Enquête compromission Microsoft 365 : savoir ce que l’attaquant a vu, envoyé et modifié

Un virement détourné, un fournisseur qui reçoit un faux RIB depuis une vraie adresse de l’entreprise, une boîte aux lettres qui envoie des centaines de messages piégés : la compromission est confirmée, le mot de passe est changé. Reste la question que poseront la direction, l’avocat et l’assureur : qu’a fait l’attaquant ? Une enquête compromission Microsoft 365 sert à y répondre avec des faits, à partir des journaux du locataire, avant que ces journaux ne disparaissent. Voici les sources de preuves disponibles, leurs durées de conservation, la méthode et les limites à connaître.

Pourquoi mener une enquête compromission Microsoft 365

Réinitialiser le compte arrête l’attaque, mais ne dit rien de son ampleur. Or plusieurs décisions dépendent de cette ampleur.

• Mesurer la fuite. Quels messages, pièces jointes et fichiers ont été consultés ou téléchargés ? Quels partenaires ont reçu des messages frauduleux ?
• Respecter le RGPD. Une violation de données personnelles présentant un risque doit être notifiée à la CNIL dans les 72 heures après sa découverte, et les personnes concernées informées si le risque est élevé. Sans enquête, impossible d’évaluer ce risque correctement.
• Documenter le sinistre pour l’assurance cyber. L’assureur demande en général une chronologie et des éléments factuels sur l’origine et les conséquences de l’incident.
• Préparer un éventuel contentieux. Plainte, litige avec un fournisseur ou une banque sur un virement : les journaux sont souvent les seules pièces techniques disponibles.
• Éviter la récidive. Une règle de transfert oubliée ou une application consentie par l’attaquant peut maintenir l’accès après le changement de mot de passe.

Les sources de preuves dans Microsoft 365 et Entra ID

Le journal d’audit Microsoft 365 (Microsoft Purview Audit)

Le journal d’audit unifié centralise les activités d’Exchange Online, SharePoint, OneDrive, Teams et Entra ID. C’est la source principale de l’investigation Microsoft 365. On y retrouve notamment :

• la création ou la modification de règles de boîte (New-InboxRule, Set-InboxRule, UpdateInboxRules), typiques d’une fraude au virement ;
• les ajouts de délégations ou de transferts sur la boîte ;
• les envois de messages, les suppressions et les déplacements d’éléments ;
• les téléchargements et partages de fichiers SharePoint et OneDrive ;
• les consentements accordés à des applications et les modifications de méthodes d’authentification.

MailItemsAccessed : savoir ce qui a été lu

L’événement MailItemsAccessed trace l’accès aux messages par les différents protocoles (Outlook, web, IMAP, POP, EWS, REST…). Il fait partie d’Audit Standard et est activé par défaut pour les utilisateurs disposant d’une licence Office 365 ou Microsoft 365 E3/E5. Deux types d’accès sont à distinguer :

• Bind : accès à un message précis, identifié par son InternetMessageId. On peut alors lister les messages réellement ouverts.
• Sync : synchronisation d’un dossier entier par un client Outlook de bureau. L’événement concerne le dossier, et tout son contenu doit alors être considéré comme exposé.

Ces enregistrements sont agrégés et dédupliqués par Microsoft. Microsoft détaille ce fonctionnement dans sa documentation sur l’investigation des comptes compromis. Leur lecture demande de croiser l’adresse IP, l’identifiant de session et l’application cliente pour séparer l’activité de l’attaquant de celle de l’utilisateur légitime.

Les journaux de connexion Entra ID

Ils indiquent qui s’est connecté, quand, d’où (adresse IP, localisation approximative), avec quelle application et quel résultat d’authentification multifacteur. Ils permettent de dater le premier accès, de repérer un vol de jeton ou de session, et de rattacher une adresse IP malveillante à des actions vues dans le journal d’audit. Les journaux d’audit Entra complètent le tableau : ajout de méthode MFA, enregistrement d’appareil, consentement d’application.

Le suivi des messages (message trace)

Le suivi des messages d’Exchange Online montre les flux entrants et sortants : expéditeur, destinataires, objet, date, statut de remise. Il sert à établir la liste des destinataires des messages frauduleux et à repérer les transferts automatiques vers l’extérieur.

Applications, consentements et Defender XDR

• Applications d’entreprise et consentements : une application tierce autorisée à lire la messagerie peut continuer d’y accéder sans mot de passe. Il faut en dresser l’inventaire et vérifier les dates d’autorisation.
• Microsoft Defender XDR : alertes, incidents corrélés et requêtes de repérage avancé (advanced hunting) apportent un contexte précieux, si les licences correspondantes sont en place.

Durées de conservation : le facteur temps

Chaque source a sa propre durée de rétention, liée aux licences. Passé ce délai, les données sont perdues, et souscrire une licence supérieure après coup ne les fait pas réapparaître.

• Audit Standard : 180 jours par défaut pour les enregistrements générés depuis le 17 octobre 2023 (90 jours auparavant).
• Audit Premium (licences E5 ou module complémentaire eDiscovery and Audit) : un an par défaut pour Exchange, SharePoint, OneDrive et Entra ID, extensible jusqu’à dix ans avec le module complémentaire dédié. La licence doit être attribuée à l’utilisateur qui a généré l’activité.
• Journaux de connexion et d’audit Entra ID : 7 jours avec Entra ID Free, 30 jours avec P1 ou P2. Au-delà, il faut les avoir exportés au préalable (Azure Monitor, stockage, SIEM).
• Suivi des messages : 90 jours de recul, interrogeables par tranches de 10 jours.
• Repérage avancé Defender XDR : 30 jours de données natives, sauf rétention étendue via Microsoft Sentinel.

Conséquence pratique : les journaux de connexion d’un locataire sans export sont souvent les premiers à disparaître. Leur extraction est la toute première action à mener. Les durées officielles sont publiées par Microsoft pour Purview Audit et pour Entra ID.

La méthode : de la collecte au rapport

1. Préserver avant d’agir. Exporter immédiatement les journaux de connexion, le journal d’audit et le suivi des messages sur la période utile. Éviter de supprimer comptes, règles ou boîtes avant d’en avoir conservé une trace.
2. Tracer la chaîne de traçabilité. Noter qui a extrait quoi, quand, avec quels filtres, et calculer une empreinte (hash) de chaque fichier. Conserver les exports bruts, sans retouche.
3. Délimiter le périmètre. Identifier les comptes compromis à partir des IP, des applications et des schémas de connexion suspects, puis rechercher ces mêmes indicateurs sur l’ensemble du locataire.
4. Construire la chronologie. Premier accès, persistance (règles, applications, MFA ajoutée), actions (lectures, envois, téléchargements), remédiation. Chaque étape est reliée à un enregistrement précis.
5. Qualifier l’exposition. Lister les messages et fichiers consultés, les destinataires des envois frauduleux, et repérer les données personnelles ou sensibles concernées.
6. Rédiger le rapport. Un document factuel, compréhensible par un juriste, qui distingue les constats établis des hypothèses.

Les limites d’une investigation Microsoft 365

Une enquête honnête annonce aussi ce qu’elle ne peut pas démontrer.

• Ne rien trouver ne prouve pas l’absence. Un résultat vide peut venir d’une rétention dépassée, d’un audit de boîte non actif, d’une licence insuffisante ou d’un filtre trop étroit. Il faut d’abord vérifier que la source couvrait bien la période.
• Les plafonds de résultats. L’export depuis le portail Purview est limité (50 000 lignes en Audit Standard), et l’applet Search-UnifiedAuditLog plafonne à 50 000 résultats par session. Un comptage qui atteint un plafond est un minimum, pas un total : il faut alors découper les requêtes.
• Le délai d’ingestion. Les événements apparaissent généralement après 60 à 90 minutes pour les services principaux, parfois davantage.
• L’agrégation des événements. Les accès Sync ne disent pas quels messages ont été lus, seulement que le dossier a été synchronisé.
• Ce qui sort de Microsoft 365. Une fois les données copiées sur l’infrastructure de l’attaquant, leur usage n’est plus traçable dans le locataire.

Le livrable attendu

Le rapport d’enquête doit pouvoir être remis tel quel à la direction juridique, à l’assureur ou à un conseil. Il comprend en général :

• un résumé en langage clair : ce qui est établi, ce qui ne l’est pas ;
• la chronologie horodatée, avec la référence de chaque preuve ;
• le périmètre : comptes, boîtes, fichiers et destinataires concernés ;
• les sources consultées, leurs périodes de couverture et leurs limites ;
• la liste des exports conservés avec leurs empreintes ;
• les mesures de remédiation constatées et les recommandations.

Chez NINA Technologies, nous menons ces enquêtes avec BHOLE, notre plateforme d’audit sécurité Microsoft 365 et d’enquête, également utilisée pour Azure. Elle travaille en lecture seule sur le locataire, interroge les journaux d’audit, les boîtes et les connexions, et produit des pièces datées qui précisent leurs sources et leurs limites.

Conclusion

Après une compromission, chaque jour réduit la quantité de preuves disponibles. Une enquête structurée permet de répondre factuellement à la direction, à la CNIL, à l’assureur et, si besoin, au juge, tout en annonçant clairement ses limites. Si un incident est en cours, contactez notre équipe d’urgence ; pour préparer votre locataire en amont, échangeons sur votre contexte.