Contrairement aux attaques historiques, une compromission Microsoft 365 ne se traduit pas nécessairement par un ransomware ou un poste de travail bloqué.
Dans de nombreux cas, l’attaquant cherche au contraire à rester discret le plus longtemps possible. Son objectif est d’observer, d’exfiltrer des données ou de préparer une attaque plus importante sans attirer l’attention.
Le défi pour les équipes IT est donc de détecter des signaux faibles, souvent disséminés dans les journaux d’événements ou les comportements des utilisateurs.
Voici les dix principaux indicateurs qui doivent alerter.
L’un des premiers signaux est l’apparition de connexions depuis des pays où l’entreprise n’a aucune activité.
Quelques exemples :
Toutes les connexions étrangères ne sont pas malveillantes (VPN, déplacements professionnels), mais elles doivent être systématiquement analysées.
Microsoft est capable d’identifier ce scénario : un utilisateur est vu connecté depuis Bordeaux à 9 h 00, puis depuis Singapour à 9 h 15.
Physiquement, ce déplacement est impossible.
Ce type d’événement indique généralement :
C’est l’un des indicateurs les plus fiables d’une compromission.
Après avoir obtenu un premier accès, de nombreux attaquants cherchent à rendre leur présence durable.
Pour cela, ils ajoutent leur propre méthode d’authentification :
Une fois cette étape réalisée, ils peuvent retrouver l’accès au compte même après un changement de mot de passe.
Toute modification des méthodes MFA doit être contrôlée.
Les règles de boîte aux lettres constituent un excellent moyen de rester discret.
Un pirate peut créer une règle qui :
Ce comportement est fréquent lors des attaques de type Business Email Compromise (BEC).
Une hausse soudaine des volumes téléchargés peut révéler une tentative d’exfiltration.
Les comportements suivants doivent attirer l’attention :
L’objectif est souvent de préparer une extorsion ou une revente des données.
Un utilisateur se connecte généralement avec un nombre limité de terminaux.
Lorsqu’un nouveau navigateur, un système d’exploitation ou un appareil inconnu apparaît, il est important de vérifier s’il s’agit :
Ce contrôle est d’autant plus pertinent lorsqu’il s’accompagne d’autres anomalies.
L’augmentation des droits est souvent une étape clé dans une attaque.
Un pirate peut chercher à :
Ces opérations sont rarement anodines et doivent être immédiatement investiguées.
Une fois présent dans l’environnement, l’attaquant peut tenter de réduire sa visibilité.
Par exemple :
Ces changements constituent souvent un indicateur d’une compromission déjà avancée.
Les attaques modernes reposent de plus en plus sur le vol des cookies de session.
Dans ce scénario, le pirate ne connaît parfois ni le mot de passe ni le code MFA.
Il réutilise simplement une session déjà authentifiée.
Ces attaques sont difficiles à détecter avec des outils classiques, car l’authentification semble parfaitement légitime.
C’est précisément ce type de comportement que les solutions ITDR cherchent à identifier grâce à l’analyse comportementale.
Une compromission ne commence pas toujours par un événement critique.
Elle peut être précédée de nombreux signaux faibles :
Pris isolément, ces événements peuvent sembler anodins.
Corrélés entre eux, ils dessinent parfois le scénario complet d’une attaque en cours.
C’est toute la valeur d’une approche basée sur l’analyse comportementale plutôt que sur la simple détection d’événements unitaires.
La majorité des attaques réussies contre Microsoft 365 ne reposent plus sur des exploits complexes.
Elles exploitent des identités légitimes, des sessions authentifiées et des comportements difficiles à distinguer de l’activité normale.
C’est pourquoi les entreprises ne peuvent plus se limiter à protéger les mots de passe ou à déployer la double authentification.
La détection des comportements suspects, l’automatisation des réponses et la supervision humaine sont désormais des composantes essentielles de la protection des identités.
Une solution Identity Threat Detection & Response (ITDR) permet justement d’identifier ces signaux faibles, de bloquer automatiquement certaines actions malveillantes et d’alerter les équipes de sécurité avant que la compromission ne se transforme en incident majeur.
