Points clés
- Ce processus offre une visibilité unifiée sur l’authentification et l’activité des utilisateurs, à la fois dans Active Directory sur site et dans Microsoft 365 dans le cloud.
- Vous devez d’abord configurer et activer les politiques d’audit par stratégie de groupe sur les contrôleurs de domaine afin de consigner les connexions réussies et échouées.
- Centraliser les journaux de tous les contrôleurs de domaine dans un SIEM ou un serveur de collecte est indispensable pour une analyse et une couverture complètes.
- Corréler les événements AD avec les journaux d’audit Microsoft Purview grâce à des champs communs comme le UserPrincipalName et l’adresse IP révèle des chronologies d’attaque hybrides détaillées.
- L’analyse de ces journaux corrélés aide à détecter des menaces telles que les attaques par force brute, les scénarios de déplacement impossible et les comptes de service compromis.
- Un reporting automatisé de cette activité est essentiel pour démontrer votre diligence en matière de sécurité et votre conformité aux auditeurs comme aux parties prenantes.
Il est vivement recommandé d’auditer les connexions aux contrôleurs de domaine ainsi que les activités consignées dans les journaux d’audit Microsoft 365 dans le cadre de vos processus de cybersécurité courants. La corrélation de ces deux sources de données offre aux équipes informatiques et aux fournisseurs de services gérés (MSP) une visibilité complète sur les tentatives d’authentification dans les environnements cloud et hybrides. Elle facilite la détection et l’investigation des incidents, tout en fournissant les informations nécessaires pour démontrer la conformité et réagir aux violations potentielles.
Ce guide explique comment auditer les événements de connexion d’un contrôleur de domaine (DC) Active Directory (AD), comment croiser ces informations avec les données d’activité de Microsoft Purview, et comment générer des rapports à des fins d’analyse et de conformité.
Ce qu’il vous faut pour auditer les connexions aux contrôleurs de domaine avec les données de Microsoft 365 Purview
Pour auditer les événements de connexion dans des environnements cloud ou hybrides comportant à la fois des contrôleurs de domaine et des activités enregistrées dans Microsoft Purview, vous aurez besoin :
- d’un compte administrateur disposant d’un accès à la stratégie de groupe pour configurer les politiques d’audit ;
- d’un référentiel central pour regrouper et conserver les journaux, par exemple un serveur Windows Event Forwarding (WEF)/Windows Event Collector (WEC), ou des outils de gestion des informations et des événements de sécurité (SIEM) ;
- d’une liste des contrôleurs de domaine critiques, des unités d’organisation (OU) à privilèges et des comptes de service à surveiller activement ;
- d’un accès au portail d’audit Microsoft 365 Purview et aux journaux de connexion Entra ID ;
- d’une fenêtre de changement approuvée pour le déploiement et les tests de la politique.
Étape 1 : configurer les politiques d’audit des contrôleurs de domaine
Utilisez la console de gestion des stratégies de groupe (GPMC) pour activer la stratégie d’audit avancée.
- Dans la GPMC, accédez à Configuration ordinateur\Paramètres Windows\Paramètres de sécurité\Stratégies locales\Stratégie d’audit
- Double-cliquez sur la politique Auditer les événements de connexion pour la modifier, puis cochez les cases Succès et Échec afin de capturer à la fois les connexions réussies et les tentatives d’intrusion
- Exécutez gpupdate /force ou redémarrez pour appliquer la modification, puis vérifiez que les événements 4624 (succès) et 4625 (échec) sont bien consignés dans l’observateur d’événements
Les événements de connexion ne sont générés sur le contrôleur de domaine que pour les comptes de domaine. Si vous souhaitez auditer les connexions d’appareils autonomes utilisant des comptes locaux, vous devrez déployer ce paramètre de stratégie de groupe et collecter les journaux des terminaux à l’aide de votre solution de surveillance et gestion à distance (RMM) ou de gestion des appareils mobiles (MDM).
Étape 2 : centraliser et conserver les journaux d’audit d’authentification
Regroupez les journaux de tous les contrôleurs de domaine sur une plateforme centrale afin d’éviter les angles morts lors de l’analyse des données d’événements. Vous pouvez le faire à l’aide d’un serveur Windows Event Forwarding (WEF)/Windows Event Collector (WEC) ou d’outils SIEM. Vous pouvez également tirer parti de votre plateforme RMM automatisée pour l’ingestion des journaux, leur analyse et la génération de rapports, quel que soit le système d’exploitation.
Définissez les durées de conservation des journaux en fonction des exigences de conformité aux réglementations sur la protection des données et la vie privée applicables à votre entreprise et à toutes les parties dont vous stockez les informations.
Étape 3 : enrichir les journaux des contrôleurs de domaine avec les données d’audit Microsoft 365 Purview
En complétant les données d’audit des connexions issues de vos contrôleurs de domaine Active Directory par les activités collectées dans Microsoft Purview, vous pouvez suivre les activités suspectes des utilisateurs plus en détail. Pour cela, il faut corréler les données, notamment le UserPrincipalName, l’adresse IP et d’autres identifiants, entre les journaux cloud et sur site afin de construire des chronologies hybrides.
Étape 4 : appliquer des filtres et repérer les corrélations
Utilisez vos outils d’analyse pour identifier les échecs de connexion récurrents ou les connexions depuis des emplacements inhabituels. Surveillez également un nombre anormalement élevé de connexions réussies pour un même compte : cela peut signaler des tentatives d’authentification automatisées ayant abouti. Pour que cette approche soit efficace, les comptes de service doivent figurer sur une liste blanche afin d’éviter les faux positifs.
Étape 5 : corriger et signaler les activités de connexion suspectes
Des mesures de remédiation automatisées doivent être configurées pour désactiver automatiquement les comptes potentiellement compromis ou inactifs avant même le lancement d’une investigation.
Démontrez votre diligence et votre conformité aux parties prenantes grâce à des synthèses d’audit générées automatiquement, incluant des indicateurs tels que le volume d’événements, les échecs uniques, le temps moyen d’investigation et les actions administratives menées (par exemple, le durcissement des politiques de MFA (authentification forte) et de mots de passe, ou la suppression des comptes inactifs).
NinjaOne unifie, automatise et centralise le reporting des journaux d’audit AD
NinjaOne peut être configuré pour ingérer automatiquement les journaux de n’importe quelle source, y compris les journaux des contrôleurs de domaine Windows, les événements Microsoft 365 Purview et les journaux de logiciels tiers, puis les analyser et les synthétiser dans des rapports prêts à être présentés. Les données de journalisation et les rapports peuvent ensuite être conservés dans NinjaOne Documentation, avec un accès contrôlé, pour en tirer des enseignements sur le long terme et les présenter aux parties prenantes lors des revues d’activité.
En plus d’unifier les journaux et de vous donner les outils d’une supervision complète de l’infrastructure informatique de vos clients, NinjaOne intègre des fonctionnalités de MDM, de RMM, de helpdesk (service d’assistance) et de sécurité des terminaux parmi les meilleures du marché. Avec l’ensemble de la surveillance de vos terminaux et de votre infrastructure réunie au même endroit, vous avez la certitude que le bon technicien est averti de tout problème de sécurité ou de conformité et peut le corriger immédiatement, avec une traçabilité prête pour l’audit de ce qui s’est passé et de la manière dont le problème a été résolu.
