Microsoft 365 & Azure investigations
Une boîte mail envoie du phishing, l’IBAN d’un fournisseur change soudainement, ou des connexions arrivent de l’autre bout du monde. Je découvre à quoi l’attaquant a eu accès, je coupe ses accès et je referme la porte derrière lui.
Quand m’appeler
- Des connexions depuis des pays inhabituels, ou des demandes MFA inattendues
- Une boîte mail envoie du phishing à vos contacts
- Des emails disparaissent, ou des inbox rules et des transferts étranges apparaissent
- Un paiement est parti vers de nouvelles coordonnées bancaires (business email compromise)
- Une application inconnue a obtenu l’accès à votre tenant
Ma façon de travailler
- 01
Triage
Confirmer la compromission : contexte des connexions, détections de risque, et ce que l’utilisateur a vu.
- 02
Préservation
Exporter les sign-in logs et audit logs d’Entra ID et le Unified Audit Log avant qu’ils ne changent ou n’expirent.
- 03
Containment
Révoquer sessions et tokens, réinitialiser les accès, supprimer les méthodes MFA de l’attaquant, les inbox rules malveillantes, les transferts et les consentements OAuth.
- 04
Scoping
Quels emails et fichiers ont été lus, quels messages ont été envoyés, et quels autres comptes portent les mêmes traces.
- 05
Hardening et rapport
Fermer la porte d’entrée (MFA, Conditional Access, alerting) et livrer un rapport clair de ce qui s’est passé.
Ce que vous obtenez
- La chronologie de l’activité de l’attaquant dans votre tenant
- La liste des comptes compromis et des données consultées
- Les actions de containment réalisées et documentées
- Des recommandations de hardening pour Microsoft 365 et Entra ID
- Un rapport que vous pouvez transmettre à votre direction, votre assureur ou les autorités
Voir un extrait de rapport d’incident responsePDF, 3 pages, en anglais. Scénario fictif et anonymisé. Demander le rapport complet de 30 pages
Pourquoi Cyber Horizon
- Une expérience concrète des incidents Microsoft 365 et Azure
- Une pratique quotidienne d’Entra ID, de Purview audit, de Defender XDR et de Microsoft Sentinel
- GIAC Security Expert (GSE #433)
- Vous travaillez directement avec moi, du premier appel au rapport
Questions fréquentes
Comment sont-ils entrés malgré le MFA ?
Souvent via une page de phishing adversary-in-the-middle qui vole la session après le MFA, un infostealer sur un appareil, ou une demande MFA acceptée par l’utilisateur. L’investigation vous dit laquelle, et comment l’empêcher.
Combien de temps les logs Microsoft 365 sont-ils conservés ?
Sign-in logs et audit logs d’Entra ID : 7 jours sans licence P1/P2, 30 jours avec. Le Unified Audit Log est conservé plus longtemps. C’est pour ça qu’il faut exporter tôt.
Faut-il notifier quelqu’un ?
Si des données personnelles ont été consultées, vous devrez peut-être notifier l’Autorité de protection des données dans les 72 heures, et parfois les personnes concernées. Vérifiez avec votre conseiller juridique ; l’investigation vous donne les faits pour décider.
Peut-on récupérer des emails supprimés ?
Souvent oui, pendant une durée limitée qui dépend de vos paramètres de rétention. Ne purgez rien pendant l’investigation.
Quelle différence avec l’incident response ?
C’est de l’incident response centrée sur Microsoft 365 et Azure. Si l’attaquant a aussi atteint vos postes ou vos serveurs, l’investigation s’étend à eux : voir incident response.