Préparer un audit de sécurité Microsoft : périmètre, accès, documents et interlocuteurs
La durée d'un audit est limitée. Chaque demi-journée passée à attendre un accès, à chercher le bon interlocuteur ou à reconstituer un schéma d'architecture est une demi-journée en moins pour l'analyse. Voici comment nous recommandons de préparer un audit de sécurité Entra ID, Microsoft 365 ou Active Directory pour qu'il produise le maximum de valeur.
Cadrer le périmètre et l'objectif
Un audit sans objectif clair produit un rapport générique. Avant de démarrer, il faut répondre à quelques questions simples : pourquoi cet audit maintenant (exigence réglementaire, incident, changement de prestataire, préparation d'une certification) ; quels locataires, forêts et domaines sont inclus ; les filiales et les environnements de test en font-ils partie ; quels sujets sont exclus. Plus le périmètre est précis, plus les constats seront exploitables.
Le format compte aussi : audit de configuration, revue d'architecture, recherche de chemins d'attaque, ou combinaison des trois. Un audit de configuration ne remplace pas un test d'intrusion, et inversement.
Préparer des accès en lecture seule
Un audit de configuration n'a pas besoin de droits d'écriture, et il ne doit pas en avoir. Les accès habituels :
- Entra ID et Microsoft 365 : un compte nominatif doté des rôles Lecteur général et Lecteur de sécurité, soumis à la MFA et aux stratégies d'accès conditionnel ; éventuellement une inscription d'application avec des permissions Microsoft Graph en lecture seule, consentie pour la durée de l'audit puis supprimée ;
- Active Directory : un compte de domaine standard suffit pour lire l'essentiel de l'annuaire ; certaines vérifications (objets de stratégie de groupe, configuration de l'autorité de certification) peuvent nécessiter des accès ponctuels supplémentaires, à discuter ;
- Poste d'audit : un poste joint au domaine ou un accès à une machine d'administration, avec les outils de collecte autorisés au préalable.
Prévenez votre SOC. Les outils de collecte et d'analyse des chemins d'attaque génèrent des requêtes LDAP en volume et peuvent déclencher des alertes de détection. Informez l'équipe de surveillance des dates, des comptes et des machines utilisés, plutôt que de désactiver la détection.
Réunir les documents
Les documents existants évitent de reconstituer ce qui est déjà connu, et permettent de confronter l'intention à la réalité. À rassembler :
- les schémas d'architecture : forêts, approbations, serveurs Entra Connect, fédération, autorités de certification ;
- la liste des comptes d'administration et des comptes de service connus ;
- la politique de sécurité et les procédures d'arrivée et de départ ;
- les rapports des audits précédents et l'état de leurs plans d'action ;
- la liste des prestataires disposant d'accès privilégiés, y compris les relations d'administration déléguée ;
- les incidents de sécurité récents et leurs enseignements.
Mobiliser les bons interlocuteurs
Un audit se nourrit d'entretiens autant que de données. Les interlocuteurs utiles : le responsable de la sécurité, les administrateurs de l'annuaire et du locataire, l'équipe réseau, le prestataire d'infogérance le cas échéant, le délégué à la protection des données pour les sujets de conformité, et un sponsor côté direction qui arbitrera les priorités. Réservez leurs créneaux dès le lancement : c'est souvent l'agenda qui fixe le rythme de l'audit.
Une réunion de lancement courte permet de valider le périmètre, le calendrier, les accès et le canal de communication. Convenez aussi de la conduite à tenir si un constat critique apparaît en cours de mission : un compte d'administration compromis ou une faille exploitable ne doit pas attendre le rapport final, et une alerte immédiate au responsable désigné est préférable. Enfin, évitez autant que possible les grands changements de configuration pendant la collecte : l'audit photographie un état, et un locataire en pleine transformation rend les constats difficiles à interpréter. Si un projet important est en cours, mieux vaut le signaler pour que l'analyse en tienne compte.
Ce que contient le livrable
Un livrable utile se lit à deux niveaux. Une synthèse pour la direction : niveau de risque global, principaux constats, décisions attendues. Puis le détail technique : chaque constat avec sa description, la preuve observée, le risque concret, le niveau de gravité et une recommandation applicable. Une feuille de route ordonne les actions, distinguant mesures rapides et chantiers structurants. Les données brutes et les exports figurent en annexe, pour permettre de rejouer les vérifications.
Ce qu'un audit vérifie
- Que le périmètre et les objectifs ont été validés par écrit avant le démarrage.
- Que les comptes d'audit sont nominatifs, en lecture seule, protégés par MFA et désactivés en fin de mission.
- Que les inscriptions d'applications créées pour l'audit sont supprimées.
- Que les documents et interlocuteurs clés ont été mobilisés.
- Que chaque constat du livrable est étayé par une preuve et assorti d'une recommandation.