Emplacements nommés et blocage par pays : utile, mais jamais suffisant
Bloquer les connexions depuis les pays où l'on n'a aucune activité est souvent l'une des premières stratégies d'accès conditionnel mises en place. C'est une mesure raisonnable, à condition de savoir ce qu'elle arrête et ce qu'elle laisse passer.
Deux types d'emplacements nommés
Entra ID permet de définir des emplacements par plages d'adresses IP (IPv4 et IPv6, en notation CIDR) ou par pays et régions. Dans ce second cas, le pays est déterminé à partir de l'adresse IP ou, en option, des coordonnées GPS transmises par Microsoft Authenticator. Une plage IP peut être marquée comme approuvée, ce qui influence notamment l'évaluation du risque par Identity Protection.
Ce que le blocage par pays apporte
Il élimine une partie du bruit : attaques automatisées par pulvérisation de mots de passe depuis des infrastructures étrangères, tentatives opportunistes, connexions issues de réseaux que l'organisation n'a aucune raison de voir. Il réduit la surface exposée et simplifie la lecture des journaux. C'est une couche utile, peu coûteuse à mettre en œuvre.
Ses limites
- VPN et proxys : un attaquant choisit librement le pays de sortie de son trafic. Les kits de hameçonnage modernes relaient d'ailleurs souvent la connexion depuis une infrastructure proche de la victime.
- Géolocalisation imparfaite : les bases de correspondance IP-pays comportent des erreurs, en particulier pour les opérateurs mobiles et les services cloud.
- IPv6 : si vos plages approuvées ne couvrent que l'IPv4 alors que vos sorties Internet utilisent l'IPv6, vos stratégies ne se comportent pas comme prévu.
- Utilisateurs en déplacement : chaque voyage professionnel génère des demandes d'exception, souvent accordées de façon permanente et jamais retirées.
Règle d'or. Un emplacement « de confiance » ne doit jamais dispenser de MFA. Un compte dont le mot de passe est connu et qui se connecte depuis le réseau de l'entreprise, ou via une machine compromise sur ce réseau, reste un compte compromis.
Bien gérer les exceptions
Pour les déplacements, préférez un groupe d'exception dédié, alimenté sur demande et avec une date de fin, plutôt que l'exclusion ponctuelle d'utilisateurs directement dans la stratégie. Les revues d'accès, ou l'appartenance éligible via PIM pour les groupes, permettent d'éviter que ces exceptions deviennent permanentes. Conservez également l'option « inclure les pays et régions inconnus » dans votre réflexion : une adresse non géolocalisée n'est pas pour autant légitime.
Anciens paramètres à ne pas oublier
Les paramètres de service de la MFA héritée contiennent une liste d'adresses IP approuvées qui peuvent contourner la MFA. Elles sont souvent oubliées lors de la migration vers l'accès conditionnel. Vérifiez que cette liste est vide, ou strictement justifiée.
Ce qu'un audit vérifie
- Les stratégies qui accordent un accès sans MFA sur la base de l'emplacement.
- Les plages IP marquées comme approuvées et leur pertinence, IPv6 comprise.
- Les exclusions d'utilisateurs dans les stratégies géographiques.
- Les adresses approuvées dans les paramètres hérités de la MFA.