Catégorie : Sécurité

Votre PME tourne sous Microsoft 365 Business Premium et un partenaire vous propose d’ajouter les modules Defender et Purview Business Premium. Ou de passer directement en Microsoft 365 E5. La question est légitime : ransomware, comptes compromis, fuites de données, questionnaires d’assureur cyber, exigences NIS2 chez vos clients… Mais acheter des licences ne protège de rien tant qu’elles ne sont pas configurées. Cet article fait le point sur ce que contiennent réellement ces modules, à qui ils servent, et comment les déployer sans se noyer.

Defender et Purview Business Premium : de quoi parle-t-on ?

Depuis septembre 2025, Microsoft propose trois modules complémentaires réservés aux clients Business Premium :

• Microsoft Defender Suite for Business Premium : la couche sécurité (identités, postes, messagerie, applications cloud) ;
• Microsoft Purview Suite for Business Premium : la couche protection et gouvernance des données ;
• Microsoft Defender and Purview Suites for Business Premium : les deux réunis dans une seule offre.

Côté grands comptes, Microsoft a aligné ses noms : l’ancien module Microsoft 365 E5 Security s’appelle désormais Microsoft Defender Suite, et Microsoft 365 E5 Compliance est devenu Microsoft Purview Suite. Ces versions « entreprise » s’ajoutent à Microsoft 365 E3, pas à Business Premium.

Les règles d’achat à connaître :

• une licence Business Premium est requise ;
• le total des sièges, tous modules confondus, est plafonné à 300 par client ;
• l’achat se fait via un partenaire (CSP) ou directement auprès de Microsoft ;
• les clients qui avaient ajouté E5 Security à Business Premium pouvaient migrer vers Defender Suite.

L’annonce officielle de Microsoft détaille ces conditions.

Ce que Business Premium couvre déjà

Avant d’acheter, il faut savoir d’où l’on part. Selon la documentation Microsoft, Business Premium inclut notamment :

• Microsoft Entra ID P1 (accès conditionnel, MFA) ;
• Microsoft Intune Plan 1 pour la gestion des postes et des mobiles ;
• Microsoft Defender for Business pour les postes de travail ;
• Microsoft Defender for Office 365 Plan 1 pour la messagerie et les fichiers ;
• Microsoft Purview Information Protection et la prévention des pertes de données (DLP) pour la messagerie et les fichiers.

C’est une base solide. Dans beaucoup de PME, elle est pourtant sous-exploitée : accès conditionnel incomplet, Defender for Business en réglages par défaut, étiquettes de confidentialité jamais publiées. Ajouter des modules sur une base mal configurée revient à empiler des tableaux de bord que personne ne regarde.

Ce qu’apporte le module Defender Suite

Microsoft liste cinq briques principales, chacune répondant à un risque précis :

• Microsoft Entra ID P2 : ID Protection (accès conditionnel basé sur le risque de connexion et le risque utilisateur, détection de pulvérisation de mots de passe) et Privileged Identity Management pour les comptes à privilèges. Utile contre le vol d’identifiants.
• Microsoft Defender for Identity : détection des attaques sur l’Active Directory local (mouvements latéraux, élévation de privilèges). Pertinent si vous avez encore des contrôleurs de domaine.
• Microsoft Defender for Endpoint Plan 2 : EDR complet, chasse avancée aux menaces, réponse en direct sur les postes, rétention des données de télémétrie sur six mois. C’est la brique la plus utile face au ransomware.
• Microsoft Defender for Office 365 Plan 2 : enquête et réponse automatisées, Threat Explorer, simulations d’hameçonnage pour sensibiliser les utilisateurs.
• Microsoft Defender for Cloud Apps : découverte du shadow IT, contrôle des applications SaaS et des autorisations OAuth.

Le piège des licences mixtes sur les postes

Point souvent ignoré : Defender for Business ne gère pas les licences mixtes. Si vous ajoutez Defender Suite pour 30 utilisateurs sur 80, tout le parc reste sur l’expérience Defender for Business. Pour basculer vers Defender for Endpoint Plan 2, il faut licencier tous les utilisateurs, puis demander la bascule au support Microsoft. La FAQ Defender for Business le précise. Un achat partiel peut donc laisser de côté une partie de ce que vous pensiez acheter.

Ce qu’apporte le module Purview Suite

Côté données, l’annonce Microsoft mentionne notamment :

• Information Protection avec classification et étiquetage automatisés, chiffrement des messages et Customer Key ;
• Data Loss Prevention étendue aux applications, aux appareils et aux services cloud ;
• Insider Risk Management : repérer, par exemple, un téléchargement massif de fichiers avant un départ ;
• Communication Compliance pour les communications à risque ;
• Records et Data Lifecycle Management : conservation et suppression automatiques ;
• eDiscovery (Premium) et Audit (Premium) ;
• Compliance Manager et DSPM for AI, pour voir comment Copilot et les autres outils d’IA accèdent aux données sensibles.

Sur l’audit, la différence est concrète : en Audit (Standard), les journaux sont conservés 180 jours par défaut. En Audit (Premium), les événements Exchange, SharePoint, OneDrive et Entra ID sont conservés un an par défaut, avec des événements supplémentaires utiles en enquête (comme l’accès aux éléments de boîte aux lettres). Lors d’une compromission découverte tardivement, cet écart compte.

Modules complémentaires ou Microsoft 365 E5 ?

Pour une organisation de moins de 300 utilisateurs, le choix se résume souvent ainsi :

• Business Premium + modules : vous conservez votre socle et ajoutez la sécurité ou la conformité selon vos besoins. Vous restez soumis au plafond de 300 sièges.
• Microsoft 365 E5 : il réunit l’équivalent fonctionnel de Defender Suite et Purview Suite, mais ajoute aussi Teams Phone, Power BI Pro, Windows 11 Enterprise et Microsoft Security Copilot, dont Microsoft a annoncé l’intégration progressive aux abonnements E5. Il n’a pas de plafond d’utilisateurs.

E5 se justifie surtout si vous approchez des 300 utilisateurs, si vous avez besoin de la téléphonie Teams ou de Power BI, ou si vous visez une croissance rapide. Sinon, les modules sont en général plus cohérents. Les conditions commerciales évoluent régulièrement : faites valider votre scénario par une revue d’optimisation des licences Microsoft 365 avant de vous engager.

Comment décider : une méthode en quatre étapes

1. Inventorier les risques réels. Avez-vous déjà subi un compte compromis, une fraude au virement, un poste chiffré ? Quels sont vos actifs critiques ? Les réponses orientent vers Defender (attaques) ou Purview (données).
2. Mesurer l’existant. Score de sécurité Microsoft, couverture MFA, état de l’accès conditionnel, postes réellement intégrés à Defender. Un audit sécurité Microsoft 365, comme celui que nous réalisons avec notre plateforme BHOLE, donne cet état des lieux.
3. Identifier les profils à couvrir. Direction, finance, RH, administrateurs, juristes : ce sont souvent eux qui concentrent les risques. Mais gardez en tête la règle des licences mixtes sur les postes.
4. Lister les exigences externes. Questionnaires d’assureur, clauses contractuelles, obligations liées à NIS2 pour les entités concernées. Ces modules aident à produire des preuves (journaux, rapports, politiques), mais aucune licence ne rend conforme à elle seule.

Déployer sans se noyer : l’ordre recommandé

1. Consolider le socle Business Premium

MFA pour tous, blocage de l’authentification héritée, accès conditionnel, postes gérés par Intune. Sans ce socle, les modules perdent une grande partie de leur intérêt.

2. Identités d’abord

Activez les stratégies basées sur le risque d’Entra ID en mode « rapport uniquement » pendant quelques semaines, puis appliquez-les. Passez les rôles d’administration sous PIM, avec activation temporaire.

3. Postes et messagerie

Si vous licenciez tout le parc, organisez la bascule vers Defender for Endpoint Plan 2 et vérifiez que chaque poste remonte bien. Activez les règles de réduction de la surface d’attaque en mode audit avant de les bloquer. Lancez une première simulation d’hameçonnage.

4. Données ensuite, par étapes

Côté Purview, commencez par trois ou quatre étiquettes simples, puis des règles DLP en mode simulation. N’activez Insider Risk Management qu’après avoir associé les RH et, selon les cas, le CSE et votre DPO.

Les réglages par défaut à éviter

• Des politiques DLP bloquantes dès le premier jour : elles paralysent les métiers et finissent désactivées.
• Des alertes sans destinataire : chaque alerte Defender doit être lue par quelqu’un, en interne ou chez un prestataire.
• Un achat partiel de Defender Suite en pensant obtenir l’EDR Plan 2 sur quelques postes.
• Un étiquetage automatique lancé sans pilote, sur des milliers de documents.

Pour chaque brique, un pilote de deux à quatre semaines sur un groupe restreint (IT, puis un service volontaire) limite fortement les mauvaises surprises.

Quand faire appel à un expert ? Si vous n’avez personne pour lire les alertes Defender, si votre accès conditionnel n’a jamais été audité, si vous hésitez entre modules et E5, ou si un assureur ou un client exige des preuves rapides. Nos experts Microsoft Defender, Entra ID et Purview interviennent à la demande, au temps réellement passé, pour cadrer le choix et configurer chaque brique avec vous.

Questions fréquentes

Peut-on acheter Defender Suite pour une partie seulement des utilisateurs ?

Oui, l’achat partiel est possible dans la limite de 300 sièges. Mais pour les postes, Defender for Business ne gère pas les licences mixtes : tant que tous les utilisateurs ne sont pas couverts par Defender for Endpoint Plan 2, l’expérience reste celle de Defender for Business. Les autres briques (Entra ID P2, Defender for Office 365 P2…) s’appliquent aux utilisateurs licenciés, selon les règles de chaque produit.

Faut-il prendre Defender Suite ou Purview Suite en premier ?

Cela dépend de vos risques. Face au ransomware et aux comptes compromis, Defender Suite est généralement prioritaire. Si votre enjeu principal est la confidentialité des données ou la préparation à un contentieux, Purview Suite peut passer devant. L’offre combinée évite d’avoir à choisir, à condition d’avoir le temps de tout déployer.

Ces modules rendent-ils une PME conforme à NIS2 ?

Non, pas à eux seuls. NIS2 impose des mesures de gestion des risques, de gouvernance et de notification des incidents qui dépassent l’outillage. Les modules apportent des moyens techniques et des preuves utiles : journaux d’audit plus longs, détection, protection des données. L’organisation et les procédures restent à construire.

Conclusion

Les modules Defender et Purview Business Premium rendent accessibles aux PME des fonctions de sécurité et de conformité de niveau entreprise. Leur valeur dépend de trois choses : un socle Business Premium bien configuré, un achat aligné sur vos risques réels, et un déploiement progressif. Vous souhaitez un regard extérieur sur votre tenant ou sur votre scénario de licences ? Contactez nos experts.

Un client vous signale un e-mail étrange envoyé depuis l’adresse d’un collaborateur. Une facture avec un nouveau RIB est partie au nom de votre comptable. Ou une alerte signale une connexion depuis un pays où vous n’avez personne. Un compte Microsoft 365 piraté peut toucher n’importe quelle entreprise, y compris quand l’authentification multifacteur (MFA) est activée. La première heure compte : il faut couper l’accès de l’attaquant, fermer les portes qu’il a laissées ouvertes et conserver de quoi comprendre ce qui s’est passé. Voici l’ordre d’action que nous recommandons aux responsables IT et dirigeants de PME et d’ETI.

Reconnaître un compte Microsoft 365 piraté

Les signes sont rarement spectaculaires. Ceux qui reviennent le plus souvent :

• des messages inconnus dans les Éléments envoyés ou les Éléments supprimés (fausse facture, demande de virement, lien de partage de document) ;
• des règles de boîte de réception suspectes : transfert vers une adresse externe, déplacement automatique des messages vers « Courrier indésirable », « Flux RSS » ou un dossier peu consulté ;
• un transfert de messagerie externe ajouté récemment sur la boîte ;
• une boîte bloquée en envoi par Microsoft après une vague de spam ;
• des connexions réussies depuis des adresses IP, pays ou appareils inhabituels dans les journaux de connexion ;
• une nouvelle méthode MFA enregistrée que l’utilisateur ne reconnaît pas ;
• des changements de mot de passe ou des verrouillages inexpliqués, une signature modifiée.

Une MFA active ne suffit pas à écarter l’hypothèse. Les kits d’hameçonnage de type « adversary-in-the-middle » volent le jeton de session après la validation MFA, et l’attaquant n’a alors plus besoin du mot de passe.

Les étapes immédiates, dans l’ordre

Avant de toucher à quoi que ce soit, ouvrez un document de suivi : heure de chaque action, qui l’a faite, ce qui a été constaté. Il servira à l’enquête, à l’assureur et, le cas échéant, à la CNIL.

1. Bloquer la connexion et révoquer les sessions

Changer le mot de passe ne suffit pas : un attaquant qui détient un jeton valide reste connecté. Commencez donc par :

• Bloquer la connexion du compte : dans le Microsoft Entra admin center (Entra ID > Utilisateurs), décochez « Compte activé » ; ou, dans le Centre d’administration Microsoft 365, utilisez « Bloquer la connexion » sur l’utilisateur.
• Révoquer les sessions : bouton « Revoke sessions » (Révoquer les sessions) sur la fiche de l’utilisateur dans Entra, ou la commande PowerShell Revoke-MgUserSignInSession. Les jetons d’actualisation sont invalidés.

Un jeton d’accès déjà émis peut rester utilisable jusqu’à son expiration (une heure par défaut), sauf pour les applications compatibles avec l’évaluation continue de l’accès (CAE). Le blocage de connexion empêche l’attaquant d’en obtenir de nouveaux. Si le compte est synchronisé depuis un Active Directory local, désactivez-le aussi côté AD.

2. Réinitialiser le mot de passe

Choisissez un mot de passe long et unique, jamais réutilisé, et ne l’envoyez pas par e-mail. Pour un compte synchronisé, Microsoft recommande de le réinitialiser deux fois dans l’Active Directory local. Supprimez aussi les éventuels mots de passe d’application : la réinitialisation ne les révoque pas.

3. Vérifier et réenregistrer les méthodes MFA

Dans Entra, ouvrez les méthodes d’authentification de l’utilisateur. Supprimez tout téléphone, application Authenticator ou clé que la personne ne reconnaît pas. En cas de doute, supprimez toutes les méthodes et faites-les réenregistrer en présence de l’utilisateur, après avoir vérifié son identité par un autre canal que la messagerie.

4. Supprimer les règles de boîte de réception et les transferts

C’est souvent là que l’attaquant laisse sa porte de sortie. Contrôlez :

• le transfert au niveau de la boîte (adresse de transfert, transfert SMTP externe) dans le Centre d’administration Exchange ;
• les règles de boîte de réception, y compris les règles masquées, avec Get-InboxRule -IncludeHidden dans Exchange Online PowerShell ;
• les modifications de signature et de réponse automatique.

Exportez ou capturez chaque règle avant de la supprimer : son contenu (adresse de destination, mots-clés filtrés comme « facture » ou « virement ») renseigne sur l’objectif de l’attaquant.

5. Contrôler les délégations et les applications OAuth

• Délégations : vérifiez les autorisations d’accès complet, « Envoyer en tant que » et « Envoyer de la part de » sur la boîte, ainsi que les accès que ce compte a obtenus sur d’autres boîtes.
• Applications consenties : dans Entra (Applications d’entreprise), repérez les applications auxquelles l’utilisateur a donné son consentement récemment. Une application OAuth malveillante conserve son accès même après le changement de mot de passe : révoquez ses autorisations.

6. Vérifier les droits d’administration

Si le compte compromis possède un rôle d’administrateur, la situation change d’échelle. Vérifiez les rôles Microsoft Entra, les rôles Azure, les autorisations dans Microsoft Purview et dans le portail Microsoft Defender. Recherchez aussi les créations de comptes, les nouvelles applications inscrites et les modifications de stratégies d’accès conditionnel faites pendant la période suspecte.

7. Prévenir les contacts si nécessaire

La trace des messages (Centre d’administration Exchange) montre qui a reçu des e-mails pendant la période suspecte. Prévenez ces destinataires, en particulier clients et fournisseurs, par un canal fiable : un appel à un interlocuteur connu vaut mieux qu’un e-mail qu’on pourrait croire frauduleux. Si Microsoft a bloqué l’envoi, l’utilisateur se débloque depuis la page « Entités restreintes » du portail Microsoft Defender, une fois l’incident maîtrisé.

Ce qu’il ne faut pas faire

• Supprimer le compte ou la boîte aux lettres : vous perdez les éléments qui permettent de comprendre l’attaque et d’en mesurer l’étendue.
• Effacer les messages frauduleux ou les règles sans les avoir documentés.
• Réinstaller ou réinitialiser le poste de l’utilisateur dans la précipitation : isolez-le du réseau, mais conservez-le en l’état si une analyse est envisagée.
• Prévenir l’utilisateur ou les équipes par e-mail sur une messagerie que l’attaquant lit peut-être encore.
• Se contenter du changement de mot de passe sans révoquer les sessions ni vérifier règles et applications.

Conserver les preuves et les journaux

Les journaux Microsoft ne sont pas conservés indéfiniment. Avec Microsoft Entra ID Free, les journaux de connexion et d’audit sont gardés 7 jours ; 30 jours avec Entra ID P1 ou P2. Côté Microsoft Purview, l’audit Standard conserve les événements 180 jours par défaut, et l’audit Premium jusqu’à un an pour les utilisateurs disposant d’une licence E5 ou équivalente. Un passage à une licence supérieure ne récupère pas l’historique déjà expiré.

Dès la première heure, exportez donc :

• les journaux de connexion Entra du compte (adresses IP, localisation, application, résultat) ;
• une recherche d’audit dans le portail Microsoft Purview, sur une période qui démarre avant les premiers signes, sans filtrer par activité ;
• la trace des messages envoyés pendant la période suspecte ;
• les règles, transferts, délégations et consentements constatés, avec captures d’écran horodatées.

Dans le portail Microsoft Defender (Microsoft Defender XDR), les incidents et alertes liés au compte complètent ce tableau si vos licences les couvrent.

Vos obligations après un compte Microsoft 365 piraté

RGPD et notification à la CNIL

Une boîte aux lettres contient presque toujours des données personnelles. Si l’incident présente un risque pour les droits et libertés des personnes, la violation doit être notifiée à la CNIL dans les meilleurs délais, et si possible dans les 72 heures après en avoir pris connaissance. Une notification initiale peut être complétée ensuite, au fil de l’enquête. En cas de risque élevé, les personnes concernées doivent aussi être informées. Dans tous les cas, l’incident doit être documenté en interne, même s’il n’est pas notifié. Le guide de la CNIL sur la notification des violations détaille la démarche.

Dépôt de plainte et assurance

Déposez plainte auprès de la police, de la gendarmerie ou par courrier au procureur de la République. Si vous êtes assuré contre le risque cyber, le code des assurances (article L. 12-10-1) conditionne l’indemnisation d’une cyberattaque à un dépôt de plainte dans les 72 heures suivant la connaissance de l’atteinte : prévenez aussi votre assureur. Le site cybermalveillance.gouv.fr et le service 17Cyber orientent les entreprises victimes vers les bons interlocuteurs.

Prévenir la récidive

Une fois l’urgence passée, plusieurs mesures réduisent nettement le risque :

• MFA résistante à l’hameçonnage : clés de sécurité FIDO2, passkeys, Windows Hello Entreprise ou authentification par certificat, en priorité pour les administrateurs et les fonctions financières.
• Accès conditionnel : exiger un appareil conforme ou un emplacement maîtrisé, et appliquer des politiques fondées sur le risque de connexion. Il nécessite une licence Microsoft Entra ID P1 au minimum.
• Désactivation de l’authentification héritée : ces protocoles ne prennent pas en charge la MFA. Une stratégie d’accès conditionnel ou les paramètres de sécurité par défaut permettent de la bloquer.
• Blocage du transfert externe automatique dans les stratégies anti-spam sortantes, avec des exceptions justifiées.
• Restriction du consentement des utilisateurs aux applications, avec un circuit de validation par l’administrateur.
• Alertes : création de règles de transfert, nouvelles méthodes MFA, connexions à risque, octroi de rôles d’administration.
• Conservation des journaux au-delà des durées par défaut, par export vers un stockage ou un SIEM.

Pour aller plus loin, voyez nos pages expert Entra ID, Exchange Online et migration Exchange hybride et déploiement de Microsoft Defender.

Quand faire appel à un expert

Faites-vous accompagner si le compte compromis a des droits d’administration, si des virements ont été demandés ou effectués, si plusieurs comptes semblent touchés, si vous devez évaluer une notification à la CNIL, ou si vos équipes manquent de temps pour enquêter sans détruire de preuves. NINA Technologies peut intervenir en urgence, sans contrat préalable. Pour l’enquête, nous nous appuyons sur BHOLE, notre plateforme d’audit et d’enquête Microsoft 365, qui aide à reconstituer la chronologie des connexions et des actions sur les boîtes.

Questions fréquentes

Le changement de mot de passe suffit-il à couper l’accès de l’attaquant ?

Non. Les sessions et jetons déjà obtenus peuvent rester valides, tout comme les applications OAuth consenties et les règles de transfert. Il faut bloquer la connexion, révoquer les sessions, puis contrôler méthodes MFA, règles et applications.

Comment un compte protégé par MFA a-t-il pu être piraté ?

Le plus souvent par un hameçonnage qui relaie la page de connexion Microsoft et capture le jeton de session après la validation MFA. D’autres causes existent : fatigue MFA, protocole hérité resté ouvert, application malveillante. Une MFA résistante à l’hameçonnage limite fortement ces scénarios.

Faut-il toujours notifier la CNIL ?

Pas systématiquement. La notification est requise lorsque la violation présente un risque pour les droits et libertés des personnes, ce qui est fréquent quand une messagerie est exposée. La CNIL recommande de notifier en cas de doute. Dans tous les cas, documentez l’incident en interne.

En résumé

Face à un compte Microsoft 365 piraté, l’ordre compte : bloquer et révoquer, réinitialiser, nettoyer MFA, règles, délégations et applications, vérifier les droits d’administration, puis prévenir les bonnes personnes. Conservez tout avant de supprimer quoi que ce soit, et engagez sans attendre les démarches CNIL, plainte et assurance. Si vous avez besoin d’un renfort immédiat, consultez notre page urgence Microsoft 365 ou contactez-nous.

Un virement détourné, un fournisseur qui reçoit un faux RIB depuis une vraie adresse de l’entreprise, une boîte aux lettres qui envoie des centaines de messages piégés : la compromission est confirmée, le mot de passe est changé. Reste la question que poseront la direction, l’avocat et l’assureur : qu’a fait l’attaquant ? Une enquête compromission Microsoft 365 sert à y répondre avec des faits, à partir des journaux du locataire, avant que ces journaux ne disparaissent. Voici les sources de preuves disponibles, leurs durées de conservation, la méthode et les limites à connaître.

Pourquoi mener une enquête compromission Microsoft 365

Réinitialiser le compte arrête l’attaque, mais ne dit rien de son ampleur. Or plusieurs décisions dépendent de cette ampleur.

• Mesurer la fuite. Quels messages, pièces jointes et fichiers ont été consultés ou téléchargés ? Quels partenaires ont reçu des messages frauduleux ?
• Respecter le RGPD. Une violation de données personnelles présentant un risque doit être notifiée à la CNIL dans les 72 heures après sa découverte, et les personnes concernées informées si le risque est élevé. Sans enquête, impossible d’évaluer ce risque correctement.
• Documenter le sinistre pour l’assurance cyber. L’assureur demande en général une chronologie et des éléments factuels sur l’origine et les conséquences de l’incident.
• Préparer un éventuel contentieux. Plainte, litige avec un fournisseur ou une banque sur un virement : les journaux sont souvent les seules pièces techniques disponibles.
• Éviter la récidive. Une règle de transfert oubliée ou une application consentie par l’attaquant peut maintenir l’accès après le changement de mot de passe.

Les sources de preuves dans Microsoft 365 et Entra ID

Le journal d’audit Microsoft 365 (Microsoft Purview Audit)

Le journal d’audit unifié centralise les activités d’Exchange Online, SharePoint, OneDrive, Teams et Entra ID. C’est la source principale de l’investigation Microsoft 365. On y retrouve notamment :

• la création ou la modification de règles de boîte (New-InboxRule, Set-InboxRule, UpdateInboxRules), typiques d’une fraude au virement ;
• les ajouts de délégations ou de transferts sur la boîte ;
• les envois de messages, les suppressions et les déplacements d’éléments ;
• les téléchargements et partages de fichiers SharePoint et OneDrive ;
• les consentements accordés à des applications et les modifications de méthodes d’authentification.

MailItemsAccessed : savoir ce qui a été lu

L’événement MailItemsAccessed trace l’accès aux messages par les différents protocoles (Outlook, web, IMAP, POP, EWS, REST…). Il fait partie d’Audit Standard et est activé par défaut pour les utilisateurs disposant d’une licence Office 365 ou Microsoft 365 E3/E5. Deux types d’accès sont à distinguer :

• Bind : accès à un message précis, identifié par son InternetMessageId. On peut alors lister les messages réellement ouverts.
• Sync : synchronisation d’un dossier entier par un client Outlook de bureau. L’événement concerne le dossier, et tout son contenu doit alors être considéré comme exposé.

Ces enregistrements sont agrégés et dédupliqués par Microsoft. Microsoft détaille ce fonctionnement dans sa documentation sur l’investigation des comptes compromis. Leur lecture demande de croiser l’adresse IP, l’identifiant de session et l’application cliente pour séparer l’activité de l’attaquant de celle de l’utilisateur légitime.

Les journaux de connexion Entra ID

Ils indiquent qui s’est connecté, quand, d’où (adresse IP, localisation approximative), avec quelle application et quel résultat d’authentification multifacteur. Ils permettent de dater le premier accès, de repérer un vol de jeton ou de session, et de rattacher une adresse IP malveillante à des actions vues dans le journal d’audit. Les journaux d’audit Entra complètent le tableau : ajout de méthode MFA, enregistrement d’appareil, consentement d’application.

Le suivi des messages (message trace)

Le suivi des messages d’Exchange Online montre les flux entrants et sortants : expéditeur, destinataires, objet, date, statut de remise. Il sert à établir la liste des destinataires des messages frauduleux et à repérer les transferts automatiques vers l’extérieur.

Applications, consentements et Defender XDR

• Applications d’entreprise et consentements : une application tierce autorisée à lire la messagerie peut continuer d’y accéder sans mot de passe. Il faut en dresser l’inventaire et vérifier les dates d’autorisation.
• Microsoft Defender XDR : alertes, incidents corrélés et requêtes de repérage avancé (advanced hunting) apportent un contexte précieux, si les licences correspondantes sont en place.

Durées de conservation : le facteur temps

Chaque source a sa propre durée de rétention, liée aux licences. Passé ce délai, les données sont perdues, et souscrire une licence supérieure après coup ne les fait pas réapparaître.

• Audit Standard : 180 jours par défaut pour les enregistrements générés depuis le 17 octobre 2023 (90 jours auparavant).
• Audit Premium (licences E5 ou module complémentaire eDiscovery and Audit) : un an par défaut pour Exchange, SharePoint, OneDrive et Entra ID, extensible jusqu’à dix ans avec le module complémentaire dédié. La licence doit être attribuée à l’utilisateur qui a généré l’activité.
• Journaux de connexion et d’audit Entra ID : 7 jours avec Entra ID Free, 30 jours avec P1 ou P2. Au-delà, il faut les avoir exportés au préalable (Azure Monitor, stockage, SIEM).
• Suivi des messages : 90 jours de recul, interrogeables par tranches de 10 jours.
• Repérage avancé Defender XDR : 30 jours de données natives, sauf rétention étendue via Microsoft Sentinel.

Conséquence pratique : les journaux de connexion d’un locataire sans export sont souvent les premiers à disparaître. Leur extraction est la toute première action à mener. Les durées officielles sont publiées par Microsoft pour Purview Audit et pour Entra ID.

La méthode : de la collecte au rapport

1. Préserver avant d’agir. Exporter immédiatement les journaux de connexion, le journal d’audit et le suivi des messages sur la période utile. Éviter de supprimer comptes, règles ou boîtes avant d’en avoir conservé une trace.
2. Tracer la chaîne de traçabilité. Noter qui a extrait quoi, quand, avec quels filtres, et calculer une empreinte (hash) de chaque fichier. Conserver les exports bruts, sans retouche.
3. Délimiter le périmètre. Identifier les comptes compromis à partir des IP, des applications et des schémas de connexion suspects, puis rechercher ces mêmes indicateurs sur l’ensemble du locataire.
4. Construire la chronologie. Premier accès, persistance (règles, applications, MFA ajoutée), actions (lectures, envois, téléchargements), remédiation. Chaque étape est reliée à un enregistrement précis.
5. Qualifier l’exposition. Lister les messages et fichiers consultés, les destinataires des envois frauduleux, et repérer les données personnelles ou sensibles concernées.
6. Rédiger le rapport. Un document factuel, compréhensible par un juriste, qui distingue les constats établis des hypothèses.

Les limites d’une investigation Microsoft 365

Une enquête honnête annonce aussi ce qu’elle ne peut pas démontrer.

• Ne rien trouver ne prouve pas l’absence. Un résultat vide peut venir d’une rétention dépassée, d’un audit de boîte non actif, d’une licence insuffisante ou d’un filtre trop étroit. Il faut d’abord vérifier que la source couvrait bien la période.
• Les plafonds de résultats. L’export depuis le portail Purview est limité (50 000 lignes en Audit Standard), et l’applet Search-UnifiedAuditLog plafonne à 50 000 résultats par session. Un comptage qui atteint un plafond est un minimum, pas un total : il faut alors découper les requêtes.
• Le délai d’ingestion. Les événements apparaissent généralement après 60 à 90 minutes pour les services principaux, parfois davantage.
• L’agrégation des événements. Les accès Sync ne disent pas quels messages ont été lus, seulement que le dossier a été synchronisé.
• Ce qui sort de Microsoft 365. Une fois les données copiées sur l’infrastructure de l’attaquant, leur usage n’est plus traçable dans le locataire.

Le livrable attendu

Le rapport d’enquête doit pouvoir être remis tel quel à la direction juridique, à l’assureur ou à un conseil. Il comprend en général :

• un résumé en langage clair : ce qui est établi, ce qui ne l’est pas ;
• la chronologie horodatée, avec la référence de chaque preuve ;
• le périmètre : comptes, boîtes, fichiers et destinataires concernés ;
• les sources consultées, leurs périodes de couverture et leurs limites ;
• la liste des exports conservés avec leurs empreintes ;
• les mesures de remédiation constatées et les recommandations.

Chez NINA Technologies, nous menons ces enquêtes avec BHOLE, notre plateforme d’audit sécurité Microsoft 365 et d’enquête, également utilisée pour Azure. Elle travaille en lecture seule sur le locataire, interroge les journaux d’audit, les boîtes et les connexions, et produit des pièces datées qui précisent leurs sources et leurs limites.

Quand faire appel à un expert

• Un virement frauduleux ou une demande de rançon impose une réponse rapide et argumentée.
• Des données personnelles ou confidentielles ont pu être consultées et une notification à la CNIL est envisagée.
• L’assureur, un avocat ou un partenaire demande un rapport technique.
• Les journaux de connexion approchent de la fin de leur période de conservation.
• L’équipe interne n’a pas l’habitude des journaux Purview et Entra ID ou manque de temps.

Notre intervention d’urgence Microsoft 365 permet de sécuriser les preuves sans contrat préalable, et notre accompagnement des contentieux informatiques prolonge le travail technique jusqu’au dossier juridique.

Questions fréquentes

Peut-on savoir précisément quels e-mails l’attaquant a lus ?

Souvent en partie. Les événements MailItemsAccessed de type Bind identifient les messages ouverts un par un. En cas d’accès Sync, seul le dossier synchronisé est connu, et tout son contenu doit être considéré comme exposé. Encore faut-il que l’audit de boîte ait été actif et que la rétention couvre la période.

Faut-il une licence E5 pour mener l’enquête ?

Non, une enquête est possible avec Audit Standard. La licence E5 ou le module eDiscovery and Audit allongent surtout la conservation à un an. Le point critique reste le délai : il faut extraire les journaux avant leur expiration, en particulier ceux d’Entra ID.

Le changement de mot de passe suffit-il à couper l’accès ?

Pas toujours. Il faut aussi révoquer les sessions actives, supprimer les règles de transfert, retirer les méthodes MFA ajoutées et les consentements d’applications suspects. Pour aller plus loin sur la protection des identités, consultez notre page expert Microsoft Entra ID.

Conclusion

Après une compromission, chaque jour réduit la quantité de preuves disponibles. Une enquête structurée permet de répondre factuellement à la direction, à la CNIL, à l’assureur et, si besoin, au juge, tout en annonçant clairement ses limites. Si un incident est en cours, contactez notre équipe d’urgence ; pour préparer votre locataire en amont, échangeons sur votre contexte.