Un SOC managé surveille-t-il Microsoft 365 ?
Un SOC managé peut surveiller Microsoft 365 : connexions, règles de messagerie, consentements d'applications, droits. Ce qu'il voit et ce qu'il faut activer.
Oui, si l’offre le prévoit, et c’est devenu indispensable. Un SOC managé peut surveiller Microsoft 365 à partir des journaux de connexion et d’audit : connexions inhabituelles, règles de transfert de messagerie, consentements accordés à des applications, changements de droits d’administration. Il travaille sur ces journaux plutôt que sur le contenu des messages. Il faut que l’audit soit actif et que les journaux soient conservés assez longtemps.
Cet article fait partie de notre série sur le SOC managé. Pour le principe général, voir SOC pour MSP : qu’est-ce que c’est et comment ça fonctionne ?.
Pourquoi Microsoft 365 est une cible prioritaire
Microsoft 365 concentre la messagerie, les fichiers et les identités. Un compte compromis donne accès aux échanges avec les clients et fournisseurs, aux documents partagés, et souvent à d’autres applications connectées. C’est pourquoi de nombreuses attaques commencent par un hameçonnage visant un compte Microsoft 365, puis se poursuivent par une fraude au virement ou un vol de données.
Ces attaques ne passent pas toujours par les postes de travail : un EDR ne les voit donc pas forcément. Nous avons détaillé ces scénarios dans Microsoft 365 : les attaques que les MSP ne voient pas venir.
Ce que le SOC surveille dans Microsoft 365
| Signal | Ce qu’il peut révéler |
|---|---|
| Connexion depuis un pays ou un appareil inhabituel | Identifiants volés |
| Série d’échecs de connexion suivie d’un succès | Attaque par mots de passe réussie |
| Nouvelle règle de transfert ou de suppression de messages | Compromission de messagerie, préparation d’une fraude |
| Consentement accordé à une application inconnue | Accès durable obtenu par un attaquant |
| Ajout d’un rôle d’administrateur | Élévation de privilèges |
| Partage externe massif de fichiers | Exfiltration de données |
| Modification des méthodes d’authentification d’un compte | Prise de contrôle durable |
Le SOC recoupe ces signaux entre eux et avec les autres sources, comme l’EDR. Voir Que surveille un SOC managé ?.
Ce qu’il faut vérifier côté Microsoft 365
L’audit est-il actif ? Le journal d’audit unifié de Microsoft 365 enregistre l’activité des utilisateurs et des administrateurs. Microsoft documente comment vérifier qu’il est activé ; sans lui, une partie des signaux est perdue.
Combien de temps les journaux sont-ils conservés ? Selon Microsoft, les enregistrements d’audit sont conservés par défaut 180 jours pour la plupart des activités, et un an pour certains services avec des licences de type E5. Une enquête sur une compromission ancienne peut nécessiter plus : le SOC conserve en général sa propre copie des événements collectés.
Le SOC a-t-il les droits pour agir ? Pour désactiver un compte ou révoquer des sessions, le SOC doit disposer de droits délégués, encadrés par la procédure d’escalade.
Que se passe-t-il en cas de compromission d’un compte
- Le SOC détecte un signal suspect, par exemple une règle de transfert créée juste après une connexion depuis l’étranger.
- Un analyste confirme la compromission.
- Le compte est désactivé et ses sessions révoquées, selon les actions autorisées.
- Le SOC identifie ce que l’attaquant a fait : messages envoyés, règles créées, fichiers consultés.
- L’infogérant réinitialise les accès et supprime les éléments malveillants, avec les recommandations du SOC.
Voir Que se passe-t-il quand un SOC managé détecte une attaque ?.
Les angles morts fréquents
Quelques zones sont souvent oubliées au démarrage de la surveillance de Microsoft 365 :
- Les boîtes partagées et les comptes de service, parfois sans authentification multifacteur et rarement surveillés.
- Les comptes invités ajoutés pour un projet et jamais supprimés.
- Les anciens protocoles d’authentification, qui ne prennent pas en charge l’authentification multifacteur s’ils restent autorisés ; Microsoft documente comment les bloquer.
- Les applications tierces autorisées avec des droits larges il y a longtemps, puis oubliées.
Passer ces points en revue avec l’infogérant au démarrage réduit le bruit et ferme des portes d’entrée courantes.
Chez Cyna
Microsoft 365 fait partie des connecteurs prêts à l’emploi de la plateforme Cyna, avec Google Workspace. Le raccordement d’un environnement est rapide, et le périmètre de surveillance est précisé dans le contrat conclu avec votre infogérant partenaire.
Faire le point avec un expert
Vous voulez savoir ce qu’un SOC verrait dans votre environnement Microsoft 365 ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.
Questions fréquentes
L'authentification multifacteur suffit-elle à protéger Microsoft 365 ?
Elle bloque une grande partie des attaques sur les mots de passe, mais pas toutes : certaines techniques d'hameçonnage volent la session après l'authentification. D'où l'intérêt de surveiller les connexions et l'activité des comptes.
Un SOC peut-il désactiver un compte Microsoft 365 compromis ?
Oui, si les droits nécessaires lui ont été délégués et si l'action fait partie des mesures autorisées dans la procédure d'escalade. Il peut alors désactiver le compte et révoquer ses sessions rapidement.
Google Workspace peut-il être surveillé de la même façon ?
Oui, selon les offres. Chez Cyna, Google Workspace fait partie des environnements raccordables.
Le SOC voit-il les pièces jointes malveillantes ?
Il voit les alertes produites par les outils de protection de la messagerie lorsqu'ils sont raccordés, et surtout ce qui se passe après un clic : connexion suspecte, nouvelle règle, application autorisée.
Cet article fournit des informations générales à titre indicatif. Il ne constitue ni un conseil juridique, ni un engagement contractuel de Cyna : les conditions de service sont celles du contrat conclu via votre infogérant partenaire. Pour toute question réglementaire, rapprochez-vous de votre conseil juridique.