Comment protéger les boîtes aux lettres partagées avec des groupes de sécurité dans Microsoft 365

Les boîtes aux lettres partagées de Microsoft 365 permettent aux équipes de collaborer efficacement, par exemple lorsque votre équipe de support traite les demandes des clients. En revanche, sans contrôles d’accès stricts, comme les groupes de sécurité pour boîtes aux lettres partagées, ni surveillance, elles exposent à des fuites ou à des usages abusifs de données.

Ce guide vous aide à sécuriser ces ressources critiques grâce à la journalisation d’audit et aux politiques DLP, afin de suivre l’activité et de bloquer l’exfiltration de données.

Si vous préférez regarder plutôt que lire, découvrez notre vidéo Comment protéger les boîtes aux lettres partagées avec des groupes de sécurité dans Microsoft 365.

Ajouter des groupes de sécurité aux boîtes aux lettres partagées dans Office 365

Attribuer des groupes de sécurité aux boîtes aux lettres partagées simplifie la gestion des accès et renforce la traçabilité des responsabilités.

Cas d’utilisation : les groupes de sécurité évitent de mettre à jour les autorisations utilisateur par utilisateur, facilitent l’audit des accès puisque les autorisations sont gérées par groupe, et garantissent un contrôle homogène sur les boîtes aux lettres qui traitent des données sensibles.

Prérequis : avant de commencer, assurez-vous de disposer des éléments suivants :

• une licence Microsoft 365 E3/E5 pour les fonctionnalités avancées comme la journalisation d’audit (boîte aux lettres partagée Office 365) et la DLP ;
• des rôles d’administration tels qu’administrateur général, administrateur de conformité ou administrateur Exchange ;
• des outils comme les modules PowerShell ExchangeOnlineManagement et Microsoft.Graph, ainsi qu’un logiciel de gestion des appareils pour la jonction hybride ou l’inscription à Intune.

Nous vous recommandons de consulter la section Points à surveiller avant de poursuivre.

Stratégies de déploiement :

Méthode 1 : activer la journalisation d’audit des boîtes aux lettres partagées (via PowerShell)

La journalisation d’audit enregistre les actions des utilisateurs dans les boîtes aux lettres partagées et offre une visibilité indispensable sur l’activité.

Cas d’utilisation : cette méthode est idéale si votre licence n’inclut pas l’audit par défaut, si vous devez cibler précisément les actions journalisées ou si votre conformité exige des journaux d’audit détaillés pour les boîtes aux lettres partagées.

Procédure étape par étape :

1. Ouvrez PowerShell en tant qu’administrateur, ou le Terminal Windows (appuyez sur Win + X).
2. Exécutez les scripts suivants :
   • ce script pour vous connecter à Exchange Online :

Connect-ExchangeOnline -UserPrincipalName [email protected]

Remarque : il repose sur l’authentification moderne et fonctionne sous Windows 10/11.

• • Activez l’audit des boîtes aux lettres :

Set-Mailbox "[email protected]" -AuditEnabled $true

• • Configurez les actions clés :

Set-Mailbox "[email protected]" -AuditDelegate SendOnBehalf, SendAs, Create, SoftDelete, HardDelete, Update, MoveToDeletedItems

Conseil : concentrez-vous sur les actions à haut risque, comme les suppressions ou les envois.

• • Consultez l’activité récente :

Search-MailboxAuditLog -Identity "[email protected]" -ShowDetails -StartDate (Get-Date).AddDays(-30) -EndDate (Get-Date)

Conseil : dans les environnements modernes, utilisez plutôt Search-UnifiedAuditLog.

Une fois l’audit activé, Office 365 enregistre les actions spécifiées (par exemple, les e-mails déplacés vers les Éléments supprimés).

Méthode 2 : activer la journalisation d’audit unifiée via Microsoft Purview

La journalisation d’audit unifiée offre une visibilité à l’échelle du tenant sur l’activité des boîtes aux lettres partagées Office 365, ce qui simplifie la conformité et la détection des menaces.

Cas d’utilisation : idéale lorsque vous avez besoin d’une surveillance centralisée sur toutes les boîtes aux lettres, lorsque l’audit est désactivé par défaut, ou lorsque vous devez enquêter sur des incidents tels qu’un SendAs suspect ou des suppressions nécessitant un contexte élargi.

Procédure étape par étape :

1. Accédez à Microsoft Purview :
   • rendez-vous sur purview.microsoft.com → Solutions → l’opération peut se faire depuis n’importe quel navigateur sous Windows 11 (Edge ou Chrome, par exemple).
2. Activez la journalisation (si elle est désactivée).
   • Si un message s’affiche, cliquez sur Démarrer l’enregistrement de l’activité des utilisateurs et des administrateurs.

Remarque : l’activation peut prendre environ 60 minutes.

3. Recherchez les activités :
   • dans Opérations, sélectionnez SendAs, SendOnBehalf, SoftDelete ou HardDelete.
   • Pour Utilisateurs, saisissez les noms des délégués (et non celui de la boîte aux lettres partagée).
   • Dans Plage de données, filtrez sur des incidents précis.
4. Exportez les journaux :
   • cliquez sur Exporter les résultats pour vos rapports de conformité ou une analyse approfondie.

Après activation, vous pouvez auditer l’activité des boîtes aux lettres partagées Office 365 directement depuis Purview. Servez-vous des journaux pour vérifier cette activité lors d’une compromission ou d’un audit de conformité.

Méthode 3 : appliquer des politiques DLP aux boîtes aux lettres partagées

La DLP empêche les données sensibles de quitter votre boîte aux lettres partagée Office 365, comme les numéros de carte bancaire de clients ou les dossiers du personnel.

Cas d’utilisation : déployez la DLP lorsque les boîtes aux lettres partagées traitent des données réglementées, lorsque vous devez bloquer automatiquement les fuites accidentelles et lorsque la conformité exige une preuve de protection.

Important : les boîtes aux lettres partagées nécessitent une licence Exchange Online Plan 2 (via E3/E5) pour la DLP. Les boîtes aux lettres de base n’appliqueront pas les politiques.

Procédure étape par étape :

1. Créez une politique :
   • accédez au portail Purview → Protection contre la perte de données → Politiques → Créer une politique.
2. Sélectionnez un modèle :
   • choisissez Financier ou DCP, ou créez une politique personnalisée.
3. Ciblez les emplacements :
   • activez E-mail Exchange.
   • Dans les paramètres avancés, ajoutez les boîtes aux lettres partagées concernées.
     • Conseil : évitez d’appliquer la politique à toutes les boîtes aux lettres et concentrez-vous sur les boîtes partagées à haut risque.
4. Définissez les règles :
   • Conditions : ajoutez des types d’informations sensibles (numéros de carte bancaire, par exemple).
   • Actions : bloquez les messages, avertissez les administrateurs ou autorisez des dérogations utilisateur.
   • Alertes utilisateur : activez les conseils de politique pour sensibiliser les expéditeurs.
5. Déployez et surveillez :
   • activez la politique et suivez les correspondances dans DLP → Correspondances de politique.

Une fois les politiques déployées, les utilisateurs reçoivent des conseils de politique les avertissant lorsqu’ils tentent d’envoyer des données restreintes. Les e-mails bloqués déclenchent également des alertes dans le rapport de correspondances de politique de Purview.

Méthode 4 : configurer les autorisations et les restrictions d’accès aux boîtes aux lettres

Contrôler strictement qui peut accéder à votre boîte aux lettres partagée Office 365 et envoyer des messages depuis celle-ci permet d’éviter les menaces internes et les fuites accidentelles.

Cas d’utilisation : appliquez cette méthode lorsque des collaborateurs changent de poste et que leurs accès ne sont plus à jour. Elle est aussi utile lorsqu’un audit révèle des autorisations excessives ou après un incident de sécurité.

Procédure étape par étape :

1. Ouvrez PowerShell en tant qu’administrateur, ou le Terminal Windows (Win + X).
2. Exécutez ces scripts pour :
   • supprimer les autorisations excessives :
     • script pour révoquer l’accès complet :

Remove-MailboxPermission -Identity "[email protected]" -User "[email protected]" -AccessRights FullAccess

• • • script pour révoquer les droits Send-As :

Remove-RecipientPermission -Identity "[email protected]" -Trustee "[email protected]" -AccessRights SendAs

• • auditer les accès actuels :
    • script pour vérifier les délégués disposant d’un accès complet :

Get-MailboxPermission -Identity "[email protected]" | Where-Object {$_.AccessRights -eq "FullAccess"}

• • • script pour vérifier les autorisations Send-As :

Get-RecipientPermission -Identity "[email protected]"

Après l’exécution de ces scripts, les utilisateurs non autorisés perdent immédiatement leur accès. Pensez à réaliser un audit régulier pour maintenir des privilèges adaptés à chaque utilisateur.

Méthode complémentaire 1 : utiliser le registre et la GPO pour imposer une politique d’accès locale

Les outils cloud sécurisent les boîtes aux lettres partagées Office 365, mais les contrôles au niveau des terminaux empêchent les fuites de données via Outlook sur les appareils Windows 11.

Cas d’utilisation : appliquez cette procédure lorsque des utilisateurs accèdent aux boîtes aux lettres partagées depuis des appareils non gérés, car empêcher les exports PST ou l’archivage automatique est essentiel pour la conformité et constitue une protection contre l’exfiltration locale de données.

Important : cette méthode ne remplace ni l’audit cloud ni la DLP, mais elle empêche l’utilisation non autorisée de profils de messagerie locaux et ajoute un durcissement essentiel des terminaux.

Procédures étape par étape :

(a) Désactiver les opérations PST (registre)

1. Ouvrez l’Éditeur du registre (Win + R, puis saisissez regedit).
2. Rendez-vous à cet emplacement : HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\16.0\Outlook\Preferences
3. Créez deux valeurs DWORD :
   • Créez DisablePST, puis définissez sa valeur sur 1.
     • Cela bloque la création de fichiers PST.
   • Créez DisablePSTExport, puis définissez sa valeur sur 1.
     • Cela bloque l’export d’e-mails vers un fichier PST.

(b) Bloquer l’archivage automatique (stratégie de groupe)

1. Ouvrez l’Éditeur de gestion des stratégies de groupe (gpedit.msc).
2. Accédez à Configuration utilisateur → Modèles d’administration → Microsoft Outlook 2016+ → Options Outlook → Autres.
3. Activez les paramètres suivants :
   • Empêcher les utilisateurs d’ajouter de nouveaux fichiers PST
   • Désactiver l’archivage automatique

Après le déploiement, les utilisateurs ne peuvent plus exporter d’e-mails des boîtes aux lettres partagées vers des fichiers PST. L’archivage automatique devient également impossible, ce qui garantit la conservation des données dans Office 365 et facilite les audits. Le risque de « copies fantômes » hors du périmètre DLP de Microsoft Purview s’en trouve réduit.

Méthode complémentaire 2 : utiliser CMD (invite de commande) et AuditPol pour journaliser l’activité locale

Complétez l’audit cloud en suivant les accès aux fichiers Outlook et la manipulation des PST sur les terminaux Windows 11.

Cas d’utilisation : déployez cette méthode lorsque vous devez enquêter sur des exports locaux suspects, respecter une conformité qui impose le suivi de l’activité au niveau des terminaux, ou gagner en visibilité sur les actions hors ligne, en dehors du cloud.

Procédure étape par étape :

1. Ouvrez l’invite de commande (en mode administrateur).
   • Exécutez ces lignes de commande :

:: Enable handle/file system tracking
auditpol /set /subcategory:"Handle Manipulation" /success:enable /failure:enable
auditpol /set /subcategory:"File System" /success:enable /failure:enable

2. Surveillez les événements dans l’observateur d’événements (appuyez sur Win + R, puis saisissez eventvwr.msc).
3. Accédez à Journaux Windows → Sécurité.
4. Filtrez sur :
   • l’ID d’événement 4663 (tentatives d’accès aux fichiers) ;
   • l’ID d’événement 4656 (création de handle).

Après l’implémentation, toutes les tentatives d’accès aux fichiers PST/OST sont enregistrées dans les journaux de sécurité. Vous pourrez ainsi corréler les horodatages avec les événements des boîtes aux lettres partagées Office 365 lors de vos investigations et détecter les exports de données non autorisés.

Points à surveiller

Cette section met en lumière les difficultés possibles à garder en tête au fil de ce guide.

Résolution des problèmes liés aux groupes de sécurité des boîtes aux lettres partagées

Réglez rapidement les problèmes courants lors de la sécurisation des boîtes aux lettres partagées Office 365 grâce à ces correctifs ciblés.

Aucun journal d’audit généré

Si les événements de boîte aux lettres partagée Office 365 n’apparaissent pas :

1. vérifiez que l’audit est bien activé :

Get-Mailbox "[email protected]" | Select AuditEnabled

Si la valeur est False, exécutez Set-Mailbox -AuditEnabled $true.

2. Vérifiez les licences :
   • utilisateurs E1/E3 : activez l’audit à l’échelle du tenant via Purview ;
   • licences Business : l’audit des boîtes aux lettres doit être activé manuellement (il ne l’est pas par défaut).

La politique DLP ne s’applique pas

Si les politiques ignorent les données sensibles, vérifiez le périmètre dans Purview → politique DLP pour vous assurer que les boîtes aux lettres partagées concernées figurent bien dans les paramètres avancés. Ajustez également les niveaux de confiance en modifiant la règle → augmentez le paramètre « Précision de correspondance » afin de réduire les faux négatifs.

Autre point important : assurez-vous de disposer de la licence appropriée (Exchange Online Plan 2).

Points essentiels pour sécuriser vos boîtes aux lettres partagées

Renforcez la sécurité de vos boîtes aux lettres partagées Office 365 avec ces couches de protection incontournables.

1. Imposer la MFA (authentification forte)

Exigez la MFA (authentification forte) pour chaque utilisateur qui accède aux boîtes aux lettres partagées, sans exception. Cela bloque de nombreuses attaques par vol d’identifiants.

• Accédez à Microsoft Entra ID → Sécurité → MFA → activez l’option par utilisateur ou une politique d’accès conditionnel.

Vous pouvez également utiliser Windows Hello ou l’application Authenticator pour un accès sans friction.

2. Bloquer l’authentification héritée

Les protocoles hérités comme POP3, IMAP4 et Exchange ActiveSync ne prennent en charge ni l’authentification moderne ni la MFA (authentification forte).

1. Accédez à Microsoft Entra ID → Accès conditionnel → Politiques → Nouvelle politique.
2. Dans Conditions → Applications clientes, sélectionnez Clients Exchange ActiveSync et Autres clients.
3. Dans Contrôles d’accès → Accorder, sélectionnez Bloquer l’accès.
4. Configurez d’abord la politique en mode « Rapport seul », examinez les journaux de connexion, puis passez-la sur « Activé » après validation.

3. Désactiver les mots de passe d’application

Les mots de passe d’application peuvent contourner les contrôles MFA (authentification forte) modernes et doivent être progressivement supprimés.

• Désactivez la création de nouveaux mots de passe d’application dans Microsoft Entra ID.
• Identifiez les applications qui utilisent encore des mots de passe d’application et migrez-les vers l’authentification moderne.
• Maintenez active la politique de blocage de l’authentification héritée pour empêcher l’utilisation des mots de passe d’application existants.

Remarque : n’utilisez pas l’ancienne commande Set-MsolUser, car le module MSOnline a été retiré.

4. Mettre en place des contrôles d’accès conditionnel

Restreignez l’accès par adresse IP, par localisation ou selon la conformité de l’appareil. Par exemple, votre politique peut n’autoriser l’accès que depuis des appareils Windows 11 à jonction hybride ou conformes à Intune, et depuis les plages d’adresses IP de l’entreprise. Les connexions à risque depuis des lieux inhabituels ou des appareils personnels seront ainsi bloquées.

5. Ajouter des règles de flux de messagerie pour les alertes et le chiffrement

Marquez ou chiffrez automatiquement les e-mails sensibles envoyés depuis des adresses partagées via le Centre d’administration Exchange → Flux de messagerie → Règles, puis définissez la condition Expéditeur = [email protected] + des mots-clés comme « confidentiel ». Définissez ensuite l’action : avertir les administrateurs ou chiffrer avec le chiffrement des messages Office 365.

Vous pouvez aussi associer cette règle à une politique DLP qui la déclenche dès que des données sensibles sont détectées.

Comment NinjaOne peut-il vous aider à sécuriser vos boîtes aux lettres partagées ?

Simplifiez la protection de vos boîtes aux lettres partagées Office 365 grâce à ces intégrations clés :

Sécuriser les boîtes aux lettres partagées avec des groupes de sécurité

Verrouiller les groupes de sécurité de vos boîtes aux lettres partagées évite des compromissions coûteuses, comme la fuite de données clients depuis votre boîte support@entreprise. Ce guide vous a donné les moyens d’agir : journalisation d’audit (PowerShell/Purview), politiques DLP et contrôles d’accès au moindre privilège, pour savoir qui a fait quoi et bloquer l’exfiltration de données sensibles.

En superposant ces couches de protection, du cloud jusqu’au terminal, vous transformez des boîtes aux lettres partagées à risque en ressources conformes et auditables.

Sujets connexes

• Comment configurer la DLP Microsoft Purview
• Qu’est-ce qu’un audit de conformité ? Définition et importance
• Comment configurer la MFA (authentification forte) dans Office 365
• Sécurisez vos communications : comment envoyer des e-mails chiffrés dans Outlook et Office ‍365