Audit de l'escalade des privilèges dans MS Teams et SharePoint Online

Netwrix Auditor pour SharePoint

• Exécutez Netwrix Auditor → Allez dans « Recherche » → Cliquez sur « Mode avancé » si ce n'est pas sélectionné.
• Configurez les filtres suivants :
  • Filtre = “Source de données”
    Opérateur = “Égale”
    Valeur = “SharePoint Online”
  • Filtre = « Détails »
    Opérateur = « Contient »
    Valeur = « Membres »
  • Filtre = “Détails”
    Opérateur = “Contient”
    Valeur = “Permissions”
  • Filtre = « Quoi »
    Opérateur = « Ne contient pas »
    Valeur = « Members »
  • Filtre = “Quoi”
    Opérateur = “Ne contient pas”
    Valeur = “ Visiteurs”

• Cliquez sur Search et consultez votre rapport :
  Remarques concernant le contenu du rapport :
  • Dans les cas où les permissions ont été attribuées directement, les détails sous le UPN de l'acteur dans la colonne « Qui » commenceront par « Permissions : » et les permissions accordées seront spécifiées entre guillemets.
  • Dans les cas où un utilisateur a été ajouté à un groupe, les détails commenceront par « Membres : » et le nom du groupe est fourni dans la colonne « Quoi ».
• Pour affiner davantage vos résultats de recherche, vous pouvez exclure certains groupes, sites ou acteurs en choisissant la ligne indésirable dans les résultats et en cliquant sur le bouton Exclude from search dans le volet Détails et en sélectionnant le résultat que vous souhaitez exclure.

En savoir plus sur Netwrix Auditor for SharePoint

Solution native

• Ouvrez le tableau de bord Sécurité & Conformité d'Office 365.
• Allez à Search -> recherche de journal d'audit.
• Dans les filtres d'Activités, choisissez “Shared file, folder, or site” et “Unshared file, folder, or site”.
• Cliquez Recherchez.
  Les résultats de la recherche listeront les événements suivants : attribution directe de droits d'accès, ajout d'un utilisateur à un groupe, modification des droits d'un groupe. Le tableau de sortie inclura les détails de base suivants :
  • Utilisateur — Le nom de l'utilisateur qui a effectué l'action
  • Article — L'URL du site SharePoint ou de l'équipe où le changement a été effectué
  • Détail — L'utilisateur ou le groupe auquel le changement a été appliqué

• Pour déterminer si une élévation de privilèges a eu lieu, vous devrez creuser davantage. Une option consiste à développer l'événement et à examiner les informations en cliquant sur l'événement et en parcourant l'onglet Détails. Selon l'activité, vous devrez rechercher les informations suivantes :
  • Si un utilisateur a été ajouté à un groupe avec des permissions de Contrôle total :

EventData: <Ajouté au groupe> affichera le nom du groupe auquel l'utilisateur a été ajouté.
(Notez que par défaut, le groupe avec des permissions de Contrôle total pour un site ou une équipe est nommé « [SiteName] Owners ».)

• Si des droits ont été accordés directement à un utilisateur : EventData: <Permissions granted> le champ vous montrera les permissions accordées. Votre priorité absolue est de suivre les utilisateurs auxquels on a accordé un Contrôle total.

Cependant, les capacités de filtrage de recherche du journal d'audit sont assez simples et ne vous permettent pas d'exclure les résultats non pertinents, donc avec cette méthode, vous devez cliquer sur chaque événement un par un. Une autre manière de trouver l'escalade de privilèges est d'analyser les données dans Excel :

• Exportez vos résultats de recherche au format CSV en cliquant sur Exporter les résultats -> Télécharger tous les résultats.
• Ouvrez un classeur vierge -> Dans l'onglet Data de la section Get & Transform Data, cliquez sur From Text/CSV -> Ouvrez le fichier CSV que vous avez téléchargé -> Cliquez sur Transform Data.
• Dans l'Éditeur de requêtes, cliquez-droit sur le titre dans la colonne AuditData -> Cliquez sur Transformer -> Choisissez JSON.
• Dans le coin supérieur droit de la colonne AuditData, cliquez sur l'icône d'agrandissement -> Cliquez sur Charger plus -> Désélectionnez les propriétés que vous ne souhaitez pas inclure -> Cliquez sur OK.
  
  Le tableau résultant inclura les informations suivantes :
  • AuditData.CreationTime — L'horodatage de l'événement
  • AuditData.ClientIP — L'adresse IP depuis laquelle l'événement a été effectué
  • AuditData.UserId — Le nom de l'utilisateur qui a effectué l'action
  • AuditData.EventData — L'action effectuée
  • AuditData.SiteUrl — L'URL du site SharePoint ou de l'équipe où la modification a été effectuée
  • AuditData.TargetUserOrGroupName — L'utilisateur ou le groupe auquel le changement a été appliqué

Restez à l'avant-garde de l'escalade des privilèges pour bloquer les acteurs de menaces avant qu'ils ne causent des dommages

SharePoint Online et Microsoft Teams permettent des niveaux de collaboration et de partage de fichiers sans précédent. Les utilisateurs peuvent inviter toute personne possédant une adresse e-mail à rejoindre un site ou une équipe — y compris non seulement des collègues internes mais aussi des utilisateurs externes tels que des clients, des fournisseurs et des entrepreneurs — sans aucune aide du personnel informatique.

Ce modèle d'auto-service est pratique pour les utilisateurs, mais il exige clairement des équipes informatiques qu'elles améliorent leurs stratégies de contrôle d'accès. Vous devez surveiller de près qui obtient l'accès à votre environnement et être capable de détecter rapidement toute escalade des permissions, comme un utilisateur ajouté à un groupe de propriétaires ou à quelqu'un se voyant accorder des permissions de Contrôle Total pour une équipe ou un site. Par exemple, si un utilisateur externe se voit accorder le Contrôle Total sur un site ou une équipe, cela représente une menace directe pour votre environnement, puisqu'il peut faire ce qu'il veut sur le site ou dans l'équipe, y compris consulter ou supprimer les données qui y sont stockées. Pour un utilisateur interne, l'escalade de privilèges peut être un signe d'intention malveillante ou de compromission de compte.

Avec les outils natifs, il est difficile d'obtenir les informations nécessaires pour identifier et bloquer ces menaces. Le journal d'audit Office 365 enregistre les modifications apportées à l'appartenance aux groupes et aux permissions, mais il n'existe aucun moyen simple de suivre ces activités — pour examiner les détails, vous devez soit examiner minutieusement chaque événement, soit télécharger les données dans un fichier CSV et les analyser là.

Netwrix Auditor élimine le besoin de passer votre précieux temps à fouiller minutieusement une montagne d'entrées de journal d'événements. Avec sa recherche interactive, vous pouvez facilement affiner vos paramètres de recherche et rapidement vous concentrer sur les événements pertinents. De plus, vous obtiendrez immédiatement tous les détails clés, y compris qui a reçu de nouvelles permissions et si l'escalade de privilèges était le résultat d'un changement d'appartenance à un groupe ou d'une attribution directe.

De plus, vous pouvez facilement enregistrer vos paramètres de recherche en tant que rapport personnalisé auquel vous pouvez vous abonner, ou les utiliser pour créer une alerte. Ainsi, vous pouvez facilement rester informé des événements d'escalade de privilèges dans vos environnements MS Teams et SharePoint Online.