Détecter et bloquer les attaques par pulvérisation de mots de passe dans Microsoft 365 avec Sentinel ou les journaux d’audit

Ce guide vous montre comment détecter et bloquer les attaques par pulvérisation de mots de passe dans Microsoft 365. Il présente des stratégies de surveillance des journaux à la recherche de signes d’attaque, notamment l’utilisation de Microsoft Sentinel et du langage KQL, des journaux d’audit unifiés, de PowerShell pour détecter l’usage de l’authentification héritée, ainsi que l’analyse des journaux à l’aide de commandes exécutables depuis l’invite de commande ou via des outils d’automatisation de la sécurité.

Comment détecter une attaque par pulvérisation de mots de passe ?

Les attaques par pulvérisation de mots de passe sont des attaques par force brute dans lesquelles les pirates tentent d’accéder à plusieurs comptes à l’aide de mots de passe courants ou divulgués. Si les méthodes d’authentification modernes (comme la MFA (authentification forte)) contribuent à les bloquer, les attaquants exploitent souvent des méthodes d’authentification héritées (comme les identifiants de base composés d’une adresse e-mail et d’un nom d’utilisateur, utilisés pour accéder à la messagerie via POP3) ou des portails de connexion afin de les contourner dans les environnements qui n’ont pas encore entièrement migré vers des méthodes d’authentification plus sûres.

Ces attaques par pulvérisation de mots de passe peuvent être détectées en surveillant les journaux à la recherche de tentatives de connexion échouées répétées et d’activités suspectes sur les points d’authentification hérités. L’automatisation est essentielle pour détecter et atténuer ces attaques, car tout accès non autorisé doit être bloqué immédiatement et les identifiants des utilisateurs concernés mis à jour.

Les principaux objectifs de l’automatisation de la protection de Microsoft 365 contre les attaques par pulvérisation de mots de passe sont les suivants :

• détecter les schémas de connexions échouées sur plusieurs comptes
• corréler les tentatives de connexion provenant d’adresses IP ou de géolocalisations inhabituelles
• bloquer l’authentification héritée
• automatiser les verrouillages ou la génération d’alertes en cas de détection
• durcir les systèmes à l’aide de modifications de politiques, de scripts et du registre

Avant de pouvoir mettre en place la prévention automatisée de la pulvérisation de mots de passe, vous aurez besoin des éléments suivants :

• un locataire Microsoft 365 avec l’audit activé
• Azure Sentinel ou Microsoft 365 Defender Plan 2 (pour la recherche avancée)
• le journal d’audit unifié activé dans Microsoft Purview
• un accès administrateur pour Microsoft Graph, PowerShell et la configuration des GPO

La protection des terminaux et l’automatisation peuvent être renforcées en intégrant vos déploiements Microsoft 365 à une solution de surveillance et gestion à distance (RMM), ce qui permet une surveillance et des alertes centralisées, avec la possibilité d’automatiser les actions de remédiation sur l’ensemble de votre infrastructure.

Détecter les schémas de pulvérisation de mots de passe avec Microsoft Sentinel et KQL

Le langage de requête Kusto (KQL) permet d’interroger Microsoft Sentinel afin de détecter des comportements révélateurs d’attaques par pulvérisation de mots de passe. Voici un exemple de requête KQL qui recherche plusieurs connexions échouées avec le même mot de passe :

SigninLogs
| where ResultType == 50053
| summarize Attempts=count() by UserPrincipalName, IPAddress
| where Attempts > 5
Exemple KQL 2, Surveiller les échecs de connexion provenant d’une même adresse IP et ciblant plusieurs utilisateurs :
SigninLogs
| where ResultType == 50053 or ResultType == 50126
| summarize CountByIP = count(), AccountsTargeted = dcount(UserPrincipalName) by IPAddress
| where AccountsTargeted > 10 and CountByIP > 30
Exemple KQL 3, Exclure les emplacements connus comme sûrs :
| where Location != "YourSafeLocation"

Cette requête peut servir à configurer des règles Sentinel Analytics qui déclenchent des alertes lorsque les seuils sont dépassés.

Détection allégée avec les journaux d’audit unifiés Microsoft 365 dans Purview

Activez le journal d’audit unifié dans Microsoft Purview à l’aide de la commande suivante dans Exchange Online PowerShell :

Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true

Vous pouvez ensuite rechercher les tentatives de connexion échouées avec la commande suivante :

Search-UnifiedAuditLog -StartDate (Get-Date).AddHours(-1) -EndDate (Get-Date) -Operations UserLoggedIn |
Where-Object { $_.AuditData.ResultStatus -eq "Failed" }

Des outils d’analyse permettent ensuite de corréler ces entrées avec les adresses IP et leur fréquence afin d’en déduire des tentatives d’attaque, puis de bloquer ces sources. Vous pouvez exporter les données du journal d’audit au format .csv à cette fin :

Export-Csv -Path "C:\Logs\M365_LoginFailures.csv" -NoTypeInformation

Identifier l’usage de l’authentification héritée avec PowerShell (fréquent lors des tentatives de pulvérisation de mots de passe)

Les attaques par pulvérisation de mots de passe ciblent souvent des protocoles hérités comme POP, IMAP et SMTP. Bien que ces protocoles soient obsolètes dans Microsoft 365, certaines entreprises les laissent activés ou conservent une infrastructure connectée qui utilise des technologies d’authentification anciennes et peu sûres. Vous pouvez détecter l’authentification héritée de la messagerie en exécutant la commande suivante dans Exchange Online PowerShell :

Get-SignInLogs | Where-Object { $_.ClientAppUsed -in @("IMAP", "POP", "SMTP", "MAPI", "Exchange ActiveSync") } |
Select-Object UserPrincipalName, ClientAppUsed, IPAddress

Ensuite, pour désactiver ces méthodes pour un utilisateur précis :

Set-CASMailbox [email protected] -ImapEnabled $false -PopEnabled $false -MAPIEnabled $false -SmtpClientAuthenticationDisabled $true

Bloquer les protocoles hérités et imposer le verrouillage via GPO

En plus de vous protéger contre la pulvérisation de mots de passe dans Microsoft 365, vous pouvez protéger les terminaux contre les tentatives de connexion répétées grâce à la stratégie de groupe dans un environnement de domaine Windows. Pour utiliser la stratégie de groupe et appliquer ces règles au niveau du système d’exploitation dans les environnements hybrides :

• ouvrez la console de gestion des stratégies de groupe
• accédez à Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies de comptes > Stratégie de verrouillage du compte
• définissez le Seuil de verrouillage du compte sur 5 tentatives non valides
• définissez la Durée de verrouillage du compte sur 15 minutes

wevtutil permet de rechercher les tentatives de connexion échouées dans les journaux de sécurité, avec une automatisation possible via le déploiement de scripts ou des solutions RMM :

wevtutil qe Security "/q:*[System[(EventID=4625)]]" /c:20 /f:text

Vous pouvez également imposer l’authentification moderne et désactiver l’authentification de base comme solution de repli dans Outlook via la stratégie de groupe, en déployant la valeur de registre suivante « AlwaysUseMSOAuthForAutoDiscover »=dword:00000001 dans la clé de registre située à l’emplacement HKEY_CURRENT_USER\Software\Microsoft\Exchange.

Dépannage, conseils et outils de détection complémentaires

Pour vous assurer que vos mesures d’atténuation de la pulvérisation de mots de passe dans Microsoft 365 fonctionnent efficacement, vérifiez les points suivants :

• l’ingestion du journal d’audit unifié est activée
• les adresses IP ou régions de confiance figurent sur une liste d’autorisation dans les requêtes Sentinel afin de réduire les faux positifs, tandis que les connexions provenant de pays éloignés dont vous n’attendez aucune tentative de connexion sont bloquées d’emblée
• l’accès conditionnel est utilisé pour bloquer l’authentification et les applications héritées, plutôt que de compter sur les utilisateurs pour migrer d’eux-mêmes
• les plages temporelles des requêtes KQL sont élargies et les variables de seuil ajustées pour repérer les comportements suspects
• les comptes utilisateurs sont automatiquement bloqués lorsque le risque de connexion est élevé

Pour empêcher les attaques par pulvérisation de mots de passe d’aboutir, déployez la MFA (authentification forte) sur l’ensemble de votre infrastructure informatique, pour tous les utilisateurs. Les accès tiers doivent également être audités régulièrement afin de supprimer les comptes de service inutilisés ou de revoir leurs autorisations. Les utilisateurs finaux doivent en outre être formés régulièrement à la cybersécurité et aux bonnes pratiques de traitement des données (par exemple, savoir repérer les prompts de connexion suspects et les tentatives de phishing) afin de garantir la protection et la conformité de votre entreprise.

Comment le RMM protège toute votre infrastructure contre la pulvérisation de mots de passe et d’autres attaques

La surveillance et gestion à distance (RMM) de NinjaOne permet aux techniciens de surveiller et de gérer les terminaux à distance, tout en les alertant en cas d’incident de cybersécurité potentiel. De plus, elle permet de déployer des scripts pour désinstaller les logiciels hérités susceptibles de tenter de s’authentifier auprès de Microsoft 365 par des méthodes peu sûres, et de surveiller les tentatives de force brute.

NinjaOne RMM permet également d’imposer des configurations sécurisées par défaut sur tous les appareils, et d’exécuter des scripts de remédiation pour désactiver des utilisateurs et isoler des terminaux lorsque des anomalies sont détectées. Vous bénéficiez d’une visibilité complète sur tous les terminaux fonctionnant sous les systèmes d’exploitation les plus répandus, où qu’ils se trouvent.