Qu’est-ce que la sauvegarde de configuration M365 / Entra / Azure?

La sauvegarde de configuration capture et prend des instantanés des paramètres du locataire, comme les politiques d’accès conditionnel, les attributions de rôles, les inscriptions d’applications, les autorisations OAuth, les profils Intune, les règles NSG, les politiques d’accès Key Vault et les règles de flux de courrier, afin que les modifications puissent être détectées, journalisées et annulées. Elle se distingue de la sauvegarde du contenu des boîtes aux lettres ou des fichiers (Dropsuite, SkyKick, Veeam), qui capture les données des utilisateurs.

Lavawall® couvre-t-il les utilisateurs Entra ID?

Oui. Lavawall® prend des instantanés des utilisateurs Entra, tant infonuagiques seulement qu’hybrides (synchronisés depuis AD sur site), avec des comparaisons au niveau des attributs sur accountEnabled, assignedLicenses, manager, jobTitle, department, l’état de synchronisation sur site, les adresses proxy et d’autres champs pertinents pour les privilèges. Le premier passage d’instantanés est silencieux (aucun bruit dans le flux des modifications); les passages suivants comparent et produisent des lignes de modification par attribut, avec prise en charge de la restauration.

Et la surveillance de l’intégrité des fichiers?

Oui, comme capacité des postes de travail plutôt que de la configuration du locataire. Lavawall® l’assure par l’agent Lavawall® sur les postes Windows, macOS et Linux, avec l’analyse des journaux d’événements et l’analyse des vulnérabilités de configuration. La sauvegarde de configuration et la surveillance des postes de travail sont des couches différentes; Lavawall® offre les deux dans une seule plateforme. Consultez la documentation de Cayosoft et de Dropsuite pour la couverture des postes de travail.

Pourquoi le journal d’audit de Microsoft ne suffit-il pas?

Parce qu’il consigne qu’une modification a eu lieu, mais ne peut pas l’annuler. La conservation de l’audit Microsoft est de 30 jours pour les forfaits par défaut, et le journal ne stocke pas la valeur précédente ni n’offre de retour arrière en un clic. Les outils de sauvegarde de configuration prennent un instantané de l’état réel des objets et permettent la restauration.

CIPP est-il un outil de sauvegarde de configuration?

En partie. CIPP comprend le suivi des modifications et une certaine gestion de configuration pour les FSG, mais son principal axe de conception est la normalisation en masse entre les locataires plutôt qu’une restauration structurée par objet avec un cycle de vie planifier, approuver, exécuter. Il est à code source ouvert et auto-hébergé.

Ai-je besoin d’une sauvegarde de configuration si j’ai un EDR?

Oui. L’EDR est une détection comportementale des postes de travail. Il ne voit pas la désactivation de politiques d’accès conditionnel, l’ouverture d’autorisations OAuth à Mail.ReadWrite.All, les règles de transport qui transfèrent vers des boîtes aux lettres d’attaquants ni les règles NSG ouvertes à Internet. La sauvegarde de configuration est une autre couche de défense.

Meilleure sauvegarde de configuration M365 / Entra / Azure

Meilleurs outils de sauvegarde de configuration Microsoft 365, Entra ID et Azure pour les FSG

Les meilleurs outils de sauvegarde de configuration Microsoft 365, Entra ID et Azure détectent les modifications risquées du locataire, consignent qui les a faites et vous permettent de les annuler. C’est important parce que les locataires Microsoft sont compromis au niveau de la configuration : politiques d’accès conditionnel désactivées, autorisations OAuth sur Mail.ReadWrite.All, règles de transport qui transfèrent vers des boîtes aux lettres d’attaquants et règles NSG ouvertes à Internet.

Commencez gratuitement, sans carte de crédit Quoi rechercher

La sauvegarde de configuration prend des instantanés des paramètres du locataire selon un calendrier, calcule une différence avec l’instantané précédent, fait ressortir chaque modification avec une cote de gravité, la met en corrélation avec le journal d’audit de Microsoft pour montrer qui l’a faite, quand et d’où, et vous permet de l’annuler. Pour les FSG, le meilleur outil est multilocataire, tarifé par utilisateur ou par locataire plutôt que sur devis d’entreprise, et idéalement intégré à l’intégrité des fichiers des postes de travail, de sorte que toutes les couches qu’un attaquant traverse soient dans une seule console.

Le schéma d’attaque Microsoft 365 le plus susceptible de coûter un client à un FSG en 2026 n’est ni la compromission de boîte aux lettres ni le rançongiciel. C’est la dérive de configuration que personne n’a remarquée. Un administrateur débutant désactive la politique d’accès conditionnel qui exige l’AMF pour les connexions des administrateurs généraux. Un utilisateur compromis consent à une application OAuth qui obtient Mail.ReadWrite.All. Une règle de transport commence à transférer la boîte du chef des finances vers une adresse externe. Une règle NSG ouvre RDP au monde entier. Une attribution de rôle promeut un principal de service au rang de propriétaire. Aucune de ces situations n’est détectée par l’EDR. Le journal d’audit natif de Microsoft conserve 30 jours au plus dans les forfaits par défaut, n’a pas de fonction « annuler » et n’offre aucune comparaison avec l’état précédent.

La sauvegarde de configuration est la couche manquante. Ce guide s’adresse aux FSG qui choisissent parmi les options crédibles : Lavawall®, Cayosoft Guardian, Dropsuite Entra Backup (NinjaOne), AvePoint Cloud Backup et CIPP. Aucune n’est la bonne réponse pour tous les FSG. Elles ont des forces sensiblement différentes et des coûts sensiblement différents.

Voir ce que fait Lavawall®

Conçu et utilisé à l’interne par ThreeShield, un cabinet d’audit de Calgary. Conçu pour les FSG et les petites équipes de TI. Application des correctifs multiplateforme, détection des intrusions M365 / Entra / Azure / Google Workspace, surveillance et restauration des modifications de configuration M365 (utilisateurs Entra, autorisations OAuth, politiques d’accès conditionnel, attributions de rôles, inscriptions d’applications, Intune, ressources d’abonnement Azure, Teams, règles de transport Exchange), surveillance de l’intégrité des fichiers et des journaux d’événements sur les postes de travail, plus de 75 cadres de conformité, élévation des privilèges administrateur et prévention de l’exécution (sans pilote en mode noyau), centre d’assistance intelligent, soutien à distance multilocataire. Une seule plateforme, facturation native en $ CA.

Commencer gratuitement Sauvegarde de configuration M365 / Entra / Azure Voir les tarifs

Quoi chercher dans une sauvegarde de configuration

Portée des objets. Accès conditionnel, emplacements nommés, politique des méthodes d’authentification, attributions de rôles (actives et PIM), inscriptions d’applications, principaux de service, autorisations OAuth (déléguées et consenties par l’administrateur), utilisateurs Entra (infonuagiques et hybrides, avec comparaisons au niveau des attributs), unités administratives, appartenances aux groupes, profils Intune de configuration d’appareils, de conformité et de protection des applications, paramètres Teams, règles de transport Exchange et (selon l’outil) ressources d’abonnement Azure. Plus il y a de types d’objets couverts, moins il y a d’angles morts.
Portée des abonnements Azure. La plupart des outils axés sur M365 s’arrêtent à Entra. Pourtant, les règles NSG, les politiques d’accès Key Vault, les attributions de rôles RBAC et les identités gérées font partie du même modèle de menace. Les systèmes hébergés dans Azure sont compromis par des erreurs de configuration au niveau de l’abonnement autant que par la dérive des identités.
Flux des modifications avec cotes de gravité. Toutes les modifications ne sont pas critiques. Une politique d’accès conditionnel désactivée est critique; un emplacement nommé renommé est informatif. Le flux des modifications doit faire le triage automatiquement; sinon, il devient du bruit que l’opérateur ignore.
Corrélation avec le journal d’audit. « La politique d’accès conditionnel X a été modifiée » ne dit que la moitié de l’histoire. « Modifiée par admin@client.com depuis 198.51.100.7 en Russie » est l’autre moitié. L’outil doit mettre automatiquement en corrélation les modifications qu’il détecte avec le journal d’audit M365.
Restauration par objet avec flux d’approbation. L’outil doit pouvoir annuler une seule modification sans restaurer tout le locataire. Et comme la restauration est une opération d’écriture sur un locataire de production, elle exige un plan explicite, une étape d’approbation par un administrateur et une étape d’exécution distincte, plutôt qu’un « retour arrière en un clic » que les opérateurs peuvent déclencher par accident. Le mode d’essai à blanc (aperçu de chaque appel d’API sans en effectuer aucun) fait la différence entre un flux de restauration défendable et une panne en attente de se produire.
Multilocataire et tarifé pour les FSG. L’outil doit gérer de nombreux locataires clients depuis une seule console. Le modèle de tarification doit convenir à l’économie des FSG, habituellement par utilisateur ou par locataire plutôt que sur devis d’entreprise.
Couverture des postes de travail et de l’intégrité des fichiers en prime. La sauvegarde de configuration est nécessaire, mais pas suffisante. Un attaquant qui vole des identifiants d’administrateur écrit du code sur un contrôleur de domaine, modifie un fichier sur un poste de travail ou récolte des données sur un portable. Les outils qui intègrent la surveillance de l’intégrité des fichiers et l’analyse des journaux d’événements sur les postes de travail détectent ce que les outils de configuration de locataire manquent.
Preuves de conformité. « Qui a changé quoi, quand, d’où » est une preuve essentielle pour SOC 2, ISO 27001, CMMC, HIPAA et les audits semblables. Le flux des modifications doit pouvoir s’exporter sous une forme que l’auditeur acceptera.

Options à évaluer

Cinq outils crédibles plus un à signaler, avec les acheteurs auxquels chacun convient le mieux.

Lavawall®

Sauvegarde et restauration de configuration M365 / Entra / Azure, intégrées à un RMM

Lavawall® est une plateforme RMM et de soutien à distance multilocataire pour les FSG et les équipes de TI, avec application des correctifs, surveillance de la sécurité, détection des intrusions Microsoft 365 et Google Workspace et conformité intégrés au même agent et à la même console. Le module de sauvegarde et de restauration de configuration est livré dans cette même console, avec la coexistence AV/EDR, la surveillance de l’intégrité des fichiers et l’analyse des journaux d’événements sur les postes de travail, les preuves de conformité GRC (plus de 75 cadres de référence), l’élévation des privilèges administrateur, le centre d’assistance et le soutien à distance. Les instantanés couvrent environ 30 types d’objets dans M365, Entra (y compris les utilisateurs, les autorisations OAuth et les unités administratives), Intune, les paramètres Teams, les règles de transport Exchange et les ressources d’abonnement Azure. Flux de restauration planifier, approuver, exécuter, avec aperçu en mode d’essai à blanc. Corrélation avec le journal d’audit dans chaque ligne de modification. Tarification : inclus dans le forfait Intégral, ou à la carte à 3,95$ CA / 2,95$ US par utilisateur par mois.

Idéal pour : les FSG qui servent des clients de PME et du marché intermédiaire et qui veulent une sauvegarde de configuration intégrée à leur RMM, y compris la portée des abonnements Azure et l’intégrité des fichiers des postes de travail. Page de la fonctionnalité.

Cayosoft Guardian

Priorité à l’identité, force en AD hybride

Cayosoft Guardian est le concurrent direct le plus fort pour la fonction de surveillance et de restauration des modifications d’identité infonuagique. Il couvre Entra ID, Microsoft 365, Intune, Teams, Exchange Online et Active Directory sur site. Le niveau payant (Guardian Audit & Restore) ajoute la restauration au niveau des attributs pour les utilisateurs, les groupes et les rôles; le niveau supérieur ajoute la Instant Forest Recovery brevetée pour les scénarios catastrophiques d’AD. La tarification est sur devis d’entreprise. Le niveau gratuit (Guardian Protector) offre la surveillance des modifications sans restauration. La capture des modifications en temps réel (plutôt que par interrogation périodique) est un avantage opérationnel appréciable dans les déploiements limités à l’identité.

Idéal pour : les grandes entreprises dont l’AD sur site est la pierre angulaire de l’identité et pour qui la récupération de la forêt est une préoccupation du conseil d’administration, ou quand la protection des identités est une ligne budgétaire distincte, sans lien avec le RMM, la GRC, le centre d’assistance ou les postes de travail. Lavawall® c. Cayosoft Guardian.

Dropsuite Entra Backup (une société de NinjaOne)

Sauvegarde de configuration limitée à l’identité, canal des FSG

Lancé comme pendant identité du produit phare de sauvegarde de boîtes aux lettres de Dropsuite. Dropsuite Entra Backup couvre l’accès conditionnel, les configurations d’appareils et les principaux de service d’applications : la configuration d’Entra ID. Tarification par utilisateur dans le canal des FSG. Excellent choix pour les FSG déjà standardisés sur NinjaOne et Dropsuite.

Idéal pour : les entreprises sous NinjaOne qui veulent un approvisionnement auprès d’un seul fournisseur; la sauvegarde d’identité comme SKU distinct. Lavawall® c. Dropsuite.

AvePoint Cloud Backup

Sauvegarde de contenu pour grandes entreprises plus sauvegarde de configuration avec gouvernance

AvePoint est une sauvegarde de calibre entreprise avec une large couverture des charges de travail : boîtes aux lettres, OneDrive, SharePoint, contenu Teams, plus la sauvegarde du répertoire et des politiques Entra ID. Chiffrement BYOK avec clés détenues par le client, stockage immuable, intégration avec Microsoft 365 Backup Storage pour Express Recovery. Destiné aux organisations de plus de 500 utilisateurs.

Idéal pour : les TI de grandes entreprises ou les FSG qui servent des clients de plus de 500 utilisateurs avec des données réglementées et des exigences actives de gestion des documents ou de découverte électronique. Lavawall® c. AvePoint.

CIPP (Cyber Drain)

Gratuit, à code source ouvert, conçu par des FSG, vous l’hébergez vous-même

CIPP est une plateforme de gestion M365 gratuite et à code source ouvert, conçue par et pour des FSG. Elle s’auto-héberge dans votre propre abonnement Azure. Solide pour la normalisation en masse (« chaque client reçoit cette base de référence »), la gestion locataire par locataire et le suivi des modifications. Communauté active, mises à jour fréquentes. Le coût est nul en logiciel, mais non nul en temps d’exploitation et en hébergement Azure.

Idéal pour : les FSG qui ont la capacité d’ingénierie pour héberger et maintenir une infrastructure Azure auto-hébergée et qui veulent un contrôle maximal. Lavawall® c. CIPP.

N-able Cove Data Protection

Sauvegarde de boîtes aux lettres et de fichiers

À signaler parce que son nom laisse croire qu’il est concurrent ici, mais Cove est conçu pour sauvegarder le contenu des boîtes aux lettres, d’OneDrive, de SharePoint et de Teams. Consultez la documentation de N-able pour la sauvegarde de la configuration des locataires. La plupart des FSG utilisent Cove (ou une sauvegarde de boîtes aux lettres semblable) en plus d’un outil de sauvegarde de configuration.

Remarque : catégorie différente. Lavawall® c. N-able Cove.

En résumé

Si l’AD hybride sur site est la pierre angulaire de votre environnement, Cayosoft Guardian. Lavawall® suit les utilisateurs Entra (y compris les utilisateurs hybrides synchronisés depuis AD), mais ne prend pas d’instantanés des objets AD sur site, des GPO ni du schéma; si cela compte pour vous, Cayosoft est la bonne réponse.

Si vous voulez une sauvegarde de contenu de calibre entreprise avec chiffrement BYOK, AvePoint. Catégorie différente (sauvegarde du contenu des boîtes aux lettres, d’OneDrive et de SharePoint avec sauvegarde de configuration en complément); à choisir quand la gestion des documents et la découverte électronique sont des exigences du conseil d’administration.

Si vous avez la capacité d’ingénierie et voulez auto-héberger, CIPP. Gratuit, à code source ouvert, très capable pour la normalisation en masse; le coût apparaît dans votre facture Azure et dans le temps de vos ingénieurs.

Si vous voulez une sauvegarde de configuration intégrée à votre RMM à prix de FSG, Lavawall®. Une console, une facture, une relation avec un seul fournisseur pour les correctifs, la détection des intrusions, la GRC, le centre d’assistance, la surveillance de l’intégrité des fichiers et des journaux d’événements sur les postes de travail, et la sauvegarde de configuration. En plus de la portée des abonnements Azure (NSG, Key Vault, RBAC, identités gérées); consultez la documentation des outils limités à l’identité pour savoir s’ils offrent la même chose.

Où se situe Lavawall®

Le module de sauvegarde et de restauration de configuration de Lavawall® couvre environ 30 types d’objets dans Microsoft 365, Entra ID, Intune et les abonnements Azure, y compris les utilisateurs Entra (infonuagiques et hybrides, avec comparaisons au niveau des attributs sur accountEnabled, les licences attribuées, le gestionnaire, l’état de synchronisation sur site, les adresses proxy), les autorisations OAuth (l’attaque Mail.ReadWrite.All), les unités administratives, les paramètres Teams au niveau de l’équipe et les règles de transport Exchange. Le flux des modifications montre exactement quels paramètres ont changé, champ par champ.

Chaque modification détectée est rapprochée du journal d’audit Microsoft 365 (que Lavawall® recueille déjà pour la détection des intrusions) afin d’afficher l’UPN, l’adresse IP et le pays de la personne qui l’a faite. La gravité est calculée au moment de la détection selon le type d’objet et l’opération : un changement d’état d’une politique d’accès conditionnel est critique; le renommage d’un emplacement nommé est informatif; toute modification d’autorisation OAuth est élevée.

Les restaurations suivent un cycle de vie strict en trois étapes : planifier (rien ne change dans le locataire; Lavawall® examine les instantanés existants et rédige la liste des actions), approuver (un administrateur examine le plan d’action) et exécuter (un opérateur lance la restauration, et ce n’est qu’alors que des modifications sont apportées dans le locataire). Le mode d’essai à blanc permet de prévisualiser le plan sans toucher au locataire. L’option « continuer en cas d’erreur » se règle par restauration. L’ordre des actions respecte les dépendances (les règles NSG avant les attributions de rôles d’abonnement, les autorisations OAuth avant la restauration des inscriptions d’applications, par exemple).

Et une prime à vérifier dans les outils limités à l’identité : la surveillance de l’intégrité des fichiers et l’analyse des journaux d’événements sur chaque poste Windows, macOS et Linux géré par Lavawall®, de sorte que, lorsqu’un attaquant passe d’une configuration de locataire compromise à un poste de travail, la même console le détecte aussi.

Le module est inclus dans le forfait Intégral de Lavawall® ou offert à la carte à 3,95$ CA / 2,95$ US par utilisateur par mois. Consultez les tarifs. Consultez la page de la fonctionnalité.

Questions fréquentes

Qu’est-ce que la sauvegarde de configuration M365 / Entra / Azure?: La sauvegarde de configuration capture et prend des instantanés des paramètres du locataire, comme les politiques d’accès conditionnel, les attributions de rôles, les inscriptions d’applications, les autorisations OAuth, les profils Intune, les règles NSG, les politiques d’accès Key Vault et les règles de flux de courrier, afin que les modifications puissent être détectées, journalisées et annulées. Elle se distingue de la sauvegarde du contenu des boîtes aux lettres et des fichiers (Dropsuite, SkyKick, Veeam), qui capture les données des utilisateurs.
Lavawall® couvre-t-il les utilisateurs Entra ID?: Oui. Lavawall® prend des instantanés des utilisateurs Entra, tant infonuagiques seulement qu’hybrides (synchronisés depuis AD sur site), avec des comparaisons au niveau des attributs sur accountEnabled, assignedLicenses, manager, jobTitle, department, l’état de synchronisation sur site, les adresses proxy et d’autres champs pertinents pour les privilèges. Le premier passage d’instantanés est silencieux (aucun bruit dans le flux des modifications); les passages suivants comparent et produisent des lignes de modification par attribut, avec prise en charge de la restauration.
Et la surveillance de l’intégrité des fichiers?: Oui, comme capacité des postes de travail plutôt que de la configuration du locataire. Lavawall® l’assure par l’agent Lavawall® sur les postes Windows, macOS et Linux, avec l’analyse des journaux d’événements et l’analyse des vulnérabilités de configuration. La sauvegarde de configuration et la surveillance des postes de travail sont des couches différentes; Lavawall® offre les deux dans une seule plateforme. Consultez la documentation de Cayosoft et de Dropsuite pour la couverture des postes de travail.
Pourquoi le journal d’audit de Microsoft ne suffit-il pas?: Parce qu’il consigne qu’une modification a eu lieu, mais ne peut pas l’annuler. La conservation de l’audit Microsoft est de 30 jours pour les forfaits par défaut, et le journal ne stocke pas la valeur précédente ni n’offre de retour arrière en un clic. Les outils de sauvegarde de configuration prennent un instantané de l’état réel des objets et permettent la restauration.
CIPP est-il un outil de sauvegarde de configuration?: En partie. CIPP comprend le suivi des modifications et une certaine gestion de configuration pour les FSG, mais son principal axe de conception est la normalisation en masse entre les locataires plutôt qu’une restauration structurée par objet avec un cycle de vie planifier, approuver, exécuter. Il est à code source ouvert et auto-hébergé.
Ai-je besoin d’une sauvegarde de configuration si j’ai un EDR?: Oui. L’EDR est une détection comportementale des postes de travail. Il ne voit pas la désactivation de politiques d’accès conditionnel, l’ouverture d’autorisations OAuth à Mail.ReadWrite.All, les règles de transport qui transfèrent vers des boîtes aux lettres d’attaquants ni les règles NSG ouvertes à Internet. La sauvegarde de configuration est une autre couche de défense.

Commencez gratuitement →

NinjaOne est une marque de commerce de NinjaOne, LLC. Lavawall n’y est pas affilié.