{"id":891468,"date":"2026-10-01T17:48:27","date_gmt":"2026-10-01T17:48:27","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/comment-auditer-les-connexions-aux-controleurs-de-domaine-et-correler-les-evenements-entre-ad-et\/"},"modified":"2026-10-01T17:48:28","modified_gmt":"2026-10-01T17:48:28","slug":"comment-auditer-les-connexions-aux-controleurs-de-domaine-et-correler-les-evenements-entre-ad-et","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/fr\/blog\/comment-auditer-les-connexions-aux-controleurs-de-domaine-et-correler-les-evenements-entre-ad-et\/","title":{"rendered":"Comment auditer les connexions aux contr\u00f4leurs de domaine et corr\u00e9ler les \u00e9v\u00e9nements entre AD et Microsoft 365"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Points cl\u00e9s<\/h2>\n<ul>\n<li>Ce processus offre une visibilit\u00e9 unifi\u00e9e sur l&rsquo;authentification et l&rsquo;activit\u00e9 des utilisateurs, \u00e0 la fois dans Active Directory sur site et dans Microsoft 365 dans le cloud.<\/li>\n<li>Vous devez d&rsquo;abord configurer et activer les politiques d&rsquo;audit par strat\u00e9gie de groupe sur les contr\u00f4leurs de domaine afin de consigner les connexions r\u00e9ussies et \u00e9chou\u00e9es.<\/li>\n<li>Centraliser les journaux de tous les contr\u00f4leurs de domaine dans un SIEM ou un serveur de collecte est indispensable pour une analyse et une couverture compl\u00e8tes.<\/li>\n<li>Corr\u00e9ler les \u00e9v\u00e9nements AD avec les journaux d&rsquo;audit Microsoft Purview gr\u00e2ce \u00e0 des champs communs comme le UserPrincipalName et l&rsquo;adresse IP r\u00e9v\u00e8le des chronologies d&rsquo;attaque hybrides d\u00e9taill\u00e9es.<\/li>\n<li>L&rsquo;analyse de ces journaux corr\u00e9l\u00e9s aide \u00e0 d\u00e9tecter des menaces telles que les attaques par force brute, les sc\u00e9narios de d\u00e9placement impossible et les comptes de service compromis.<\/li>\n<li>Un reporting automatis\u00e9 de cette activit\u00e9 est essentiel pour d\u00e9montrer votre diligence en mati\u00e8re de s\u00e9curit\u00e9 et votre conformit\u00e9 aux auditeurs comme aux parties prenantes.<\/li>\n<\/ul>\n<\/div>\n<p>Il est vivement recommand\u00e9 d&rsquo;<strong>auditer les connexions aux contr\u00f4leurs de domaine<\/strong> ainsi que les activit\u00e9s consign\u00e9es dans les journaux d&rsquo;audit Microsoft 365 dans le cadre de vos processus de cybers\u00e9curit\u00e9 courants. La corr\u00e9lation de ces deux sources de donn\u00e9es offre aux \u00e9quipes informatiques et aux <a href=\"https:\/\/www.ninjaone.com\/fr\/msp\/quest-ce-quun-msp\/\">fournisseurs de services g\u00e9r\u00e9s<\/a> (MSP) une visibilit\u00e9 compl\u00e8te sur les tentatives d&rsquo;authentification dans les environnements cloud et hybrides. Elle facilite la d\u00e9tection et l&rsquo;investigation des incidents, tout en fournissant les informations n\u00e9cessaires pour d\u00e9montrer la conformit\u00e9 et r\u00e9agir aux violations potentielles.<\/p>\n<p>Ce guide explique comment auditer les \u00e9v\u00e9nements de connexion d&rsquo;un contr\u00f4leur de domaine (DC) <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-management\/what-is-active-directory\/\">Active Directory<\/a> (AD), <a href=\"https:\/\/www.ninjaone.com\/fr\/it-hub\/endpoint-security\/qu-est-ce-qu-un-controleur-de-domaine\/\"><\/a>comment croiser ces informations avec les donn\u00e9es d&rsquo;activit\u00e9 de Microsoft Purview, et comment g\u00e9n\u00e9rer des rapports \u00e0 des fins d&rsquo;analyse et de conformit\u00e9.<\/p>\n<h2>Ce qu&rsquo;il vous faut pour auditer les connexions aux contr\u00f4leurs de domaine avec les donn\u00e9es de Microsoft 365 Purview<\/h2>\n<p>Pour auditer les \u00e9v\u00e9nements de connexion dans des environnements cloud ou hybrides comportant \u00e0 la fois des contr\u00f4leurs de domaine et des activit\u00e9s enregistr\u00e9es dans <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/guide-complet-configurer-microsoft-purview-compliance-center-pour-vos-clients-pme\/\">Microsoft Purview<\/a>, vous aurez besoin\u00a0:<\/p>\n<ul>\n<li>d&rsquo;un compte administrateur disposant d&rsquo;un acc\u00e8s \u00e0 la <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/quest-ce-que-la-strategie-de-groupe-dans-active-directory\/\">strat\u00e9gie de groupe<\/a> pour configurer les politiques d&rsquo;audit\u00a0;<\/li>\n<li>d&rsquo;un r\u00e9f\u00e9rentiel central pour regrouper et conserver les journaux, par exemple un serveur Windows Event Forwarding (WEF)\/Windows Event Collector (WEC), ou des outils de <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-security-information-and-event-management-siem\/\">gestion des informations et des \u00e9v\u00e9nements de s\u00e9curit\u00e9 (SIEM)<\/a>\u00a0;<\/li>\n<li>d&rsquo;une liste des contr\u00f4leurs de domaine critiques, des <a href=\"https:\/\/www.ninjaone.com\/fr\/?post_type=script_hub&#038;p=361087\">unit\u00e9s d&rsquo;organisation (OU)<\/a> \u00e0 privil\u00e8ges et des comptes de service \u00e0 surveiller activement\u00a0;<\/li>\n<li>d&rsquo;un acc\u00e8s au portail d&rsquo;audit Microsoft 365 Purview et aux journaux de connexion Entra ID\u00a0;<\/li>\n<li>d&rsquo;une fen\u00eatre de changement approuv\u00e9e pour le d\u00e9ploiement et les tests de la politique.<\/li>\n<\/ul>\n<h2>\u00c9tape 1\u00a0: configurer les politiques d&rsquo;audit des contr\u00f4leurs de domaine<\/h2>\n<p>Utilisez la <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/console-de-gestion-des-strategies-de-groupe\/\">console de gestion des strat\u00e9gies de groupe (GPMC)<\/a> pour activer la strat\u00e9gie d&rsquo;audit avanc\u00e9e.<\/p>\n<ul>\n<li>Dans la GPMC, acc\u00e9dez \u00e0 <strong>Configuration ordinateur\\Param\u00e8tres Windows\\Param\u00e8tres de s\u00e9curit\u00e9\\Strat\u00e9gies locales\\Strat\u00e9gie d&rsquo;audit<\/strong><\/li>\n<li>Double-cliquez sur la politique <strong>Auditer les \u00e9v\u00e9nements de connexion<\/strong> pour la modifier, puis cochez les cases <strong>Succ\u00e8s<\/strong> et <strong>\u00c9chec<\/strong> afin de capturer \u00e0 la fois les connexions r\u00e9ussies et les tentatives d&rsquo;intrusion<\/li>\n<li>Ex\u00e9cutez <strong>gpupdate \/force<\/strong> ou red\u00e9marrez pour appliquer la modification, puis v\u00e9rifiez que les \u00e9v\u00e9nements 4624 (succ\u00e8s) et 4625 (\u00e9chec) sont bien consign\u00e9s dans l&rsquo;<a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/comment-automatiser-la-surveillance-des-journaux-devenements-windows-sur-plusieurs-clients\/\">observateur d&rsquo;\u00e9v\u00e9nements<\/a><\/li>\n<\/ul>\n<p>Les <a href=\"https:\/\/learn.microsoft.com\/en-us\/previous-versions\/windows\/it-pro\/windows-10\/security\/threat-protection\/auditing\/basic-audit-logon-events\" target=\"_blank\" rel=\"noopener\">\u00e9v\u00e9nements de connexion<\/a> ne sont g\u00e9n\u00e9r\u00e9s sur le contr\u00f4leur de domaine que pour les comptes de domaine. Si vous souhaitez auditer les connexions d&rsquo;appareils autonomes utilisant des comptes locaux, vous devrez d\u00e9ployer ce param\u00e8tre de strat\u00e9gie de groupe et collecter les journaux des terminaux \u00e0 l&rsquo;aide de votre solution de <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/definition-de-la-surveillance-et-gestion-a-distance\/\">surveillance et gestion \u00e0 distance<\/a> (RMM) ou de <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/qu-est-ce-que-la-gestion-des-appareils-mobiles-mdm\/\">gestion des appareils mobiles<\/a> (MDM).<\/p>\n<h2>\u00c9tape 2\u00a0: centraliser et conserver les journaux d&rsquo;audit d&rsquo;authentification<\/h2>\n<p>Regroupez les journaux de tous les contr\u00f4leurs de domaine sur une plateforme centrale afin d&rsquo;\u00e9viter les angles morts lors de l&rsquo;analyse des donn\u00e9es d&rsquo;\u00e9v\u00e9nements. Vous pouvez le faire \u00e0 l&rsquo;aide d&rsquo;un serveur Windows Event Forwarding (WEF)\/Windows Event Collector (WEC) ou d&rsquo;outils SIEM. Vous pouvez \u00e9galement <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/comment-creer-une-strategie-centralisee-de-collecte-des-journaux-de-securite-pour-les-clients-ms\/\">tirer parti de votre plateforme RMM automatis\u00e9e<\/a> pour l&rsquo;ingestion des journaux, leur analyse et la g\u00e9n\u00e9ration de rapports, quel que soit le syst\u00e8me d&rsquo;exploitation.<\/p>\n<p>D\u00e9finissez les dur\u00e9es de conservation des journaux en fonction des exigences de conformit\u00e9 aux <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/guide-pour-msp-sur-la-protection-des-donnees-clients\/\">r\u00e9glementations sur la protection des donn\u00e9es et la vie priv\u00e9e<\/a> applicables \u00e0 votre entreprise et \u00e0 toutes les parties dont vous stockez les informations.<\/p>\n<h2>\u00c9tape 3\u00a0: enrichir les journaux des contr\u00f4leurs de domaine avec les donn\u00e9es d&rsquo;audit Microsoft 365 Purview<\/h2>\n<p>En compl\u00e9tant les donn\u00e9es d&rsquo;audit des connexions issues de vos contr\u00f4leurs de domaine Active Directory par les <a href=\"https:\/\/learn.microsoft.com\/en-us\/purview\/audit-log-activities\" target=\"_blank\" rel=\"noopener\">activit\u00e9s collect\u00e9es dans Microsoft Purview<\/a>, vous pouvez suivre les activit\u00e9s suspectes des utilisateurs plus en d\u00e9tail. Pour cela, il faut corr\u00e9ler les donn\u00e9es, notamment le UserPrincipalName, l&rsquo;adresse IP et d&rsquo;autres identifiants, entre les journaux cloud et sur site afin de construire des chronologies hybrides.<\/p>\n<h2>\u00c9tape 4\u00a0: appliquer des filtres et rep\u00e9rer les corr\u00e9lations<\/h2>\n<p>Utilisez vos outils d&rsquo;analyse pour identifier les \u00e9checs de connexion r\u00e9currents ou les connexions depuis des emplacements inhabituels. Surveillez \u00e9galement un nombre anormalement \u00e9lev\u00e9 de connexions r\u00e9ussies pour un m\u00eame compte\u00a0: cela peut signaler des tentatives d&rsquo;authentification automatis\u00e9es ayant abouti. Pour que cette approche soit efficace, les comptes de service doivent figurer sur une liste blanche afin d&rsquo;\u00e9viter les faux positifs.<\/p>\n<h2>\u00c9tape 5\u00a0: corriger et signaler les activit\u00e9s de connexion suspectes<\/h2>\n<p>Des <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/remediation-des-vulnerabilites-definition-et-exemples\/\">mesures de rem\u00e9diation automatis\u00e9es<\/a> doivent \u00eatre configur\u00e9es pour d\u00e9sactiver automatiquement les comptes potentiellement compromis ou inactifs avant m\u00eame le lancement d&rsquo;une investigation.<\/p>\n<p>D\u00e9montrez votre diligence et votre conformit\u00e9 aux parties prenantes gr\u00e2ce \u00e0 des synth\u00e8ses d&rsquo;audit g\u00e9n\u00e9r\u00e9es automatiquement, incluant des indicateurs tels que le volume d&rsquo;\u00e9v\u00e9nements, les \u00e9checs uniques, le temps moyen d&rsquo;investigation et les actions administratives men\u00e9es (par exemple, le durcissement des politiques de MFA (authentification forte) et de mots de passe, ou la suppression des comptes inactifs).<\/p>\n<h2>NinjaOne unifie, automatise et centralise le reporting des journaux d&rsquo;audit AD<\/h2>\n<p>NinjaOne peut \u00eatre configur\u00e9 pour ing\u00e9rer automatiquement les journaux de n&rsquo;importe quelle source, y compris les journaux des contr\u00f4leurs de domaine Windows, les \u00e9v\u00e9nements Microsoft 365 Purview et les journaux de logiciels tiers, puis les analyser et les synth\u00e9tiser dans des rapports pr\u00eats \u00e0 \u00eatre pr\u00e9sent\u00e9s. Les donn\u00e9es de journalisation et les rapports peuvent ensuite \u00eatre conserv\u00e9s dans NinjaOne Documentation, avec un acc\u00e8s contr\u00f4l\u00e9, pour en tirer des enseignements sur le long terme et les pr\u00e9senter aux parties prenantes lors des revues d&rsquo;activit\u00e9.<\/p>\n<p>En plus d&rsquo;unifier les journaux et de vous donner les outils d&rsquo;une supervision compl\u00e8te de l&rsquo;infrastructure informatique de vos clients, NinjaOne int\u00e8gre des fonctionnalit\u00e9s de <a href=\"https:\/\/www.google.com\/url?sa=t&amp;rct=j&amp;q=&amp;esrc=s&amp;source=web&amp;cd=&amp;cad=rja&amp;uact=8&amp;ved=2ahUKEwizxrv_rr2WAxX_ieEIHU2QC7cQFnoECBwQAQ&amp;url=https%3A%2F%2Fwww.ninjaone.com%2Fblog%2Fwhat-is-mobile-device-management-mdm%2F&amp;usg=AOvVaw1rSM4PTZDQZ7QEQ0WTmslD&amp;opi=89978449\">MDM<\/a>, de <a href=\"https:\/\/www.google.com\/url?sa=t&amp;rct=j&amp;q=&amp;esrc=s&amp;source=web&amp;cd=&amp;cad=rja&amp;uact=8&amp;ved=2ahUKEwj58Yn5rr2WAxWXmeEIHWStIAoQFnoECBoQAQ&amp;url=https%3A%2F%2Fwww.ninjaone.com%2Fblog%2Fremote-monitoring-management-definition%2F&amp;usg=AOvVaw0OFG3jH7p1l7khcxCnLVv5&amp;opi=89978449\">RMM<\/a>, de helpdesk (service d&rsquo;assistance) et de s\u00e9curit\u00e9 des terminaux parmi les meilleures du march\u00e9. Avec l&rsquo;ensemble de la surveillance de vos terminaux et de votre infrastructure r\u00e9unie au m\u00eame endroit, vous avez la certitude que le bon technicien est averti de tout probl\u00e8me de s\u00e9curit\u00e9 ou de conformit\u00e9 et peut le corriger imm\u00e9diatement, avec une tra\u00e7abilit\u00e9 pr\u00eate pour l&rsquo;audit de ce qui s&rsquo;est pass\u00e9 et de la mani\u00e8re dont le probl\u00e8me a \u00e9t\u00e9 r\u00e9solu.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Il est vivement recommand\u00e9 d&rsquo;auditer les connexions aux contr\u00f4leurs de domaine ainsi que les activit\u00e9s consign\u00e9es dans les journaux d&rsquo;audit Microsoft 365 dans le cadre de vos processus de cybers\u00e9curit\u00e9 courants. La corr\u00e9lation de ces deux sources de donn\u00e9es offre aux \u00e9quipes informatiques et aux fournisseurs de services g\u00e9r\u00e9s (MSP) une visibilit\u00e9 compl\u00e8te sur les [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":743691,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4355,4369],"tags":[],"class_list":["post-891468","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops","category-securite"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/891468","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/comments?post=891468"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/891468\/revisions"}],"predecessor-version":[{"id":891469,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/891468\/revisions\/891469"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/media\/743691"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/media?parent=891468"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/categories?post=891468"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/tags?post=891468"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}