Connecter Microsoft 365 et examiner les premiers constats

Avant de commencer

• Qui peut le faire : les utilisateurs qui ont l’autorisation « Microsoft 365 — autorisation seulement » (se connecter sans voir les données de surveillance); vous avez aussi besoin d’un compte d’administrateur Microsoft 365 pour vous connecter
• Forfait : la connexion est incluse; la surveillance nécessite Surveillance M365 / Google Workspace (incluse dans Grow, Professional et Complete). Surveillance M365 / Google Workspace (incluse dans Grow, Professional et Complete). Surveillance des changements M365 (incluse dans Professional et Complete) ou Sauvegarde de configuration M365, Entra ID et Azure (module complémentaire, ou inclus dans Complete). Voir les tarifs.
• Par où commencer : ouvrez Connecter Microsoft 365 dans votre console.

Étapes

1. Ouvrir Microsoft 365. Choisissez d’abord l’entreprise si vous êtes un FSG

   Voyez la sécurité de votre locataire Microsoft 365 en un coup d’œil : incidents, utilisateurs, couverture de l’AMF, applications connectées, stockage et cote de configuration.

   Ouvrir Microsoft 365 dans votre console →

2. Cliquer sur Connecter Microsoft 365. Choisissez Read Only (lecture seule), ou Read + Write pour les mesures d’intervention

   Tiré de l’article : Comment connecter Microsoft 365

   1. Si la page affiche Microsoft 365 non connecté, cliquez sur Connecter Microsoft 365.
   2. Choisissez Read Only (surveillance) ou Read + Write (surveillance et mesures d’intervention, comme le verrouillage de comptes et la révocation de sessions).
   3. Connectez-vous avec un compte d’administrateur Microsoft 365 et acceptez les autorisations.

   Ouvrir Microsoft 365 dans votre console →

3. Se connecter en tant qu’administrateur. Acceptez les autorisations que Microsoft affiche

   Connectez ou réautorisez votre locataire Microsoft 365 pour que Lavawall puisse le surveiller, sans que vous voyiez vous-même de données de surveillance.

   Tiré de l’article : Comment connecter Microsoft 365

   1. Cliquez sur Connecter Microsoft 365.
   2. Dans la boîte de dialogue Microsoft 365 Authorization, choisissez le niveau d’accès :
   3. Connectez-vous avec un compte d’administrateur Microsoft 365.
   4. Passez en revue les autorisations que Microsoft affiche et acceptez-les.
   5. Vous revenez dans Lavawall et la page affiche Connected avec votre locataire.

   Ouvrir Connecter Microsoft 365 dans votre console →

4. Vérifier la bande des incidents. Combien d’incidents exigent une intervention

   Ouvrir Microsoft 365 dans votre console →

5. Faire le triage dans la Breach Console. Marquez chacun : Real threat (menace réelle), Normal ou Wrongly flagged (signalé à tort)

   Faites le triage des compromissions soupçonnées de comptes Microsoft 365, avec une explication en langage clair de ce qui s’est passé et de la marche à suivre.

   Tiré de l’article : Comment faire le triage d’un incident

   1. Commencez par Needs action, trié selon Highest risk first.
   2. Cliquez sur le bouton d’examen d’un incident.
   3. Lisez What happened et Why we flagged it, puis examinez les preuves dans l’ordre.
   4. Suivez les étapes de What to do next. Utilisez Full user timeline ou Search everything for this user pour obtenir plus de contexte.
   5. Choisissez une décision :
   6. Au besoin, cochez Remember this pattern as normal et ajoutez des Notes avant de décider.

   Ouvrir Microsoft 365 Breach Console dans votre console →

6. Repérer les utilisateurs sans AMF. Cliquez sur la carte No MFA

   Voyez dans une seule liste tous les comptes d’utilisateurs d’Active Directory, de Microsoft 365, de Google Workspace et des ordinateurs locaux, avec les risques qui comptent.

   Tiré de l’article : Comment repérer les comptes à risque

   1. Cliquez sur une carte de sommaire, par exemple No MFA ou Inactive 90d+. Cliquez de nouveau pour l’effacer.
   2. Ou ouvrez Properties et cochez une ou plusieurs options, comme Admin, No MFA, Weak MFA, Never Logged In, Pwd Never Expires, Local Admin, Stale Local, Failed Logins ou Brute Force.
   3. Utilisez Inactive (30+d, 90+d, 365+d) et Pwd Age pour repérer les comptes et les mots de passe anciens.
   4. Cliquez sur un en-tête de colonne pour trier, par exemple Last Login.

   Ouvrir Identity & Account Management dans votre console →

7. Examiner les applications à risque. Cliquez sur Look risky et ouvrez chaque application

   Voyez toutes les applications connectées à votre locataire Microsoft 365, ce qu’elles sont autorisées à faire, qui les a approuvées et les données de qui elles ont atteintes.

   Tiré de l’article : Comment repérer les applications à risque

   1. Cliquez sur la case Look risky, ou ouvrez la page à partir du chiffre des applications à risque dans le tableau de bord Microsoft 365.
   2. Vérifiez la colonne Risk : High-risk perms (rouge), Elevated perms (ambre), OK ou Trusted. Survolez le badge pour savoir pourquoi.
   3. Les lignes surlignées en rouge sont suspectes ou correspondent à une application malveillante connue.

   Ouvrir Microsoft 365 Applications dans votre console →

8. Référence du locataire examinée. Surveillez Configuration Changes à partir de maintenant

   Voyez chaque changement détecté dans votre configuration Microsoft 365, qui l’a fait et ce qui a changé exactement.

   Tiré de l’article : Comment trouver un changement

   1. Choisissez un Object Type, ou laissez All types.
   2. Définissez Severity (min). La valeur par défaut est medium, qui masque les changements d’information et de faible gravité.
   3. Au besoin, choisissez un Change Type (ajouté, modifié ou supprimé).
   4. Pour voir les changements d’une seule personne, saisissez son adresse dans User UPN, par exemple jane@example.com.
   5. Choisissez la période à remonter dans Last (days) : 1 jour, 7 jours, 30 jours, 90 jours ou 1 an.
   6. Cliquez sur le bouton de recherche.

   Ouvrir Configuration Changes dans votre console →

Une fois terminé

Le locataire est surveillé, les premiers incidents ont fait l’objet d’un triage et vous disposez d’une référence pour comparer les futurs changements de configuration.

Articles sur les pages de ce guide

• Connecter Microsoft 365 : Connectez ou réautorisez votre locataire Microsoft 365 pour que Lavawall puisse le surveiller, sans que vous voyiez vous-même de données de surveillance.
• Microsoft 365 Applications : Voyez toutes les applications connectées à votre locataire Microsoft 365, ce qu’elles sont autorisées à faire, qui les a approuvées et les données de qui elles ont atteintes.
• Configuration Changes : Voyez chaque changement détecté dans votre configuration Microsoft 365, qui l’a fait et ce qui a changé exactement.
• Microsoft 365 : Voyez la sécurité de votre locataire Microsoft 365 en un coup d’œil : incidents, utilisateurs, couverture de l’AMF, applications connectées, stockage et cote de configuration.
• Identity & Account Management : Voyez dans une seule liste tous les comptes d’utilisateurs d’Active Directory, de Microsoft 365, de Google Workspace et des ordinateurs locaux, avec les risques qui comptent.
• Microsoft 365 Breach Console : Faites le triage des compromissions soupçonnées de comptes Microsoft 365, avec une explication en langage clair de ce qui s’est passé et de la marche à suivre.

Besoin d’aide?

Consultez le centre de soutien ou communiquez avec notre équipe de soutien en nous indiquant à quelle étape vous êtes rendu :

• Clavardage : utilisez le bouton de clavardage dans le coin inférieur droit de cette page pour joindre notre équipe immédiatement. Lorsque le consentement aux témoins est requis, le clavardage démarre après votre acceptation (paramètres des témoins).
• Courriel : envoyez un message à notre équipe de soutien par la page Nous joindre. Il est transmis directement à une personne.
• Téléphone : AB : 1-403-538-5053, C.-B. : 1-778-731-1339, ON : 1-289-724-8829, É.-U. : 1-406-988-7333, R.-U. : +44 20 3695 9786.

← Tous les guides pratiques