Top 10 des erreurs de configuration Entra ID à corriger en premier
D'un audit à l'autre, les mêmes faiblesses Entra ID reviennent. Aucune n'est exotique — ce sont des écarts ordinaires que les attaquants exploitent activement. Voici les dix à corriger en premier, à peu près par ordre d'impact.
1. L'authentification héritée non bloquée
Les protocoles hérités (POP, IMAP, SMTP AUTH, anciens clients Office) contournent les contrôles modernes, MFA comprise. Les laisser actifs est l'un des écarts les plus exploités sur Entra ID. Bloquez l'authentification héritée par une stratégie d'accès conditionnel — après avoir vérifié dans les journaux de connexion ce qui l'utilise encore.
2. Des comptes privilégiés sans MFA
Les administrateurs généraux et les autres rôles à privilèges sans MFA imposée sont la cible de plus grande valeur de votre tenant. Chaque compte d'administration doit exiger une MFA résistante au hameçonnage, sans exception.
3. Trop d'administrateurs généraux
Plus vous avez d'administrateurs généraux, plus votre surface d'attaque est large. Gardez le nombre minimal, utilisez des rôles au plus juste pour le quotidien, et réservez l'administrateur général aux rares personnes qui en ont réellement besoin.
4. Pas de Privileged Identity Management (PIM)
Un accès privilégié permanent est une dette. PIM rend les rôles à privilèges activables à la demande et limités dans le temps, avec approbation et traçabilité. Sans lui, les droits d'administration sont permanents — et les droits permanents finissent par être détournés.
5. Un accès invité grand ouvert
Les réglages par défaut laissent souvent les utilisateurs externes énumérer bien plus que nécessaire, et les invités échappent fréquemment à la MFA. Restreignez les permissions des invités et exigez la MFA pour les identités externes.
6. Un accès conditionnel faible ou absent
L'accès conditionnel est le moteur de politique d'Entra ID. Les trous — pas de stratégie MFA de base, pas de condition d'appareil ou de localisation, portails d'administration non protégés — laissent la porte entrouverte. Construisez un jeu de stratégies cohérent et relisez-le régulièrement.
7. Une rétention de journaux insuffisante
Si les journaux de connexion et d'audit ne sont pas conservés assez longtemps (ou exportés vers un SIEM), vous ne pouvez pas enquêter après coup. Assurez-vous que la rétention couvre vos besoins d'investigation et de conformité — couramment 180 jours ou plus.
8. Des réglages en libre-service trop permissifs
Des utilisateurs qui peuvent enregistrer des applications, consentir à des applications tierces ou inviter des externes sans supervision créent un flux de risque constant. Resserrez les réglages de libre-service et de consentement, et exigez le consentement administrateur pour tout ce qui est sensible.
9. Des comptes dormants et des identifiants inutilisés
Comptes désactivés mais jamais supprimés, principaux de service inutilisés, identifiants résiduels : la surface d'attaque s'étend silencieusement. Passez-les en revue et nettoyez-les à intervalles réguliers.
10. Aucune stratégie de comptes de secours
Les comptes d'accès d'urgence doivent exister, être exclus des stratégies d'accès conditionnel qui pourraient vous enfermer dehors, utiliser des identifiants forts et uniques, et être surveillés. Se tromper ici, c'est choisir entre le verrouillage total et un super-compte non surveillé.
Comment les repérer vite. Un audit automatisé fait remonter ces dix écarts (et 313 autres) en quelques minutes, classés par criticité, chacun avec sa référence normative et sa remédiation — vous savez donc exactement par où commencer.