Détection proactive des menaces M365 : surveillance en temps réel des connexions depuis des emplacements inhabituels

Introduction

Dans les environnements cloud modernes, la protection des identités utilisateur constitue une priorité absolue. Les politiques d'accès conditionnel (Conditional Access) représentent la référence pour renforcer les contrôles d'accès. Cependant, de nombreuses organisations font face à un défi récurrent : leurs employés voyagent fréquemment.

Dans de tels contextes, l'application d'une politique d'accès conditionnel stricte limitant les connexions à un ensemble fixe de pays peut s'avérer impraticable. Néanmoins, cela ne signifie pas que vous devez rester aveugle aux activités suspectes. C'est là qu'intervient la surveillance proactive avec KQL (Kusto Query Language).

Cas d'usage et objectifs

Lorsque l'accès conditionnel ne peut être appliqué pour bloquer complètement certains pays, les administrateurs nécessitent une visibilité sur :

• Les tentatives de connexion depuis des géographies inattendues
• Les comptes ciblés par des attaques de force brute ou de pulvérisation de mots de passe
• Les connexions réussies depuis des emplacements devant susciter des inquiétudes

En surveillant continuellement les tentatives de connexion en dehors de votre géographie "de confiance", vous pouvez garder une longueur d'avance et détecter les compromissions potentielles précocement.

Prérequis techniques

Avant d'exécuter cette solution, assurez-vous de disposer des éléments suivants :

Licences requises

• Entra ID P1 ou P2 : Nécessaire pour activer les journaux de connexion et les fonctionnalités avancées de protection d'identité

Infrastructure Azure

• Espace de travail Log Analytics : Centralise l'ingestion et l'interrogation des journaux de connexion
• Journaux Entra ID connectés à Log Analytics

Permissions d'accès

Votre compte administrateur doit disposer au minimum des rôles suivants :

• Lecteur de sécurité ou Administrateur de sécurité dans Azure AD
• Contributeur Log Analytics pour exécuter et gérer les requêtes

Configuration de l'espace de travail Log Analytics

Connexion des journaux Entra ID

Exécution de la requête KQL

1// Obtenir la liste de toutes les connexions (réussies, échouées, révoquées, etc.) en dehors du Canada (CA) et des États-Unis (US)
2SigninLogs 
3| where Location !in ("CA", "US") and isnotempty(Location) // Emplacement différent du CANADA, US
4| extend LocalTime = datetime_add('hour', -5, TimeGenerated) // UTC-5 (Heure CANADA)
5| project LocalTime, UserPrincipalName, UserDisplayName, Identity, ResourceDisplayName, Location, IPAddress, RiskState, ConditionalAccessStatus, ResultType, ResultSignature, ResultDescription, MfaDetail, RiskDetail
6| order by LocalTime desc

Les résultats incluront des détails tels que : LocalTime, UserPrincipalName, Location, IPAddress, RiskState, ResultDescription.

Sauvegarde de la requête KQL

Configuration des alertes automatisées

Test et validation du système

Pour valider le bon fonctionnement de votre système de détection, vous pouvez simuler une connexion depuis un emplacement inhabituel. Dans l'exemple ci-dessous, une tentative de connexion avec un mot de passe incorrect depuis un VPN localisé au Royaume-Uni génère immédiatement une notification.

Notification par e-mail

Voici un exemple de notification e-mail envoyée au service d'assistance :

Vérification des résultats

Pour vérifier directement les résultats de la requête :

1. Retournez dans l'espace de travail Log Analytics
2. Sélectionnez "Journaux" dans le menu de gauche
3. Tapez le nom de votre requête KQL sauvegardée dans la barre de recherche
4. Cliquez sur "Exécuter"

Les résultats détaillés s'affichent dans le tableau :

Optimisations avancées

Ajout aux favoris

Pour un accès rapide à votre requête :

1. Tapez le nom de votre requête dans la barre de recherche
2. Cliquez sur l'icône étoile pour l'ajouter aux favoris

Exclusion d'adresses IP de confiance

Si vous souhaitez exclure certains emplacements ou adresses IP de confiance (bureaux, adresses IP approuvées), utilisez cette requête KQL modifiée :

1// Adresses IP des bureaux autorisés à exclure du déclenchement
2let AllowedIPs = dynamic([ "1.1.1.1", "8.8.8.8" ]);
3// Obtenir la liste de toutes les connexions en dehors de la liste de pays + liste d'IP
4SigninLogs 
5| where Location !in ("CA", "US") and isnotempty(Location) // Emplacement différent du CANADA, US
6| where IPAddress !in~ (AllowedIPs) // exclure les adresses IP des bureaux
7| extend LocalTime = datetime_add('hour', -5, TimeGenerated) // UTC-5 (Heure CANADA)
8| project LocalTime, UserPrincipalName, UserDisplayName, Identity, ResourceDisplayName, Location, IPAddress, RiskState, ConditionalAccessStatus, ResultType, ResultSignature, ResultDescription, MfaDetail, RiskDetail
9| order by LocalTime desc

Conclusion

Cette solution de surveillance proactive vous permet de maintenir une visibilité sur les activités de connexion suspectes tout en préservant la flexibilité nécessaire pour les employés en déplacement. En combinant KQL, Log Analytics et les alertes Azure, vous disposez d'un système de détection robuste qui complète efficacement vos politiques d'accès conditionnel existantes.

La mise en place de cette surveillance continue constitue une couche de sécurité supplémentaire essentielle dans votre stratégie de protection des identités Microsoft 365.