theNet by CLOUDFLARE

Les compromis de la sécurité native de Microsoft 365

Sécuriser la plus vaste surface d'attaque de l'entreprise

Les technologies que nous adoptons pour améliorer l'efficacité de notre entreprise peuvent malencontreusement avoir le même effet que les acteurs malveillants cherchant à en trouver l'accès.

Business productivity and collaboration suites like Microsoft 365 and Google Workspace provide great examples of this trade-off. These suites include an impressive variety of applications designed to be easy to access, use, and move data between that consequently, also make for a large attack surface, facilitate lateral movement, and illicit access for any attacker who finds a way in.

Face à l'adoption généralisée de ces suites d'applications, les acteurs malveillants sont de plus en plus motivés par la recherche de vulnérabilités au sein de ces dernières. D'après une récente étude d'Okta, Microsoft 365 revendique près du double de clients que les offres concurrentes et constitue donc une cible à la valeur particulièrement élevée.

This is not a reason to avoid using Microsoft 365. Microsoft invests heavily in security and offers native security as part of the 365 suite. Rather, Microsoft’s popularity — and accompanying risk — is a reason to supplement the suite with additional security services as suggested in its shared responsibility model. Doing so will strengthen your organization’s security posture against both isolated Microsoft vulnerabilities and more systemic weaknesses.

Quelles sont les étapes les plus importantes ? Et de quelle manière les entreprises peuvent-elles les suivre sans compromettre l'efficacité que Microsoft 365 leur apporte en premier lieu ?


Étape 1 : amélioration de la protection contre le phishing

La vaste majorité des cyberattaques commencent par une tentative de phishing (plus de 90 %, selon des recherches récentes).

Pour prévenir le phishing, Microsoft 365 fait appel à une fonctionnalité native d'analyse des e-mails afin de filtrer les messages malveillants. Les données montrent que ce service ne permet pas de bloquer toutes les attaques. Cloudflare a découvert qu'en 2020, les utilisateurs de la solution de courrier électronique de Microsoft 365 avaient vu plus de 900 000 e-mails de phishing échapper à cette sécurité native. Près de 50 % de ces e-mails négligés impliquaient un domaine récemment créé et 15 % encore comprenaient une URL malveillante.

En outre, la solution e-mail de Microsoft (comme celles de la plupart des fournisseurs de courrier électronique dans le cloud) se révèle vulnérable à d'autres types d'attaques :

Conformément à la philosophie de « responsabilité partagée » de Microsoft, des couches supplémentaires de protection peuvent s'avérer nécessaires pour prévenir les attaques. Les aspects suivants constituent d'importants points de départ :

  • Isolement des liens contenus dans les e-mails : afin de protéger les utilisateurs des liens malveillants qui soit parviennent à passer entre les mailles du filet soit remplacent les liens inoffensifs après la diffusion. Microsoft propose une solution générale d'isolement de navigateur sous forme de plug-in, mais l'exécution de l'isolement au niveau local s'avère gourmande en mémoire et peut ralentir l'expérience utilisateur. À la place, vous pouvez envisager la mise en œuvre d'un service plus robuste exécuté dans le cloud, qui ne fait pas appel à une fonctionnalité de « screen-streaming » (visualisation de l'écran) pesante en termes de trafic et empêche les utilisateurs d'effectuer des actions potentiellement dangereuses, comme la saisie d'identifiants sur des sites non approuvés.

  • Sécurité avancée du courrier électronique cloud : cette approche incorpore l'analyse des sentiments, des graphiques de confiance relatifs à l'expéditeur, une fonctionnalité de blocage automatique et d'autres outils pouvant être calibrés de manière à arrêter les e-mails malveillants que la plateforme Microsoft 365 est connue pour manquer.


Étape 2 : amélioration des fonctionnalités de recherche des logiciels malveillants

La prévention du phishing constitue une étape importante pour la sécurité, mais elle est loin d'être la seule. D'autres types d'attaques servent à installer des logiciels malveillants sur des appareils terminaux et l'infrastructure réseau dans son intégralité. Cette opération peut se produire par e-mail, sur des sites web malveillants déclenchant automatiquement le téléchargement ou par d'autres moyens.

Le service anti-logiciels malveillants principal de Microsoft 365 s'appelle Defender et est installé sur les appareils terminaux. Application Guard, un plug-in de navigateur, peut également vous aider en maintenant les sites web malveillants (et les éventuels logiciels malveillants) sous sandbox.

Conformément à l'engagement plus général de Microsoft envers la sécurité, Defender n'est pas en reste concernant la détection des logiciels malveillants. Toutefois, certainesétudes ont révélé que ses taux de détection étaient à la traîne comparés à ceux de produits similaires. En outre, certains éléments de cette fonctionnalité engendrent des failles potentielles :

  • Le service permet aux utilisateurs d'exclure certains emplacements figurant sur leurs systèmes de la recherche de logiciels malveillants, une pratique courante pour les applications utilisant du code non standard code, mais qui constitue néanmoins un risque potentiel. De même, les chercheurs ont découvert que la liste d'emplacements exclus était stockée de manière non sécurisée dans certaines versions du système d'exploitation Windows. Les acteurs malveillants disposant d'un accès local pouvaient ainsi voir dans quels emplacements système installer leurs logiciels afin d'échapper à la détection.

  • Defender ne fonctionne par défaut que sur le navigateur Microsoft Edge. Des plug-ins sont disponibles pour les autres navigateurs, mais si les utilisateurs ne les installent pas, pour une raison ou une autre, ces navigateurs peuvent faire office de maillons faibles.

Ces mêmes problèmes de plug-in s'appliquent concernant Application Guard et l'isolement de navigateur local entraîne souvent des performances médiocres des appareils, qui à leur tour pourraient pousser l'utilisateur à désactiver tout simplement ces derniers.

Les entreprises peuvent envisager plusieurs pratiques pour renforcer ces mesures de protection :

  • Protection supplémentaire des points de terminaison : soutenue par le meilleur corpus d'informations sur les menaces possible, et dont les ensembles de règles et les listes de blocage ne s'avèrent pas faciles à désactiver par les utilisateurs.

  • Authentification multifacteurs (MFA) : c'est-à-dire l'utilisation de plus qu'une simple combinaison nom d'utilisateur/mot de passe pour accéder aux applications. Ces autres facteurs d'authentification comprennent les jetons de sécurité physiques et les codes à usage unique envoyés sur le téléphone de l'utilisateur. Si les pirates parviennent à installer des logiciels malveillants, l'authentification MFA les empêche de pouvoir utiliser ces derniers pour accéder aux applications de l'entreprise.

  • Isolement des liens contenus dans les e-mails : comme mentionné précédemment, l'activité web isolée devrait s'exécuter dans le cloud, fonctionner facilement avec n'importe quel navigateur et s'appuyer sur une technologie moderne pour éviter de perturber les sites.


Étape 3 : empêcher l'escalade des privilèges

Même avec de robustes mesures de protection des e-mails et solutions anti-logiciels malveillants en place, les entreprises doivent se préparer à ce que les pirates parviennent à accéder sous une forme ou une autre à leur instance Microsoft 365. Cette préparation constitue un élément central de la sécurité moderne (souvent résumé par le principe Zero Trust « Ne jamais faire confiance, toujours vérifier » à l'égard des requêtes se déplaçant entre divers emplacements au sein d'un réseau).

Microsoft 365 propose plusieurs services de gestion des accès et des autorisations dont disposent les utilisateurs. Ces dernières années, toutefois, l'escalade des privilèges s'est révélée la vulnérabilité la plus courante de Microsoft 365, d'après les recherches de BeyondTrust. Lors de ces incidents, les acteurs malveillants parviennent à accéder au compte d'un utilisateur et, de là, étendent l'éventail de systèmes et de paramètres auxquels ils peuvent accéder, afin de faciliter les mouvements latéraux, le vol d'identifiants et la compromission d'applications ciblées.

Une étape importante vers la prévention s'avère d'ordre logistique : le retrait des droits d'administration d'autant d'utilisateurs que possible. Une équipe informatique surchargée pourrait être tentée d'accorder des droits excessifs aux utilisateurs afin d'améliorer l'efficacité et de réduire les tickets de support, mais aussi utile que cette approche puisse paraître à court terme, le fait d'accorder aussi peu d'accès que possible aux utilisateurs constitue un autre principe important de la sécurité moderne. En outre, le rapport BeyondTrust susmentionné a montré que la suppression des droits d'administration pouvait également permettre de réduire plus largement les tickets de support. Il remarque d'ailleurs que « les ordinateurs tournent tout simplement mieux lorsque les utilisateurs n'ont pas les privilèges nécessaires pour entraver leur fonctionnement ».

Les entreprises peuvent envisager l'installation de systèmes dits Cloud Access Security Broker (CASB, agent de sécurité des accès au cloud), qui permettent d'obtenir visibilité et contrôle sur la manière dont les utilisateurs accèdent aux services cloud, comme Microsoft 365 (notamment concernant les fichiers et les données que ces utilisateurs partagent). Microsoft propose d'ailleurs un service CASB natif, mais les entreprises peuvent souhaiter sélectionner un CASB tiers directement bâti au sein d'une plateforme Zero Trust plus large, afin d'autoriser l'intégration à d'autres services Zero Trust et d'appliquer un corpus d'informations sur les menaces distinct à leur stratégie de sécurité.


Minimiser les effets sur l'efficacité

Les entreprises adoptent souvent Microsoft 365 pour améliorer la productivité générale des équipes et leur efficacité technologique. À ce titre, ces entreprises peuvent donc se demander si les recommandations mentionnées précédemment seraient susceptibles d'ajouter des démarches fastidieuses à la journée de leurs utilisateurs, de ralentir l'utilisation d'Internet pour ces derniers ou de les empêcher au final d'utiliser certaines applications.

Le fait de ne se reposer que sur la sécurité native et centralisée de Microsoft pourrait ainsi paraître comme l'approche la plus efficace, mais les bons services complémentaires peuvent combler les lacunes sans nuire à l'efficacité. Les entreprises doivent se mettre en quête de services de sécurité proposant les caractéristiques suivantes :

CAPABILITYPRODUCTIVITYTECH EFFICIENCY
Direct ‘any-to-any’ connectivity between offices, users, applications, ISPs, Internet exchange points, cloud instances, etc.
Reduced latency between geographically distant users and servers, resulting in better user experiences
Easy compatibility with any corporate application
All security and networking services — i.e. link isolation, ZTNA, CASB, WAN — live on a single homogenous network fabric, requiring no backhauling
No additional latency is required to pass traffic through multiple security services, resulting in better user experiences
Simplified onboarding and management for IT
Updatable with new features as networking needs change over time — rather than constrained by prior architectural decisions
Users are not restricted from accessing undeveloped applications further down the road
IT and Security are not precluded from adopting new protocols and services

En agissant de concert, ces qualités assurent la flexibilité nécessaire et de solides performances réseau aux entreprises et à leurs collaborateurs, tout en simplifiant considérablement le processus de modernisation de la sécurité.


La voie à suivre

Cloudflare propose bon nombre des fonctionnalités de sécurité mentionnées ci-dessus dans le cadre de son offre élargie de services de sécurité Zero Trust, notamment la sécurité du courrier électronique cloud, l'isolement des liens contenus dans les e-mails, un Cloud Access Security Broker et des intégrations aux fournisseurs de MFA.

Toutefois, comme nous l'avons déjà vu, le fait de complémenter la sécurité native de Microsoft 365 nécessite également une concentration sans faille sur la préservation de l'efficacité. L'architecture unique de Cloudflare peut vous assurer cette efficacité, grâce aux possibilités suivantes :

  • Un réseau fortement interconnecté et résidant à quelques millisecondes de 95 % des utilisateurs d'Internet, afin de vous garantir que vos effectifs conserveront un accès direct et rapide aux serveurs Microsoft, partout dans le monde.

  • Un tissu réseau homogène au sein duquel chaque service de sécurité peut s'exécuter à n'importe quel emplacement, afin de faire en sorte que le transit du trafic via Cloudflare ne s'accompagne pas d'une latence supplémentaire.

  • Un partenariat solide avec Microsoft, permettant de garantir que les services de sécurité Cloudflare s'intègrent en toute fluidité aux outils de Microsoft 365.

Apprenez-en davantage sur Cloudflare Zero Trust afin de découvrir de quelle manière notre architecture unique fait rimer sécurité avec efficacité.

Cet article fait partie de notre série consacrée aux nouvelles tendances et évolutions susceptibles d'affecter les décideurs en matière de technologies d'aujourd'hui.

Microsoft et Microsoft 365 sont des marques commerciales du groupe d'entreprises Microsoft.


Points clés

Cet article vous permettra de comprendre les points suivants :

  • Microsoft 365 et ses protections natives

  • Microsoft et son modèle à responsabilité partagée

  • Les stratégies permettant de compléter les fondations de la sécurité de Microsoft 365 sans compromettre l'efficacité de vos collaborateurs


Ressources associées


Approfondir le sujet.

Apprenez-en davantage sur la mise en œuvre de la sécurité Zero Trust pour toutes sortes de services cloud dans notre Guide de l'architecture Zero Trust.

Get the white paper!

Recevez un récapitulatif mensuel des tendances Internet les plus populaires !