{"id":84571,"date":"2022-02-10T09:56:29","date_gmt":"2022-02-10T08:56:29","guid":{"rendered":"https:\/\/blog.teamy.be\/?p=84571"},"modified":"2024-05-19T20:03:50","modified_gmt":"2024-05-19T18:03:50","slug":"microsoft-365-la-protection-des-comptes-administrateur","status":"publish","type":"post","link":"https:\/\/blog.teamy.be\/index.php\/2022\/02\/10\/microsoft-365-la-protection-des-comptes-administrateur\/","title":{"rendered":"Microsoft 365, la protection des comptes Administrateur"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Du fait de sa\npopularit\u00e9, la plateforme Microsoft 365 est une cible de choix pour les\npirates.  La technique la plus courante\npour s’attaquer \u00e0 cette plateforme est le phishing (hame\u00e7onnage).  C’est une des fraudes les plus anciennes\nconnue sur Internet, et qui reste la plus efficace.  Souvent sur base d’un courrier frauduleux,\nl’utilisateur est amen\u00e9 \u00e0 cliquer sur un lien qui va r\u00e9v\u00e9ler des informations\nd’identit\u00e9s qui vont aboutir \u00e0 une usurpation d’identit\u00e9.  Le cybercriminel obtient par ce biais un\nacc\u00e8s \u00e0 votre plateforme.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Si l’usurpation d’identit\u00e9 touche un compte administrateur avec des privil\u00e8ges \u00e9lev\u00e9s, cela peut amener \u00e0 une situation tr\u00e8s probl\u00e9matique.<\/p>

Voici quelques conseils pour prot\u00e9ger vos comptes administrateurs !<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La double identit\u00e9<\/span><\/p>

\u00a0Vos administrateurs, doivent avoir deux comptes Microsoft 365, un compte utilisateur pour les op\u00e9rations courantes n\u00e9cessitant l’utilisation des outils Office, et un compte d\u00e9di\u00e9 pour les op\u00e9rations d’administration.<\/span>\u00a0 <\/span>Ces comptes d’administration<\/span>\u00a0 <\/span>n’ont pas besoin de licence, nul besoin de boite mail sur ces comptes.<\/span>\u00a0 <\/span>Ceci est la base, car on \u00e9vitera d\u00e9j\u00e0 ainsi que ces comptes soient li\u00e9s \u00e0 des appareils qui synchronisent des donn\u00e9es en local (courrier, OneDrive, etc \u2026)<\/span><\/p>

\u00a0<\/p>

\u00a0<\/p>

\"Admin<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Diviser pour mieux administrer<\/span><\/p>

\u00a0Microsoft 365 offre diff\u00e9rents r\u00f4les d’administration, m\u00eame s’il est tentant en tant qu’administrateur d’avoir les pleins pouvoirs, cela est risqu\u00e9. Si votre identit\u00e9 est usurp\u00e9e, le criminel aura les pleins pouvoirs.<\/span>\u00a0 <\/span>Si vous avez plusieurs administrateurs sur votre plateforme, ont-ils vraiment tous besoins des pleins pouvoirs ?<\/span>\u00a0 <\/span>Pensez \u00e0 d\u00e9l\u00e9guer les droits en fonction de leurs besoins r\u00e9els.<\/span><\/p>

\u00a0<\/p>

\u00a0<\/p>

\"C))<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L’authentification forte<\/span><\/p>

\u00a0L’authentification \u00e0\u00a0plusieurs facteurs est un bon moyen de prot\u00e9ger vos comptes, tous vos\u00a0comptes.<\/span>\u00a0 <\/span>Cette m\u00e9thode peut tout de m\u00eame\u00a0s’av\u00e9rer contraignante pour vos utilisateurs.<\/span>\u00a0\u00a0<\/span>Mais elle est n\u00e9cessaire pour vos administrateurs.<\/span>\u00a0 <\/span>Pour les comptes d’administration ‘courants’,\u00a0ceux utilis\u00e9s quotidiennement, il est vivement conseill\u00e9 d’activer le MFA.<\/span><\/p>

\u00a0<\/p>

\"PROCESSING\"<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Vos lignes de d\u00e9fense<\/span><\/p>

Lors de la cr\u00e9ation\u00a0de votre solution Microsoft 365, vous avez aussi cr\u00e9er un premier compte\u00a0d’administration, qui a les pleins pouvoirs.\u00a0\u00a0Garder ce compte avec pr\u00e9caution, ne lui attribuer aucune licence, et ne\u00a0l’utilisez pas dans vos op\u00e9rations quotidiennes.\u00a0 Et surtout, ne changez pas son identifiant,\u00a0laissez-le sur le domaine onmicrosoft.com.\u00a0\u00a0Il vous servira comme bou\u00e9e de secours ultime, si tous les autres\u00a0comptes d’administration ont \u00e9t\u00e9 pirat\u00e9s.\u00a0Pensez \u00e0 changer son mot de passe r\u00e9guli\u00e8rement, tous les mois, ou au\u00a0moins 2x par an !\u00a0 Conserver ce mot de\u00a0passe dans un syst\u00e8me prot\u00e9g\u00e9, un coffre-fort de mot de passe comme 1Password<\/a><\/p>


Je vous recommande\u00a0<\/span>aussi de cr\u00e9er un deuxi\u00e8me compte administrateur g\u00e9n\u00e9ral de secours, toujours\u00a0<\/span>sans licence mais sur votre domaine d’exploitation. Il vous servira de premi\u00e8re\u00a0ligne de secours.<\/span>\u00a0<\/span><\/p>

\u00a0<\/p>

Concernant\u00a0l’authentification forte, personnellement, je n’applique pas de MFA sur ces\u00a0deux comptes.\u00a0 Car en cas d’attaque\u00a0criminelle, je souhaite pouvoir lancer une s\u00e9rie de scripts PowerShell tr\u00e8s\u00a0rapidement pour minimiser au maximum les impacts d’une attaque.\u00a0 Et le MFA est un s\u00e9rieux frein aux scripts\u00a0PowerShell.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Trousse de secours<\/span><\/p>\n

 En cas de cyber attaque, il faut pouvoir r\u00e9agir tr\u00e8s rapidement.<\/span>  <\/span>En tant qu’administrateur, vous devez avoir une s\u00e9rie de scripts PowerShell \u00e0 ex\u00e9cuter pour op\u00e9rer des op\u00e9rations de contre-attaque.<\/span>  <\/span>Ces scripts doivent \u00eatre ex\u00e9cuter via votre premi\u00e8re ligne de secours, si c’est encore possible, sinon via le compte de secours ultime, en esp\u00e9rant que la force soit avec vous.<\/span> <\/span><\/p>\n

Les op\u00e9rations \u00e0 effectuer avec votre compte d’administration de 1ere ligne, si votre 1ere ligne de secours est op\u00e9rationnelle !<\/p>


<\/p>\n

\n<\/p>

    \n
  • Modifier manuellement le mot de passe de votre compte administrateur initial<\/span><\/li>\n
  • Bloquer tous les comptes utilisateurs autres que vos deux comptes de secours<\/span><\/li>\n
  • R\u00e9voquer toutes les sessions de tous vos comptes utilisateurs except\u00e9 vos deux comptes de secours<\/span><\/li>\n
  • D\u00e9sactiver le service de R\u00e9initialisation des mots de passe pour tous vos utilisateurs<\/span><\/li>\n
  • Changez les mots de passe de tous vos comptes utilisateurs en for\u00e7ant le changement de mot de passe \u00e0 la 1ere connexion<\/span><\/li>\n
  • R\u00e9initialiser les processus MFA si ceux-ci sont actifs<\/span><\/li>\n<\/ul>\n

     Les op\u00e9rations \u00e0 effectuer avec votre compte d’administration de 2eme ligne, si votre 1ere ligne de secours n’est pas op\u00e9rationnelle !<\/span><\/p>


    <\/span><\/p>\n

    \n<\/p>

      \n
    • Modifier manuellement le mot de passe de votre compte administrateur initial<\/span><\/li>\n
    • Bloquer tous les comptes utilisateurs except\u00e9 votre compte d’administration initial<\/span><\/li>\n
    • R\u00e9voquer toutes les sessions de tous vos comptes utilisateurs <\/span><\/li>\n
    • D\u00e9sactiver le service de R\u00e9initialisation des mots de passe pour tous vos utilisateurs<\/span><\/li>\n
    • Changez les mots de passe de tous vos comptes utilisateurs en for\u00e7ant le changement de mot de passe \u00e0 la 1ere connexion<\/span><\/li>\n
    • R\u00e9initialiser les processus MFA si ceux-ci sont actifs<\/span><\/li>\n<\/ul>\n

      \n<\/p>

      \n<\/p>\n

      <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

      \n\t\t\t\t\t\t
      \n\t\t\t\t\t
      \n\t\t\t
      \n\t\t\t\t\t\t
      \n\t\t\t\t
      \n\t\t\t\t\t\t\t
      \n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
      \n\t\t\t\t\t\t
      \n\t\t\t\t\t
      \n\t\t\t
      \n\t\t\t\t\t\t
      \n\t\t\t\t
      \n\t\t\t\t\t\t\t\t\t

      Conditionner les acc\u00e8s par localisation<\/span><\/p>\n

       Pour les \u00e9tablissements ayant des licences Microsoft A3 ou Microsoft<\/span> <\/span>A5, vous pouvez conditionner les acc\u00e8s par filtrage IP ou par localisations.<\/span>  <\/span>Avec les fonctionnalit\u00e9s Azure Active Directory Plan 1, vous pouvez activer des strat\u00e9gies d’acc\u00e8s conditionnels.<\/span>  <\/span>Appliquer l’authentification forte de mani\u00e8re group\u00e9e et\/ou s\u00e9lective, refuser l’acc\u00e8s \u00e0 des utilisateurs en dehors de la Belgique, refuser l’acc\u00e8s \u00e0 certaines applications pour vos utilisateurs externes, etc \u2026<\/span><\/p>\n

      \n<\/p>

      Pour mettre en place ces strat\u00e9gies, il faut au moins une licence Azure AD Premium Plan 1, celle-ci couvrira l’ensemble des utilisateurs qui ont une licence Microsoft A3\/A5.<\/p>\n

      \n<\/p>

      Pour les \u00e9tablissements ayant des licences Office A1\/A3\/A5, l\u00e0 ce n’est pas tr\u00e8s clair.  Si vous faites l’acquisition d’une seule licence Azure AD Premium Plan 1, vous allez pouvoir d\u00e9finir des strat\u00e9gies d’acc\u00e8s conditionnel, mais il n’est pas certain qu’elles s’appliquent \u00e0 vos utilisateurs.  Il faudrait l’avis d’un expert en Licences !  Mais selon mes propres tests, cela fonctionne.<\/p>\n

      \n<\/p>

      <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

      Du fait de sa popularit\u00e9, la plateforme Microsoft 365 est une cible de choix pour les pirates.  La technique la<\/p>\n","protected":false},"author":1,"featured_media":85840,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"colormag_page_layout":"default_layout","_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[16,22,19],"tags":[213],"class_list":["post-84571","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cloud-computing","category-microsoft-365","category-microsoft-azure","tag-post"],"views":2037,"_links":{"self":[{"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/posts\/84571","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/comments?post=84571"}],"version-history":[{"count":1,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/posts\/84571\/revisions"}],"predecessor-version":[{"id":85841,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/posts\/84571\/revisions\/85841"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/media\/85840"}],"wp:attachment":[{"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/media?parent=84571"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/categories?post=84571"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/tags?post=84571"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}