Microsoft 365 : sécurité et attaques cloud

Microsoft 365 désigne la suite cloud de Microsoft regroupant Exchange Online, SharePoint, Teams, OneDrive et Azure Active Directory. Sa place centrale dans les systèmes d'information en fait une cible prioritaire pour les attaquants. Les menaces portent sur trois axes principaux : la compromission d'identités via phishing et password spray, l'abus de consentement OAuth pour persister sans mot de passe, et l'exfiltration de données via les APIs Graph et EWS. L'architecture multi-tenant impose une compréhension précise du modèle de permissions Azure AD. Les rôles privilégiés comme Global Admin ou Exchange Admin sont des cibles directes. La fédération d'identités avec ADFS ou des fournisseurs tiers élargit la surface d'attaque au-delà du périmètre cloud. Comprendre Microsoft 365 en profondeur est indispensable pour tout praticien SOC ou Red Team opérant dans des environnements hybrides ou full-cloud.

La détection sur Microsoft 365 repose principalement sur le Unified Audit Log (UAL), activé via le portail Purview ou PowerShell. Les événements clés à surveiller incluent les connexions suspectes (UserLoggedIn, UserLoginFailed), les modifications de règles de boîte mail (New-InboxRule), les délégations d'accès (Add-MailboxPermission) et les consentements OAuth (Add app role assignment to service principal). Microsoft Sentinel et Defender for Cloud Apps permettent d'ingérer ces logs et d'appliquer des règles de détection analytiques. Les indicateurs de compromission typiques sont : une connexion depuis un pays inhabituel suivie immédiatement d'une règle de transfert vers une adresse externe, un accès massif à SharePoint via l'API Graph, ou la création d'une application OAuth avec des permissions Mail.Read et Files.ReadWrite sans validation IT. L'activation de l'audit des boîtes mail (Set-Mailbox -AuditEnabled $true) est indispensable pour couvrir les accès délégués. Les alertes Defender for Office 365 sur les campagnes de phishing complètent ce dispositif.

Côté Red Team, l'attaque Microsoft 365 commence souvent par un password spray contre les endpoints legacy (BasicAuth, ActiveSync, EWS) qui contournent l'authentification multi-facteurs. L'outil AADInternals permet d'énumérer les tenants, d'extraire des tokens et d'abuser des APIs internes. La technique du consent phishing consiste à faire approuver par une victime une application OAuth malveillante disposant de permissions étendues, sans credential volé. Une fois un accès obtenu, ROADtools ou Microsoft Graph Explorer servent à cartographier les rôles et groupes Azure AD. Pour le durcissement, les contre-mesures essentielles sont : désactiver l'authentification basique sur tous les protocols (EWS, IMAP, SMTP), déployer des politiques de Conditional Access bloquant les accès hors appareils conformes, activer le Privileged Identity Management (PIM) pour les rôles sensibles et restreindre le consentement OAuth aux seules applications vérifiées par l'administrateur. L'activation de DMARC, DKIM et SPF sur tous les domaines enregistrés réduit significativement la surface de phishing sortant et entrant.