Entrazure
Ce que nous construisons
La conception du locataire Entra ID. Le modèle de rôles, la structure de groupes et le cycle de vie : comment un compte est créé, ce qu’il hérite, ce qui se passe au changement d’équipe, et ce qui se passe le jour du départ. La plupart des problèmes d’accès sont des questions d’arrivée-mutation-départ déguisées en enjeux techniques.
L’accès conditionnel, d’abord en mode rapport seulement. Les politiques sont conçues sur vos données de connexion réelles, exécutées en mode rapport seulement, mesurées, puis appliquées par étapes. Conformité de l’appareil, emplacement, niveau de risque et sensibilité de l’application pilotent la décision. Les comptes de secours sont créés, exclus, placés sous alerte et testés avant toute application.
La gestion des identités privilégiées. Aucun administrateur général permanent. Les rôles privilégiés s’activent pour une fenêtre définie, avec justification et approbation quand le rôle le justifie, et l’historique d’activation devient une preuve d’audit sans que personne l’assemble. Les revues d’accès s’exécutent selon un calendrier et retirent ce que personne ne réapprouve.
Les identités de charge de travail. Principaux de service et identités gérées inventoriés, secrets remplacés par des identifiants fédérés là où la plateforme le permet, expiration surveillée ailleurs. Une identité non humaine portant un secret sans expiration est le chemin d’élévation de privilèges le plus discret d’un locataire.
Les accès invités et externes. Gouvernance B2B, limites de partage externe, et un cycle de revue qui retire réellement les accès. La plupart des locataires hébergent encore des invités issus de projets terminés.
Microsoft Defender XDR. Protection des postes, des identités, de la messagerie et des applications infonuagiques déployée comme une seule posture, plutôt que quatre consoles avec quatre propriétaires, avec les actions de réponse définies avant l’incident.
Microsoft Sentinel, dimensionné honnêtement. La conception de l’ingestion d’abord, parce que c’est le facteur de coût que tout le monde découvre trop tard. Puis des règles d’analytique réglées sur votre environnement, des playbooks d’automatisation pour les étapes répétitives, et un chemin d’escalade écrit.
Defender for Cloud sur le parc. Remédiation du score de sécurité avec une cible mensuelle, et tableaux de bord de conformité réglementaire alignés sur les cadres au regard desquels vous êtes réellement évalués.
Qui demande l’accès
- Personnes Employés Un seul cycle de vie : création, mobilité, départ. La plupart des problèmes d’accès sont des problèmes d’arrivée, de mutation et de départ déguisés en problèmes techniques.
- Personnes Invités B2B Parrainés, limités dans le temps, retirés par le cycle de revue plutôt que par quelqu’un qui se souvient que le projet est terminé.
- Non humaines Identités de charge de travail Applications et chaînes de déploiement. Informations d’identification fédérées là où la plateforme le permet, expiration surveillée là où elle ne le permet pas.
- Exception Comptes de secours Deux comptes, exclus de l’accès conditionnel volontairement, conservés hors ligne, et une alerte à chaque connexion.
Ce qui décide
- Microsoft Entra ID Accès conditionnel Conformité de l’appareil, emplacement, risque de connexion et sensibilité de l’application. Construit en mode rapport seul, mesuré sur les vraies connexions, puis appliqué par étapes.
- Microsoft Entra ID Privileged Identity Management Aucun administrateur général permanent. Un rôle privilégié s’active pour une durée définie, avec justification et approbation quand le rôle le mérite.
- Microsoft Entra ID Revues d’accès Programmées, pas sur demande. Un accès que personne ne réapprouve expire au lieu de s’accumuler pendant deux ans.
Ce qui est atteint
- Bureautique Microsoft 365 Exchange et SharePoint, sous la même frontière de partage, ce qu’un audit de surexposition examine réellement.
- Plateforme Abonnements Azure Attributions de rôle limitées à un groupe de gestion ou à un groupe de ressources. Personne n’est propriétaire de tout.
- Applications Applications métier Authentification unique par le locataire, attribution par groupe, et aucun magasin de mots de passe local à récupérer.
Ce qui observe, sur tous les chemins ci-dessus
- Détection Microsoft Sentinel Journaux de connexion et d’audit, règles d’analyse ajustées à ce locataire, et volume d’ingestion dimensionné honnêtement avant d’allumer quoi que ce soit.
- Détection Microsoft Defender XDR Signaux des postes, de l’identité, de la messagerie et des applications infonuagiques lus comme une seule posture plutôt que comme quatre consoles à quatre propriétaires.
- Le liseré de couleur est le chemin normal. Tout ce qui n’est pas une exception l’emprunte.
- Le liseré foncé est l’exception voulue, inscrite dans la conception, documentée et sous alerte.
La confiance zéro, sans l’affiche
La confiance zéro est un principe de conception, pas un produit, et aucun fournisseur ne peut vous la vendre terminée. En pratique, elle se réduit à quelques décisions appliquées avec constance : chaque demande d’accès est authentifiée et autorisée explicitement, le privilège est accordé pour la durée minimale au lieu d’être détenu en permanence, et l’architecture présume qu’une compromission a déjà eu lieu quelque part.
Cela produit du travail concret, et c’est le travail décrit plus haut. L’accès conditionnel remplace l’emplacement réseau comme contrôle principal. Les points de terminaison privés et la segmentation limitent ce qu’une charge compromise peut atteindre. L’accès privilégié est borné dans le temps. La journalisation est centralisée, sans quoi la détection est impossible. Quand une firme décrit la confiance zéro sans nommer ces artefacts, elle décrit une diapositive.
L’architecture de sécurité de nos mandats est dirigée par des architectes certifiés en sécurité de l’information, et les décisions de conception sont consignées avec leur raisonnement, pour que la personne qui les défendra devant un évaluateur dans deux ans n’ait pas à les reconstituer de mémoire.
Comment le mandat se déroule
Semaines 1 et 2, revue d’identité. Évaluation du locataire contre une liste fixe : rôles privilégiés, méthodes d’authentification, protocoles hérités, principaux de service, invités, couverture de l’accès conditionnel et angles morts. Le livrable est un rapport de constats priorisé avec effort et risque par élément, et il est utile même si vous vous arrêtez là.
Semaines 3 et 4, remédiation de l’identité. Les constats qui comptent le plus, dans l’ordre : accès privilégié sous PIM, force d’authentification, accès conditionnel conçu et en mode rapport seulement, secrets de principaux de service remplacés.
Semaines 5 et 6, application et détection. Application échelonnée de l’accès conditionnel avec supervision à chaque étape. Déploiement de Defender XDR, conception de la collecte Sentinel, règles d’analytique et playbooks.
Semaines 7 et 8, preuve et transfert. Cycles de revues d’accès planifiés, reddition de conformité configurée, procédures écrites, et un exercice sur table portant sur un scénario réaliste, le plus utile étant la compromission d’un compte privilégié.
Ce que vous gardez
- Le rapport d’évaluation du locataire, avec constats, cote de risque et état de remédiation.
- Les politiques d’accès conditionnel en configuration exportable, avec la preuve du mode rapport seulement derrière chacune.
- Les réglages de rôles PIM, les flux d’approbation et l’historique d’activation qu’ils produisent.
- Un inventaire des principaux de service et identités gérées, avec propriétaires et dates d’expiration.
- Les règles d’analytique Sentinel, les playbooks et le modèle de coût d’ingestion.
- Les procédures d’incident et les constats de l’exercice sur table.
- Un registre d’exceptions daté, parce que ce sont les exceptions que les auditeurs lisent vraiment.
Pour qui c’est
Des organisations de 100 à 5 000 personnes avec Microsoft 365 et Azure en production, et un déclencheur : un audit à venir, un questionnaire de sécurité client, un renouvellement d’assurance cyber, une fusion, ou un incident chez un pair qui a fait poser une question au conseil. C’est un préalable à tout projet d’ingénierie IA, parce qu’un agent hérite de ce que l’utilisateur pouvait déjà ouvrir. Le mandat avance en parallèle de l’architecture de conformité quand une échéance réglementaire dicte le calendrier, et les secteurs réglementés sont notre terrain habituel, voyez la santé.
Pour qui ce n’est pas
Si vous avez besoin d’un test d’intrusion ou d’un exercice d’équipe rouge, achetez-le à une firme de test spécialisée. Nous concevons et construisons les contrôles, et faire construire puis tester par la même firme est un arrangement plus faible pour vous.
Si l’exigence est un certificat plutôt qu’un contrôle, nous ne sommes pas le bon choix. Nous n’apposerons pas notre nom sur une architecture que nous ne croyons pas solide.
Et si votre organisation refuse toute friction pour les utilisateurs privilégiés, l’accès conditionnel et PIM finiront en décoration. C’est votre décision, mais elle doit être prise explicitement plutôt que découverte à mi-déploiement.
Pages liées
- Architecture de conformité, là où ces contrôles deviennent des preuves d’audit.
- Landing zone Azure, la base d’identité et de réseau en dessous.
- Azure infogéré et FinOps, qui surveille la posture après le projet.
- Tous les services Azure, le catalogue complet des mandats.
Questions fréquentes
Par où commencez-vous ?
Par l’identité, toujours. Deux semaines de revue du locataire Entra ID répondent aux questions que posent d’abord l’auditeur et l’attaquant : qui détient des rôles privilégiés permanents, quels comptes contournent l’authentification multifacteur, quels principaux de service portent des secrets sans expiration, et combien de comptes invités ont encore accès à quelque chose.
L’accès conditionnel va-t-il bloquer nos utilisateurs ?
Pas s’il est déployé correctement. Chaque politique est d’abord construite en mode rapport seulement et mesurée sur des données de connexion réelles avant d’être appliquée, les comptes de secours sont exclus et surveillés, et le déploiement est échelonné par groupe. Il n’y a aucune raison d’appliquer à l’aveugle.
Combien coûte Sentinel à l’exploitation ?
Presque uniquement en fonction de l’ingestion, raison pour laquelle nous concevons la collecte avant d’activer quoi que ce soit. Nous modélisons le coût mensuel par source, recommandons quels journaux relèvent d’un palier d’analytique et lesquels relèvent d’une rétention longue durée moins chère, et posons une alerte budgétaire. C’est sur la facture Sentinel que la confiance envers un partenaire de sécurité se perd.
PIM est-il utile si nous avons déjà l’authentification multifacteur ?
Oui. L’authentification multifacteur prouve qui se connecte. La gestion des identités privilégiées décide si la personne détient le privilège quand elle ne s’en sert pas. Huit comptes avec le rôle d’administrateur général permanent, c’est le constat qui revient dans presque toutes les revues de locataire, et c’est le moins coûteux à corriger.
Pouvez-vous exploiter nos opérations de sécurité ?
Nous construisons et réglons la pile de détection, et nous pouvons l’exploiter dans le cadre d’une entente d’infogérance. Entrazure est aussi MSSP et revendeur pour Klarvant, un produit tiers de renseignement sur les espaces de noms et le territoire numérique, pertinent à l’échelle grande entreprise et gouvernementale plutôt qu’au marché intermédiaire.
Quelle preuve d’audit cela produit-il ?
Registres de revues d’accès, exports des politiques d’accès conditionnel, historique d’activation PIM, historique d’attribution des rôles privilégiés et rapports de conformité réglementaire de Defender for Cloud. Ces artefacts se rattachent directement aux sections identité et contrôle d’accès de SOC 2, HIPAA et ISO 27001.
Une question sur ce mandat ?
Trois champs. Un architecte le lit et répond en un jour ouvrable.