Protection contre Ransomware Microsoft 365

Les ransomwares restent l’une des plus grandes menaces pour les environnements Microsoft 365. Les e-mails de phishing et les liens malveillants continuent d’être les points d’entrée les plus courants, permettant aux attaquants d’accéder aux identifiants des utilisateurs et de chiffrer des fichiers SharePoint, du contenu OneDrive et des boîtes de messagerie Exchange.

Microsoft propose des fonctionnalités telles que la corbeille, l’historique des versions et des politiques de conservation de base. Celles-ci s’avèrent utiles dans certains cas de figure, mais ne permettent pas une restauration complète des données à grande échelle. Les outils natifs manquent également d’automatisation, et la restauration de volumes importants de données peut prendre plusieurs jours en raison des limites de débit imposées par les API.
Selon une étude sectorielle, 80 % des entreprises ont subi des attaques par ransomware en 2024, et 93 % de ces attaques visaient les sauvegardes. Les opérations métier critiques peuvent alors être retardées, voire complètement interrompues.

Une stratégie de sauvegarde gérée offre aux équipes informatiques le contrôle dont elles ont besoin pour réagir rapidement et limiter les dégâts.

Il existe plusieurs mesures simples que vous pouvez prendre pour évaluer les vulnérabilités de votre environnement. Vous devez :

1. Auditer les points d’accès : identifiez comment les utilisateurs accèdent aux services M365, notamment via un navigateur, un appareil mobile et des intégrations tierces. Portez une attention particulière à l’accès invité et à l’authentification héritée.
2. Examiner les résultats des tests de phishing : utilisez les résultats des simulations internes de phishing pour évaluer le niveau de risque des utilisateurs. Des taux de clics élevés peuvent mettre en évidence des faiblesses dans la sensibilisation des utilisateurs ou dans la posture de sécurité.
3. Vérifiez les paramètres de conservation : passez en revue les politiques de conservation sur Exchange, OneDrive et SharePoint. Alignez-les sur les exigences légales et opérationnelles.
4. Simulez une restauration : effectuez un test de Recovery pour déterminer quelles données vous pouvez récupérer, combien de temps cela prend et où se situent les lacunes. Cela vous aidera à valider votre plan de Recovery.
5. Évaluez les limitations de l’API : les limites de l’API Microsoft Graph peuvent ralentir les restaurations à grande échelle. Comprenez comment ces limites affectent votre délai de Recovery.

Une stratégie de Backup and Recovery ciblée pour M365 permet de combler les lacunes laissées par les protections natives. Elle offre aux entreprises un meilleur contrôle sur leurs données, améliore les délais de Recovery et facilite la conservation à long terme ainsi que la conformité.

Voici quelques mesures que vous pouvez prendre pour protéger votre environnement M365 :

1. Activez l’authentification multifactorielle (MFA) pour tous les utilisateurs.
   Utilisez Entra ID pour exiger l’authentification multifactorielle pour tous les comptes, y compris ceux des administrateurs et des comptes de service. Créez des stratégies d’accès conditionnel pour appliquer cette exigence à l’échelle de l’entreprise.
2. Configurez les liens sécurisés et les pièces jointes sécurisées.
   Dans Microsoft Defender pour Office 365, activez les liens sécurisés pour analyser et réécrire les URL. Activez les pièces jointes sécurisées pour analyser les fichiers dans un bac à sable avant leur livraison.
3. Limitez les rôles d’administrateur global.
   Passez en revue les attributions de rôles d’administrateur dans Entra ID. Appliquez le principe du privilège minimal et activez l’accès « juste à temps » via Privileged Identity Management pour les tâches sensibles.
4. Configurez des politiques d’accès conditionnel.
   Exigez l’utilisation d’appareils de confiance, bloquez les méthodes d’authentification héritées et appliquez des restrictions basées sur la localisation. Ces politiques permettent de contrôler l’accès en fonction des risques en temps réel.
5. Utilisez exclusivement l’authentification moderne.
   Désactivez les protocoles hérités tels que POP et IMAP. Ceux-ci sont vulnérables aux attaques par « password spraying » et ne prennent pas en charge l’authentification multifactorielle (MFA).
6. Surveillez les journaux d’accès et de connexion.
   Vérifiez régulièrement les journaux dans le Centre de sécurité et de conformité de Microsoft 365. Recherchez des schémas récurrents tels que des échecs de connexion, des adresses IP inhabituelles ou une activité inhabituelle sur les fichiers.

Pour réduire le risque lié aux ransomwares dans Microsoft 365, une simple sauvegarde ne suffit pas. Une fois infiltrés, les attaquants se déplacent souvent latéralement et ciblent les données partagées ainsi que les comptes privilégiés. La segmentation des charges de travail en fonction de leur nature et de leur niveau de sensibilité permet de limiter l’impact et de restreindre l’accès aux systèmes critiques pour l’entreprise.

La segmentation du réseau permet d’isoler les données à forte valeur ajoutée, telles que les contenus financiers, RH ou juridiques, du trafic utilisateur général. Cette approche contribue à réduire le risque que les logiciels malveillants se propagent au-delà du point d’intrusion initial.

Les outils avancés de protection contre les menaces permettent de détecter rapidement les comportements suspects en analysant l’activité de connexion, l’accès aux fichiers et le comportement des utilisateurs. Ces outils s’appuient sur les renseignements sur les menaces et la détection des anomalies pour identifier les signes de compromission que les filtres et règles standard pourraient ne pas détecter.

1. Examinez les journaux de connexion de Microsoft Entra ID.
   Filtrez les tentatives de connexion infructueuses, les adresses IP inhabituelles et les appareils inconnus. Recherchez des schémas pouvant indiquer une attaque par force brute ou par « credential stuffing ».
2. Auditez les rôles privilégiés.
   Dressez la liste de tous les comptes disposant de droits d’administrateur global ou d’autorisations de haut niveau. Supprimez toutes les attributions superflues et mettez en place un accès « juste à temps » pour les tâches sensibles.
3. Vérifiez les politiques d’accès conditionnel.
   Assurez-vous que des politiques sont en place pour exiger l’authentification multifactorielle (MFA), bloquer les protocoles hérités et restreindre l’accès en fonction de la localisation ou de la conformité des appareils.
4. Inspectez les paramètres de partage de SharePoint et OneDrive.
   Identifiez les fichiers ou dossiers partagés via des liens anonymes ou avec des utilisateurs externes. Supprimez les accès qui ne sont plus nécessaires.
5. Analysez les règles des boîtes aux lettres et les paramètres de transfert.
   Recherchez les règles qui transfèrent des e-mails vers l’extérieur ou suppriment automatiquement des messages. Cela peut être le signe d’un détournement de compte.
6. Testez les politiques de prévention des pertes de données (DLP).
   Simulez des actions censées déclencher les protections DLP et vérifiez que des alertes sont générées. Assurez-vous que les mesures d’application fonctionnent conformément à leur configuration.
7. Consignez les résultats et attribuez les tâches de suivi.
   Suivez les problèmes identifiés, désignez des responsables et fixez des délais clairs. Cela permet de garantir la responsabilisation au sein des équipes et favorise l’amélioration continue.

Yedioth Information Technologies (yit), une maison d’édition de premier plan, était confrontée à des défis pour protéger son environnement Microsoft 365 en pleine expansion. Avec 1 000 boîtes aux lettres à sécuriser et un projet d’extension à 1 500, l’entreprise avait besoin d’une solution évolutive capable de répondre aux exigences strictes de conservation des données propres à son activité d’édition.

Après avoir utilisé avec succès Commvault pour la protection sur site, yit a déployé Commvault Cloud Backup and Recovery for Microsoft 365. La mise en œuvre s’est avérée remarquablement efficace : à peine trois heures après l’installation, l’équipe a commencé à sauvegarder les boîtes aux lettres.

« Il est essentiel de disposer d’une solution de gestion des données en tant que service fiable et flexible, capable de prendre en charge notre activité d’édition », a déclaré Eytan Molle, responsable système chez yit. « Commvault Cloud Backup and Recovery pour Microsoft 365 est une solution sécurisée, sûre et pratique. Nous pouvons facilement restaurer les données sans aucun problème. »

Les résultats ont été révolutionnaires. Avant la mise en œuvre de la solution, la restauration de contenus archivés pouvait prendre plusieurs jours et nécessitait souvent de localiser et de transporter des bandes physiques depuis un entrepôt. Ce processus s’avérait particulièrement difficile lorsque les rédacteurs devaient accéder à des articles publiés il y a plusieurs années.

« Désormais, grâce à Commvault Cloud Backup and Recovery for Microsoft 365, nous pouvons restaurer intégralement les données Office 365 en quelques minutes seulement, au lieu de plusieurs jours », a expliqué M. Molle.

La solution a également permis de réduire les frais généraux d’exploitation. Alors qu’il fallait auparavant deux collaborateurs pour gérer les sauvegardes, une seule personne suffit désormais. Le travail le week-end a été supprimé, et l’équipe a gagné en sérénité en sachant que ses données étaient protégées contre les menaces de ransomware, qu’elles se trouvent sur site ou dans le cloud.

Grâce à un tableau de bord intégré, le personnel informatique peut facilement surveiller à la fois les sauvegardes sur site et celles dans le cloud à partir d’une seule interface, ce qui simplifie la gestion et contribue à assurer la continuité des activités. « Je
recommanderais Commvault et Commvault Cloud Backup and Recovery for Microsoft 365 sans aucune hésitation », a déclaré M. Molle. « Vous pouvez oublier les sauvegardes et dormir plus tranquille. »