inter-périmètres.

Les serveurs Exchange Hybrid sont des cibles prioritaires en Red Team car ils concentrent des privilèges élevés sur les deux environnements. L'outil MailSniper permet d'énumérer les boîtes aux lettres via EWS sur un serveur hybride mal sécurisé. L'abus de MRS Proxy permet, si les autorisations sont mal configurées, de déplacer des boîtes aux lettres vers un tenant contrôlé par l'attaquant. La relation d'organisation OAuth, si le certificat associé est compromis, ouvre un accès direct aux ressources Exchange Online. Les attaques de type 'ProxyLogon' ou 'ProxyShell' (CVE-2021-26855, CVE-2021-34473) ciblaient précisément les serveurs Exchange hybrides pour déposer des web shells et extraire des tokens d'authentification. Côté durcissement, il faut restreindre l'accès aux répertoires virtuels Exchange aux seules adresses IP légitimes via les règles IIS, désactiver les protocoles d'authentification legacy (NTLM, Basic Auth) sur les endpoints hybrides, activer l'authentification moderne, et auditer régulièrement les permissions MRS Proxy. Le principe de moindre privilège doit s'appliquer strictement aux comptes de service Azure AD Connect et Exchange.