Sécurité
Applications Teams : reprendre la main sur ce que les utilisateurs installent
Paramètres d'applications à l'échelle de l'organisation, stratégies d'autorisation ou gestion centrée sur les applications, applications tierces et autorisations Graph, chargement d'applications personnalisées.
SécuritéCoercition d'authentification et relais NTLM : comprendre le risque et le réduire
Pourquoi forcer un serveur à s'authentifier puis relayer cette authentification reste efficace, et les parades qui comptent : EPA, durcissement d'AD CS, liaison de canal LDAP, filtres RPC.
SécuritéBYOD sans inscription : protéger les données avec les stratégies de protection des applications Intune
Encadrer l'accès à Microsoft 365 depuis les smartphones personnels sans les inscrire : restrictions de transfert, accès conditionnel exigeant une stratégie de protection et effacement sélectif.
SécuritéSecrets, certificats et informations d'identification fédérées : l'hygiène des applications Entra ID
Secrets clients, certificats ou identifiants fédérés : quel type choisir, comment gérer expiration et propriétaires, et pourquoi surveiller les ajouts d'identifiants sur les principaux de service.
SécuritéPièces jointes et liens fiables dans Defender pour Office 365 : ce qui affaiblit vraiment la protection
Stratégies prédéfinies ou personnalisées, remise dynamique, exclusions et listes « ne pas réécrire », couverture de Teams et d'Office : les points à contrôler dans Safe Attachments et Safe Links.
SécuritéLDAP anonyme et « accès compatible pré-Windows 2000 » : fermer les lectures sans authentification
dSHeuristics, membres du groupe « Accès compatible pré-Windows 2000 », sessions nulles : comment un annuaire peut encore se laisser lire sans aucun compte, et comment le refermer.
SécuritéChiffrement des messages Purview : choisir la bonne protection et éviter les pièges
Chiffrer uniquement ou Ne pas transférer, modèles, expérience des destinataires externes, règles de flux pour appliquer le chiffrement : ce qu'il faut savoir avant de généraliser.
SécuritéRègles de flux de messagerie Exchange Online : un angle mort à auditer
Copies cachées, redirections, contournement du filtrage antispam, listes de domaines autorisés : comment les règles de transport deviennent un risque et comment les passer en revue.
SécuritéHameçonnage AiTM : quand la MFA ne suffit plus à protéger les sessions
Les kits d'hameçonnage de type « adversary-in-the-middle » volent les cookies de session après la MFA. Signaux de détection, réponse à incident et vraie parade : la MFA résistante au hameçonnage.
SécuritéConsentement aux applications : fermer la porte aux attaques par octroi de consentement illicite
Restreindre le consentement des utilisateurs, mettre en place le flux de consentement administrateur et passer en revue les autorisations déjà accordées aux applications.
SécuritéComptes d'accès d'urgence Entra ID : les configurer sans créer de porte dérobée
Deux comptes, une authentification résistante au phishing, des exclusions maîtrisées et une alerte sur chaque connexion : la méthode pour des accès d'urgence sûrs.
SécuritéPIM dans Entra ID : en finir avec les rôles d'administration permanents
Comment Privileged Identity Management remplace les rôles d'administrateur permanents par une activation juste-à-temps, justifiée, approuvée et limitée dans le temps.
SécuritéStratégies anti-hameçonnage de Defender pour Office 365 : au-delà des réglages par défaut
Protection contre l'usurpation d'utilisateurs et de domaines, intelligence de boîte aux lettres, usurpation d'identité et stratégies prédéfinies : les réglages qui comptent.
SécuritéSPF, DKIM et DMARC pour Microsoft 365 : la configuration complète, domaine par domaine
Enregistrement SPF, activation des sélecteurs DKIM, montée en puissance de DMARC jusqu'à p=reject et protection des domaines inutilisés : la méthode pas à pas.
SécuritéWindows LAPS : réussir la migration depuis l'ancien LAPS et sécuriser l'accès aux mots de passe
Intégré à Windows depuis avril 2023, Windows LAPS remplace l'ancien Microsoft LAPS : chiffrement, sauvegarde DSRM, Entra ID et actions post-authentification.
SécuritéRègles de boîte et transferts Exchange Online : la persistance préférée des fraudes au virement
Règles qui masquent les réponses, transferts vers l'extérieur, applications OAuth : comment les attaquants se maintiennent dans une boîte compromise, et comment les détecter.
SécuritéKerberoasting : protéger vos comptes de service avant qu'ils ne soient cassés hors ligne
Tout utilisateur du domaine peut demander un ticket pour un compte de service doté d'un SPN et tenter de casser son mot de passe hors ligne. Voici comment s'en prémunir.
SécuritéIdentités de charge de travail : les comptes que personne ne surveille
Principaux de service, secrets, permissions d'application : pourquoi les identités non humaines sont devenues une surface d'attaque majeure d'Entra ID.
SécuritéAS-REP roasting : traquer les comptes sans préauthentification Kerberos
Une simple case cochée, « Ne pas exiger la préauthentification Kerberos », suffit à exposer un mot de passe au cassage hors ligne. Voici comment la repérer et la corriger.
SécuritéProtection par mot de passe Entra : listes interdites, verrouillage intelligent et AD local
Listes globale et personnalisée de mots de passe interdits, verrouillage intelligent, agents sur les contrôleurs de domaine : comment protéger les mots de passe dans le cloud et en local.
SécuritéAdminSDHolder et SDProp : comprendre, auditer et nettoyer les comptes protégés
AdminSDHolder protège les comptes privilégiés d'AD, mais il peut aussi servir de mécanisme de persistance. Audit de son ACL et nettoyage des adminCount orphelins.
SécuritéVol de jetons : ce que le MFA ne couvre plus, et comment réduire la fenêtre
Proxies AiTM et vol de cookies contournent le MFA classique. MFA résistant au phishing, appareil conforme, protection des jetons et CAE réduisent la fenêtre d'exploitation.
SécuritéEntra ID Protection : bien exploiter le risque de connexion et le risque utilisateur
Risque de connexion, risque utilisateur, détections, stratégies d'accès conditionnel basées sur le risque et remédiation : comment tirer parti d'Entra ID Protection sans le subir.
SécuritéSignature LDAP et liaison de canal : fermer la porte aux attaques par relais sur vos DC
Sans signature LDAP ni liaison de canal, une authentification relayée peut modifier l'annuaire. Événement 2889, configuration des DC et plan de déploiement sans casse.
SécuritéEmplacements nommés et blocage par pays : utile, mais jamais suffisant
Ce que le blocage géographique dans l'accès conditionnel protège réellement, ses limites face aux VPN, proxys et IPv6, et pourquoi l'emplacement ne remplace jamais la MFA.
SécuritéAccès externe Teams : quand la fédération ouverte devient un canal de phishing
Accès externe ou accès invité, fédération ouverte, comptes Teams non gérés, participation anonyme aux réunions : les réglages Teams à revoir pour limiter le phishing.
SécuritéAD CS : lire les scénarios ESC1 à ESC8 sans être expert PKI
Modèles de certificats trop permissifs, droits sur la PKI, inscription web en NTLM : les scénarios ESC expliqués simplement, et comment les corriger.
SécuritéSharePoint et OneDrive depuis un appareil non géré : limiter sans bloquer le travail
Accès web limité, synchronisation réservée aux postes du domaine, restrictions appliquées par l'application et déconnexion sur inactivité : maîtriser les appareils non gérés.
SécuritéSignature SMB et suppression de SMBv1 : deux chantiers à mener sans attendre
Le relais vers SMB et SMBv1 restent des vecteurs d'attaque courants. Exiger la signature, auditer puis supprimer SMBv1, et anticiper l'impact sur les performances.
SécuritéGroupes et escalade de privilèges : quand un propriétaire de groupe devient administrateur
Groupes assignables à des rôles, propriétaires, droits Azure et exclusions d'accès conditionnel : comment un simple groupe peut ouvrir un chemin vers un rôle privilégié.
SécuritéSécurité des GPO : permissions, délégation et mots de passe oubliés dans SYSVOL
Qui peut modifier les GPO liées à la racine du domaine ou aux contrôleurs, et que reste-t-il dans SYSVOL ? Méthode de revue des permissions et des secrets oubliés.
SécuritéDélégation Kerberos : trois mécanismes, trois façons de perdre le domaine
Délégation non contrainte, contrainte avec transition de protocole, RBCD : comment un mécanisme d'authentification utile devient un chemin vers l'administration du domaine.
SécuritéExchange Online : SMTP AUTH, POP et IMAP, ces protocoles hérités encore ouverts
L'authentification de base a largement disparu d'Exchange Online, mais SMTP AUTH, POP et IMAP restent souvent actifs par défaut. Comment les fermer sans casser vos imprimantes.
SécuritéGroupes dynamiques Entra ID : quand un attribut mal choisi ouvre les portes
Les règles d'appartenance dynamique reposent sur des attributs que d'autres peuvent influencer. Invités, synchronisation RH, appareils : les risques et les règles de prudence.
SécuritéDCSync : qui détient vraiment les droits de réplication de votre domaine ?
Les droits « Replicating Directory Changes » permettent d'extraire tous les hashs du domaine. Qui doit les détenir, comment repérer les intrus et détecter un DCSync.
SécuritéDélégations de boîtes aux lettres : FullAccess et SendAs, l'accumulation silencieuse
FullAccess, SendAs, SendOnBehalf, droits sur les dossiers : comment les délégations s'empilent au fil des années dans Exchange Online et comment les passer en revue avec PowerShell.
SécuritéHameçonnage par code d'appareil : comprendre l'attaque et bloquer le flux sans casser l'existant
Comment le flux de code d'appareil est détourné pour voler des jetons malgré la MFA, et comment le bloquer avec la condition « flux d'authentification » de l'accès conditionnel.
SécuritéLe serveur Entra Connect est un contrôleur de domaine qui s'ignore
Droits de réplication, agents PTA, compte AZUREADSSOACC : pourquoi le serveur de synchronisation hybride doit être protégé comme un contrôleur de domaine.
SécuritéSpouleur d'impression et contrôleurs de domaine : fermer une porte que personne n'utilise
Pourquoi le spouleur n'a rien à faire sur un contrôleur de domaine, et quelles protections complémentaires rendent inutiles les attaques par authentification forcée.
SécuritéPower Automate : quand un flux de trois clics exfiltre vos données
Connecteurs vers des services personnels, environnement par défaut ouvert à tous, stratégies DLP Power Platform : comment encadrer Power Automate sans étouffer l'innovation.
SécuritéMicrosoft 365 Copilot : le surpartage que vos permissions cachaient jusqu'ici
Copilot n'affiche que ce que l'utilisateur peut déjà ouvrir, mais il rend le surpartage visible. Liens trop larges, « Tout le monde sauf les utilisateurs externes » : que corriger avant le déploiement.
SécuritéRéinitialisation de mot de passe en libre-service : pratique pour vous, pratique pour l'attaquant
Méthodes autorisées, nombre de facteurs, questions de sécurité, stratégie administrateur et réécriture : sécuriser le SSPR pour qu'il ne devienne pas une porte d'entrée.
SécuritéLes groupes privilégiés oubliés : opérateurs, DnsAdmins et autres portes dérobées d'AD
Account Operators, Server Operators, Backup Operators, DnsAdmins… Ces groupes intégrés donnent des droits proches de Domain Admins et devraient, le plus souvent, rester vides.
SécuritéBoîtes aux lettres partagées : bloquez la connexion de leur compte utilisateur
Chaque boîte partagée repose sur un compte Entra ID doté d'un mot de passe. S'il reste actif, c'est une porte d'entrée discrète qu'il faut refermer.
SécuritéAccès inter-locataires : maîtriser qui entre, qui sort et vers quels locataires
Paramètres par défaut, réglages par organisation, confiance MFA, B2B direct connect et restrictions de locataire v2 : reprendre la main sur la collaboration externe.
SécuritéApprobations de domaines et de forêts : filtrage SID, authentification sélective et vieux liens
Sens et transitivité des approbations, filtrage SID, historique SID, authentification sélective et relations avec d'anciens partenaires : comment auditer les frontières de votre AD.
SécuritéExchange, SharePoint, Teams : qui détient vraiment des droits d'administration ?
Les rôles d'annuaire Entra ID ne racontent qu'une partie de l'histoire. Exchange Online, SharePoint et Teams ont leurs propres mécanismes de délégation.
SécuritéPolitiques de mots de passe dans AD : stratégie par défaut, PSO et longueur avant complexité
Stratégie de domaine par défaut, politiques granulaires pour administrateurs et comptes de service, longueur, verrouillage et chiffrement réversible : bâtir une politique cohérente.
SécuritéTrop d'administrateurs globaux : appliquer enfin le moindre privilège dans Entra ID
Pourquoi les administrateurs globaux se multiplient, la recommandation de Microsoft et comment faire correspondre chaque tâche au rôle intégré le moins privilégié.