Qu’est-ce qu’Identity Protection ?
Identity Protection est un outil qui permet aux organisations d'accomplir trois tâches principales :
- Automatiser la détection et la correction des risques liés à l'identité.
- Examiner les risques à l'aide des données disponibles sur le portail.
- Exporter les données de détection des risques vers votre serveur SIEM.
Pour protéger vos utilisateurs, Identity Protection s'appuie sur les connaissances acquises par Microsoft au niveau des organisations avec Azure AD, de l'espace grand public avec les comptes Microsoft et des jeux avec Xbox. Microsoft analyse 6 500 milliards de signaux par jour pour identifier les menaces et protéger les clients.
Les signaux générés par Identity Protection et transmis à celui-ci peuvent également être transmis à des outils tels que l'Accès conditionnel pour prendre des décisions en matière d'accès, ou renvoyés à un outil SIEM (Security Information and Event Management) pour un examen plus approfondi en fonction des stratégies appliquées par votre organisation.
Pourquoi l'automatisation est-elle importante ?
Dans le billet de blog Cybersignaux : Défense contre les cybermenaces avec les dernières recherches, analyses et tendances datant du 3 février 2022, nous avons partagé des informations sur les menaces, y compris les statistiques suivantes :
- Analysé... 24 milliards de signaux de sécurité combinés à l’intelligence que nous suivons en surveillant plus de 40 groupes d’État-nation et plus de 140 groupes de menaces...
- ... De janvier 2021 à décembre 2021, nous avons bloqué plus de 25,6 milliards d’attaques d’authentification par force brute sur Azure AD...
Cette échelle de signaux et d’attaques nécessite un certain niveau d’automatisation pour tenir le rythme.
Détection d'événements à risque et solutions pour y remédier
Identity Protection identifie les risques de nombreux types, notamment :
- Utilisation d’une adresse IP anonyme
- Voyage inhabituel
- Adresse IP liée à un programme malveillant
- Propriétés de connexion inhabituelles
- Informations d’identification divulguées
- Pulvérisation de mots de passe
- Etc.
Pour plus d’informations sur ces risques ainsi que d’autres risques, notamment sur la façon dont ils sont calculés, consultez l’article Qu’est-ce qu’un risque ?.
Les signaux de risque peuvent déclencher des mesures correctives (par exemple en obligeant les utilisateurs à utiliser Azure AD Multi-Factor Authentication ou à réinitialiser leur mot de passe à l’aide de la réinitialisation de mot de passe en libre-service) ou bloquer les utilisateurs jusqu’à ce qu’un administrateur intervienne.
Examen des risques
Les administrateurs peuvent examiner les détections et prendre des mesures manuelles si nécessaire. Les administrateurs utilisent trois rapports clés pour les examens dans Identity Protection :
- Utilisateurs à risque
- Connexions risquées
- Détections de risques
Vous trouverez des informations supplémentaires dans l'article Procédure : Examiner les risques.
Niveaux de risque
Identity Protection catégorise les risques en niveaux : faible, moyen et sévère.
Bien que Microsoft ne communique pas en détail sur la manière dont le risque est calculé, nous pouvons affirmer que chaque niveau souligne avec un peu plus de certitude que l’utilisateur ou la connexion est compromis(e). Par exemple, une instance de propriétés de connexion non connues pour un utilisateur pourrait être moins dangereuse que la divulgation d’informations d’identification pour un autre utilisateur.
Exportation des données liées aux risques
Les données d’Identity Protection peuvent être exportées vers d’autres outils à des fins d’archivage, d’examen et de mise en corrélation. Les API basées sur Microsoft Graph permettent aux organisations de collecter ces données pour un traitement ultérieur dans un outil tel que SIEM. Pour plus d'informations sur l'accès à l'API Identity Protection, consultez l'article Prise en main d'Azure Active Directory Identity Protection et de Microsoft Graph.
Pour en savoir plus sur l’intégration des informations Identity Protection à Azure Sentinel, consultez l’article Connecter des données à partir d’Azure AD Identity Protection.
En outre, les organisations peuvent choisir de stocker des données pour des périodes plus longues en modifiant les paramètres de diagnostic dans Azure AD, de manière à envoyer les données RiskyUsers et UserRiskEvents à un espace de travail Log Analytics, archiver des données dans un compte de stockage, transmettre en continu des données vers Event Hubs ou envoyer des données à une solution partenaire. Pour plus d’informations sur la procédure à suivre, consultez l’article Guide pratique : Exporter les données liées aux risques.
Autorisations
Identity Protection exige que les utilisateurs disposent d'une des autorisations d'accès suivantes : Lecteur de sécurité, Opérateur de sécurité, Administrateur de la sécurité, Lecteur général ou Administrateur général.
| Role | Peut | Ne peut pas |
|---|---|---|
| Administrateur général | Accès complet à Identity Protection | |
| Administrateur de sécurité | Accès complet à Identity Protection | Réinitialiser un mot de passe pour un utilisateur |
| Opérateur de sécurité | Afficher tous les rapports Identity Protection et le panneau Vue d’ensemble Ignorer le risque lié à l’utilisateur, confirmer que la connexion est sécurisée, confirmer la compromission |
Configurer ou modifier des stratégies Réinitialiser un mot de passe pour un utilisateur Configurer des alertes |
| Lecteur de sécurité | Afficher tous les rapports Identity Protection et le panneau Vue d’ensemble | Configurer ou modifier des stratégies Réinitialiser un mot de passe pour un utilisateur Configurer des alertes Envoyer des commentaires sur les détections |
Actuellement, le rôle d’opérateur de sécurité ne permet pas d’accéder au rapport sur les connexions risquées.
Les administrateurs d’accès conditionnel peuvent également créer des stratégies qui prennent en compte le risque lié à la connexion en tant que condition. Pour plus d’informations, consultez l’article Accès conditionnel : Conditions.
Conditions de licence :
L’utilisation de cette fonctionnalité nécessite une licence Azure AD Premium P2. Pour trouver la licence appropriée à vos besoins, consultez Comparer les fonctionnalités en disponibilité générale d’Azure AD.
| Fonctionnalité | Détails | Applications Azure AD Free / Microsoft 365 | Azure AD Premium P1 | Azure AD Premium P2 |
|---|---|---|---|---|
| Stratégies de risque | Stratégie de risque utilisateur (via Identity Protection) | Non | Non | Oui |
| Stratégies de risque | Stratégie de risque de connexion (via Identity Protection ou l’accès conditionnel) | Non | Non | Oui |
| Rapports de sécurité | Vue d’ensemble | Non | Non | Oui |
| Rapports de sécurité | Utilisateurs à risque | Informations limitées. Seuls les utilisateurs présentant un risque moyen ou élevé sont affichés. Aucun tiroir de détails ou historique des risques. | Informations limitées. Seuls les utilisateurs présentant un risque moyen ou élevé sont affichés. Aucun tiroir de détails ou historique des risques. | Accès total |
| Rapports de sécurité | Connexions risquées | Informations limitées. Aucun détail sur les risques ou niveau de risque n’est affiché. | Informations limitées. Aucun détail sur les risques ou niveau de risque n’est affiché. | Accès total |
| Rapports de sécurité | Détections de risques | Non | Informations limitées. Aucun tiroir de détails. | Accès total |
| Notifications | Alertes Utilisateurs à risque détectés | Non | Non | Oui |
| Notifications | Synthèse hebdomadaire | Non | Non | Oui |
| Stratégie d'inscription MFA | Non | Non | Oui |
Vous trouverez des informations supplémentaires sur ces rapports détaillés dans l’article Procédure : Examiner les risques.