Qu’est-ce qu’Identity Protection ?

• 01/05/2021
• 5 minutes de lecture
• • M
  • o

Identity Protection est un outil qui permet aux organisations d'accomplir trois tâches principales :

• Automatiser la détection et la correction des risques liés à l'identité
• Examiner les risques à l'aide des données disponibles sur le portail
• Exporter les données de détection des risques vers des utilitaires tiers pour une analyse plus approfondie

Pour protéger vos utilisateurs, Identity Protection s'appuie sur les connaissances acquises par Microsoft au niveau des organisations avec Azure AD, de l'espace grand public avec les comptes Microsoft et des jeux avec Xbox. Microsoft analyse 6 500 milliards de signaux par jour pour identifier les menaces et protéger les clients.

Les signaux générés par Identity Protection et transmis à celui-ci peuvent également être transmis à des outils tels que l'Accès conditionnel pour prendre des décisions en matière d'accès, ou renvoyés à un outil SIEM (Security Information and Event Management) pour un examen plus approfondi en fonction des stratégies appliquées par votre organisation.

Pourquoi l'automatisation est-elle importante ?

Dans son billet de blog d'octobre 2018, Alex Weinert, qui dirige l'équipe Identity Security and Protection de Microsoft, explique pourquoi l'automatisation est si importante pour gérer le volume des événements :

Chaque jour, nos systèmes d'apprentissage automatique et heuristiques fournissent des scores de risque pour 18 milliards de tentatives de connexion correspondant à plus de 800 millions de comptes distincts, dont 300 millions relèvent de manière perceptible d'adversaires (entités telles que des auteurs malveillants et des pirates informatiques).

L'an dernier, lors de la conférence Ignite, j'ai évoqué les trois principales attaques auxquelles nos systèmes d'identité sont confrontés. Voici le volume récent de ces attaques

• Attaque par rejeu : 4,6 milliards d'attaques détectées en mai 2018
• Pulvérisation de mots de passe : 350 000 en avril 2018
• Hameçonnage : ces attaques sont difficiles à quantifier, mais nous avons observé 23 millions d'événements à risque en mars 2018, dont beaucoup étaient liés au hameçonnage

Détection d'événements à risque et solutions pour y remédier

Identity Protection identifie les risques selon les classifications suivantes :

Pour plus de détails sur ces risques et sur la façon dont ils sont calculés, consultez l'article Qu'est-ce qu'un risque ?.

Les signaux de risque peuvent déclencher des mesures correctives (par exemple en obligeant les utilisateurs à utiliser Azure AD Multi-Factor Authentication ou à réinitialiser leur mot de passe à l’aide de la réinitialisation de mot de passe en libre-service) ou bloquer les utilisateurs jusqu’à ce qu’un administrateur intervienne.

Examen des risques

Les administrateurs peuvent examiner les détections et prendre des mesures manuelles si nécessaire. Les administrateurs utilisent trois rapports clés pour les examens dans Identity Protection :

• Utilisateurs à risque
• Connexions risquées
• Détections de risques

Vous trouverez des informations supplémentaires dans l'article Procédure : Examiner les risques.

Niveaux de risque

La protection d’identité catégorise les risques en trois niveaux : faible, moyen, sévère.

Bien que Microsoft ne communique pas en détail sur l'évaluation du risque, nous pouvons affirmer que chaque niveau souligne avec un peu plus de certitude que l'utilisateur ou la connexion est compromis(e). Par exemple, une instance de propriétés de connexion non connues pour un utilisateur pourrait être moins dangereuse que la divulgation d’informations d’identification pour un autre utilisateur.

Exportation des données liées aux risques

Les données d’Identity Protection peuvent être exportées vers d’autres outils à des fins d’archivage, d’examen et de mise en corrélation. Les API basées sur Microsoft Graph permettent aux organisations de collecter ces données pour un traitement ultérieur dans un outil tel que SIEM. Pour plus d'informations sur l'accès à l'API Identity Protection, consultez l'article Prise en main d'Azure Active Directory Identity Protection et de Microsoft Graph.

Pour en savoir plus sur l'intégration des informations d'Identity Protection dans Azure Sentinel, consultez l'article Connecter des données depuis Azure AD Identity Protection.

Autorisations

Identity Protection exige que les utilisateurs disposent d'une des autorisations d'accès suivantes : Lecteur de sécurité, Opérateur de sécurité, Administrateur de la sécurité, Lecteur général ou Administrateur général.

Actuellement, le rôle d’opérateur de sécurité ne permet pas d’accéder au rapport sur les connexions risquées.

Les administrateurs d’accès conditionnel peuvent également créer des stratégies qui prennent en compte le risque lié à la connexion en tant que condition. Pour plus d’informations, consultez l’article Accès conditionnel : Conditions.

Conditions de licence :

L’utilisation de cette fonctionnalité nécessite une licence Azure AD Premium P2. Pour trouver la licence adaptée à vos besoins, consultez Comparaison des fonctionnalités mises à la disposition générale des éditions Gratuit, Applications Office 365 et Premium.

Vous trouverez des informations supplémentaires sur ces rapports détaillés dans l’article Procédure : Examiner les risques.

Étapes suivantes

• Vue d’ensemble de la sécurité

• Qu'est-ce qu'un risque ?

• Stratégies disponibles pour atténuer les risques