Audit Avancé Microsoft 365 : Corréler Journaux et Logs Azure

L'audit avancé de Microsoft 365 va bien au-delà de la simple consultation des journaux d'événements. Il s'agit d'une discipline forensique qui nécessite une.

# Configuration optimale de l'Unified Audit Log
Set-OrganizationConfig -AuditDisabled:$false
Enable-OrganizationCustomization
Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled:$true

// Recherche d'activités suspectes multi-services
OfficeActivity
| where TimeGenerated > ago(24h)
| where Operation in ("FileDownloaded", "MailItemsAccessed", "Send")
| summarize EventCount = count(), UniqueFiles = dcount(OfficeObjectId) by UserId, ClientIP
| where EventCount > 100 or UniqueFiles > 50

Tableau Récapitulatif des Sources de Logs Microsoft 365

• Sécuriser l'accès Microsoft 365 avec Conditional Access et MFA
• Threat Hunting Microsoft 365 avec Defender et Sentinel
• Automatiser l'audit sécurité Microsoft 365 via PowerShell
• Détection des attaques Azure AD et compromission d'identités
• Conformité Microsoft 365 : outils intégrés et audit

Combien de temps sont conservés les logs Microsoft 365 par défaut ?

Par défaut, les logs du Unified Audit Log sont conservés 90 jours pour Microsoft 365 Business/E1/E3, et 365 jours pour M365 E5. La rétention étendue (10 ans) est disponible avec le module Audit (Premium). Il est critique d'activer et configurer la rétention avant tout incident.

Comment corréler les logs Azure AD Sign-in avec les logs Defender ?

Via Microsoft Sentinel avec les connecteurs Azure AD et Defender, utilisez KQL : joignez la table SignInLogs avec SecurityAlert sur l'UserPrincipalName et la plage temporelle. Le workbook 'Azure AD Sign-in Analysis' de Sentinel automatise cette corrélation.

Quels Event IDs sont critiques dans l'audit Microsoft 365 ?

Les opérations prioritaires dans l'Unified Audit Log : UserLoggedIn (connexions), FileDownloaded (exfiltration), Add-MailboxPermission (BEC), Set-Mailbox ForwardingSmtpAddress (règles de transfert), et Add-RoleGroupMember (élévation de privilèges).

Conclusion

La corrélation des journaux Microsoft 365 est la clé d'une détection efficace des compromissions avancées. En combinant l'Unified Audit Log, Azure AD Sign-in Logs et Microsoft Defender via KQL dans Sentinel, vous disposez d'une visibilité complète sur les activités suspectes dans votre tenant M365. Téléchargez les requêtes KQL de ce guide et configurez des alertes automatisées pour une supervision continue.

Sources et références : Microsoft Security Docs · CERT-FR

Références et Ressources Officielles

• Microsoft Unified Audit Log — Documentation Officielle
• Microsoft Sentinel — KQL Reference
• ANSSI — Guide de la supervision des SI

Plan de remédiation et mesures correctives

La remédiation de cette problématique nécessite une approche structurée en plusieurs phases. En priorité immédiate, les équipes de sécurité doivent identifier les systèmes exposés, appliquer les correctifs disponibles et mettre en place des règles de détection temporaires. À moyen terme, il convient de renforcer l'architecture de sécurité par la segmentation réseau, le durcissement des configurations et le déploiement de solutions de monitoring avancées. À long terme, l'adoption d'une approche Zero Trust, la formation continue des équipes et l'intégration de la sécurité dans les processus DevOps permettent de réduire structurellement la surface d'attaque et d'améliorer la résilience globale de l'infrastructure.

Contexte élargi et implications

Cette problématique s'inscrit dans un contexte plus large de transformation numérique accélérée, où la surface d'attaque des organisations ne cesse de s'étendre. Les environnements hybrides, le travail à distance et l'adoption massive des services cloud créent de nouvelles opportunités pour les acteurs malveillants. Les équipes de sécurité doivent adapter leurs stratégies en permanence, en combinant veille technique, formation continue et automatisation des processus de détection et de réponse. L'investissement dans les compétences humaines reste le facteur différenciant majeur pour les organisations souhaitant maintenir un avantage défensif durable face à des menaces toujours plus sophistiquées et persistantes.

Approfondissement et ressources complémentaires

Pour approfondir cette thématique, plusieurs ressources complémentaires sont disponibles. Les référentiels ANSSI, NIST et MITRE proposent des guides détaillés couvrant les aspects techniques et organisationnels. Les communautés open source contribuent activement au développement d'outils de détection et de remédiation. La formation continue des équipes techniques et la participation aux exercices de simulation constituent des investissements à fort retour en termes de maturité sécurité.

Corrélation avancée multi-sources Microsoft 365

La corrélation des journaux Microsoft 365 nécessite une approche multi-sources intégrant les logs Azure AD Sign-In, les journaux Unified Audit Log, les événements Exchange Online Protection et les alertes Microsoft Defender. La jonction temporelle entre ces sources permet de reconstruire des chaînes d'attaque complexes impliquant compromission de credentials, mouvement latéral via SharePoint et exfiltration de données via OneDrive. Les requêtes KQL avancées exploitant les opérateurs join et mv-expand facilitent cette corrélation dans Microsoft Sentinel.

Détection des techniques MITRE ATT&CK dans M365

Le mapping des événements Microsoft 365 sur le framework MITRE ATT&CK révèle des lacunes de couverture que les organisations doivent adresser. Les techniques de persistence via les applications OAuth consenties (T1098.003), l'accès aux boîtes mail via Graph API (T1114.002) et la création de règles de transfert automatique (T1114.003) figurent parmi les vecteurs les plus exploités par les groupes APT ciblant les environnements cloud Microsoft.

Playbooks de réponse automatisée

L'automatisation de la réponse aux alertes Microsoft 365 via Azure Logic Apps et Microsoft Sentinel permet de réduire drastiquement le temps de réaction. Les playbooks de révocation de tokens, de blocage d'IP et d'isolation de comptes compromis s'exécutent en quelques secondes, là où une intervention manuelle nécessiterait plusieurs minutes. La construction de ces playbooks repose sur une modélisation précise des scénarios d'attaque et des arbres de décision associés.

La mise en place d'alertes personnalisées dans Microsoft Sentinel, configurées avec des seuils adaptés au profil de risque de l'organisation, permet de détecter rapidement les comportements anormaux et de déclencher les procédures de réponse appropriées dans les délais impartis par les SLA de sécurité définis.

À propos de l'auteur

AN

Ayi NEDJIMI

Disponible

Expert Cybersécurité Offensive & Intelligence Artificielle

ayi@ayinedjimi-consultants.fr

20+

ans

700+

articles

100+

missions

Ayi NEDJIMI est consultant senior en cybersécurité offensive et intelligence artificielle, avec plus de 20 ans d'expérience sur des missions à haute criticité. Il dirige Ayi NEDJIMI Consultants, cabinet spécialisé dans le pentest d'infrastructures complexes, l'audit de sécurité et le développement de solutions IA sur mesure.

Ses interventions couvrent l'audit Active Directory et la compromission de domaines, le pentest cloud (AWS, Azure, GCP), la rétro-ingénierie de malwares, le forensics numérique et l'intégration d'IA générative (RAG, agents LLM, fine-tuning). Il accompagne des organisations de toutes tailles — des PME aux grands groupes du CAC 40 — dans leur stratégie de sécurisation.

Contributeur actif à la communauté cybersécurité, il publie régulièrement des analyses techniques, des guides méthodologiques et des outils open source. Ses travaux font référence dans les domaines du pentest AD, de la conformité (NIS2, DORA, RGPD) et de la sécurité des systèmes industriels (OT/ICS).

Pentest AD Cloud Security Forensics Rétro-ingénierie IA / LLM / RAG NIS2 / ISO 27001 OT / ICS

Profil complet Demander un devis