Protection contre les rançongiciels pour Office 365

La plupart des organisations s'appuient aujourd'hui sur Entra ID (anciennement Azure AD) et Microsoft 365 (anciennement Office 365) pour les opérations commerciales essentielles. Mais à quel point ces plateformes vitales sont-elles sécurisées contre les rançongiciels ?

Cet article explore les principales préoccupations concernant Entra ID et Microsoft 365 et détaille les principaux contrôles de sécurité qu'ils offrent pour bloquer, détecter et se remettre d'un rançongiciel. Il propose ensuite une solution robuste qui peut renforcer la protection de vos données et de vos systèmes informatiques.

Préoccupations de sécurité dans Entra ID

L'Active Directory sur site est une cible privilégiée des cybercriminels car il reste le service principal de Identity Management pour la plupart des organisations. Cependant, Entra ID peut également être compromis et devient une cible de plus en plus courante. Voici les principaux facteurs qui le rendent vulnérable aux attaques par rançongiciel :

• Aucune unité organisationnelle (OU) — Dans un AD local, les administrateurs utilisent souvent des OU pour regrouper les utilisateurs et les appareils afin de faciliter et d'optimiser la provision et la surveillance. Par exemple, placer tous les comptes à privilèges élevés dans une seule OU permet d'appliquer des contrôles de sécurité plus stricts. Cependant, Entra ID ne prend pas en charge les unités organisationnelles. La charge administrative accrue sur les équipes informatiques peut conduire à des erreurs qui facilitent les infections par rançongiciel.
• Aucune stratégie de groupe — Dans AD sur site, les administrateurs ont également tendance à s'appuyer fortement sur Group Policy pour faire respecter la sécurité. Group Policy n'est pas pris en charge dans Entra ID, ce qui rend la gestion des paramètres des appareils beaucoup plus difficile, ce qui peut permettre l'installation et l'exécution de rançongiciels.
• Protocole défectueux pour l'authentification unique (SSO) — Le SSO permet aux utilisateurs de se connecter à Entra ID sans saisir leur mot de passe. Cependant, le protocole SAML utilisé pour le SSO présente des failles, ce qui permet aux pirates de réaliser des attaques par force brute pour compromettre les comptes utilisateurs. Bien que l'authentification multifacteur (MFA) puisse bloquer ces attaques, exiger la MFA pour tous les comptes n'est pas pratique car cela interfère avec des tâches telles que l'assistance via Remote PowerShell. Les pirates cherchent fréquemment à compromettre des comptes administratifs sans MFA activé. Des exemples notables incluent la violation de Deloitte où les pirates ont compromis le serveur de messagerie mondial de l'entreprise, et la violation d'Optus où l'absence d'authentification pour leur API publique a conduit à l'exposition d'environ 10 millions d'enregistrements contenant des informations personnelles sensibles des utilisateurs.
• Les angles morts dans les environnements hybrides — La plupart des organisations disposent d'un environnement hybride qui combine AD sur site et Entra ID. La complexité résultante dans la gestion des identités et des accès ainsi que l'Endpoint Management peut conduire à des angles morts qui offrent des opportunités aux pirates pour déployer des rançongiciels.

Comment se comportent les comptes Azure AD compromis

Entra ID offre un contrôle d'accès basé sur les rôles (RBAC), donc le ou les rôles attribués à un utilisateur influencent ce qu'un pirate peut faire s'il compromet le compte. Voici les rôles intégrés clés à connaître :

• Lecteur — Un pirate qui compromet un compte avec ce rôle peut accéder à des informations sensibles. Ils peuvent lire des Runbooks et d'autres ressources qui peuvent contenir des identifiants codés en dur ou d'autres informations utiles. Les acteurs de menaces suivent également de nouvelles cibles et des espaces d'adressage à travers des réseaux virtuels.
• Propriétaire— Le rôle de Propriétaire permet de modifier des ressources et d'accorder des autorisations pour n'importe quelle ressource. Par conséquent, ce rôle suscite un grand intérêt de la part des acteurs de menaces.
• Contributeur— Les utilisateurs ayant ce rôle peuvent téléverser de nouveaux dossiers et fichiers, mais ils ne peuvent pas supprimer, déplacer ou copier des fichiers. En conséquence, ce rôle est moins utile aux pirates.
• Administrateur d'accès utilisateur — À travers ce rôle, les acteurs de menaces peuvent accorder des droits d'accès à d'autres ressources. Par conséquent, c'est aussi un rôle puissant que vous devriez accorder avec prudence.

Préoccupations de sécurité dans Microsoft 365

Les adversaires peuvent exploiter Microsoft 365 comme point d'entrée pour les logiciels rançonneurs. Les principales préoccupations à défendre incluent :

• Phishing — Adversaries send emails via Exchange Online in order to trick users into opening malicious attachments or visiting malicious sites in order to launch ransomware.
• Partage de fichiers— SharePoint et Teams sont des outils de collaboration puissants qui facilitent grandement le partage d'informations avec des collègues internes et des parties externes. Sans contrôles appropriés et une supervision adéquate, cela peut permettre aux attaquants de téléverser des fichiers malveillants ou de recueillir des informations utiles pour des attaques par rançongiciel.
• Les permissions mal gérées — Microsoft 365 est une plateforme très complexe à gérer, donc les utilisateurs peuvent se retrouver avec beaucoup plus de droits d'accès qu'ils n'en ont besoin. Tout rançongiciel qui s'exécute sous leurs identifiants hérite de ces droits, ce qui lui permet de faire plus de dégâts que si le principe du moindre privilège était strictement appliqué.

Outils Microsoft pour se défendre contre les logiciels de rançon

Pour réduire le risque lié aux logiciels de rançon, Office 365 et Entra ID proposent une variété d'outils de sécurité, y compris les suivants :

• Microsoft Defender offre des capacités avancées de détection et de protection contre les menaces. Il vous aide à découvrir et à atténuer les vulnérabilités pour réduire votre surface d'attaque, ainsi qu'à repérer et perturber les menaces de rançongiciel en cours.
• Microsoft Secure Score analyse votre sécurité et la compare à la base de référence de Microsoft, produisant un score numérique que vous pouvez utiliser pour évaluer l'efficacité de votre stratégie d'amélioration de la sécurité.
• Microsoft Purview Compliance Managervous aide à évaluer votre conformité aux exigences réglementaires et à comprendre les actions à entreprendre pour vous améliorer, ce qui peut vous aider à suivre à la fois les nouvelles réglementations et les nouvelles versions des mandats existants.
• Microsoft Purview Data Loss Prevention vous aide à contrôler et surveiller l'accès aux données afin de prévenir le partage, l'utilisation ou le transfert non autorisés d'informations sensibles. Par exemple, vous pouvez définir des niveaux de confidentialité et déterminer quelles actions sont autorisées pour les informations sensibles.
• Microsoft Conditional Access vous permet de définir des politiques qui déterminent dynamiquement s'il faut autoriser, bloquer ou limiter l'accès ou exiger une étape de vérification supplémentaire, en fonction de facteurs tels que l'appareil, l'emplacement ou le risque de session. Par exemple, Conditional Access pourrait bloquer un adversaire tentant de se connecter avec des identifiants volés depuis un emplacement inhabituel en ajoutant une étape MFA, empêchant ainsi la mise en place de rançongiciels.
• Microsoft Purview Information Protection vous aide à découvrir, classer et protéger les informations sensibles, où qu'elles se trouvent ou se déplacent. Par exemple, vous pouvez vous assurer que les e-mails envoyés à un utilisateur quelconque sont chiffrés afin que seuls les destinataires autorisés puissent les lire.
• Microsoft Entra Identity Protection aide les organisations à détecter, enquêter et remédier aux risques liés aux identités. En particulier, cela peut vous aider à repérer des comportements d'utilisateurs inhabituels qui pourraient indiquer un acteur de rançongiciel tentant d'utiliser des identifiants volés ou une menace de rançongiciel en cours.
• Récupération de données — Si une attaque de rançongiciel réussit, Microsoft propose des options de récupération contre les rançongiciels pour Entra ID et Office 365. Celles-ci incluent la fonctionnalité « Restaurer votre OneDrive », la Corbeille de OneDrive et la Corbeille de collection de sites SharePoint. Toutefois, les organisations doivent également mettre en place une stratégie de sauvegarde et de récupération de qualité entreprise.

Comment Netwrix Directory Manager peut aider

Bien que ces solutions Microsoft soient précieuses, gérer correctement votre environnement hybride ou cloud est une tâche complexe, et toute erreur ou mauvaise configuration peut ouvrir la porte à des infections par ransomware coûteuses. Une solution tierce peut aider.

Netwrix Directory Manager est une solution puissante de gestion des identités et des accès (IAM) qui allège la charge de travail de vos équipes informatiques tout en améliorant la sécurité et la conformité. Elle vous permet de :

• Rationalisez la gestion des groupes de sécurité et de distribution
• Identifier les propriétaires de groupes
• Déléguer les tâches de gestion de groupe
• Générez des rapports conviviaux pour une meilleure compréhension et contrôle

FAQ

Microsoft Office 365 dispose-t-il d'une protection antivirus ?

Oui, Office 365 est équipé de solides capacités antivirus et anti-malware. Il utilise une intelligence des menaces avancée et des technologies de balayage pour détecter et arrêter les attaques de virus.

La protection contre les rançongiciels est-elle intégrée dans Office 365 ?

Oui, Microsoft 365 intègre des fonctionnalités de protection intégrée contre les ransomwares. Il utilise des mesures de protection avancée contre les menaces pour détecter et atténuer les menaces de ransomware à travers sa suite d'applications.

OneDrive dispose-t-il d'une protection contre les rançongiciels ?

Oui. OneDrive fait partie de la suite Microsoft 365. Il utilise le versioning de fichiers et la détection intelligente des menaces pour aider à protéger vos fichiers contre les attaques de ransomware, et offre certaines capacités de sauvegarde et de récupération.

Microsoft Defender protège-t-il contre les rançongiciels ?

Oui, Microsoft Defender offre une protection contre les rançongiciels. Il utilise des mécanismes de protection avancée contre les menaces pour détecter, bloquer et répondre aux menaces de rançongiciels.