Pour contrecarrer les attaques par mot de passe et par hameçonnage, Microsoft déploie des dispositions de sécurité par défaut pour un nombre massif d’utilisateurs d’Azure Active Directory (AD).
Microsoft a commencé à déployer ces dispositions par défaut pour les clients qui ont créé un nouveau locataire Azure AD après octobre 2019, mais pas pour les clients qui ont créé des locataires Azure AD avant octobre 2019.
Aujourd’hui, les réglages par défaut d’Azure AD sont utilisés par environ 30 millions d’organisations, selon Microsoft, et au cours du mois prochain, Microsoft entend les déployer pour beaucoup plus d’organisations, ce qui permettra de protéger 60 millions de comptes supplémentaires.
« Une fois terminé, ce déploiement protégera 60 millions de comptes supplémentaires (à peu près la population du Royaume-Uni !) contre les attaques d’identité les plus courantes », déclare Alex Weinert, directeur de la sécurité de l’identité chez Microsoft.
Azure AD est le service cloud de Microsoft destiné à la gestion de l’identité et l’authentification pour les applications sur site et dans le cloud. Il s’agit de l’évolution des services de domaine Active Directory.
Microsoft a introduit les paramètres par défaut de sécurité (« Security Defaults ») en 2019 comme un ensemble de base de mécanismes de sécurité de l’identité pour les organisations moins bien dotées en ressources qui souhaitaient renforcer les défenses contre les attaques par mot de passe et par hameçonnage. Il était également destiné aux organisations utilisant le niveau gratuit de la licence Azure AD, permettant à ces administrateurs de simplement basculer sur ces paramètres sécurisés via le portail Azure.
Ces configurations n’étaient pas destinées aux grandes entreprises ou à celles qui utilisaient déjà des contrôles Azure AD plus avancés comme les politiques d’accès conditionnel.
Comme l’explique Weinert, les paramètres de sécurité par défaut ont été introduits pour les nouveaux locataires afin de garantir qu’ils disposent d’une « hygiène de sécurité de base », notamment l’authentification multifactorielle (MFA) et l’authentification moderne, quelle que soit la licence. Les 30 millions d’organisations qui ont mis en place ces paramètres sont beaucoup moins sujets aux fuites de données, souligne-t-il.
« Ces organisations subissent 80 % moins de compromis que l’ensemble des locataires. La plupart des locataires laissent simplement le système en place, tandis que d’autres ajoutent encore plus de sécurité avec l’accès conditionnel lorsqu’ils sont prêts », explique M. Weinert.
Les paramètres de sécurité par défaut signifient que les utilisateurs seront confrontés à une authentification multifacteurs « si nécessaire », en fonction de l’emplacement de l’utilisateur, de son appareil, de son rôle et de sa tâche, selon Weinert. Les administrateurs, en revanche, devront utiliser l’authentification multifacteurs à chaque fois qu’ils se connecteront.
Le déploiement des paramètres de sécurité par défaut concernera d’abord les organisations qui n’utilisent pas l’accès conditionnel, qui n’ont pas encore utilisé les paramètres de sécurité par défaut et qui « n’utilisent pas activement les anciens clients d’authentification ».
Ainsi, les clients d’Exchange Online qui utilisent toujours l’authentification traditionnelle ne pourront pas profiter des paramètres de sécurité par défaut. Microsoft voulait désactiver l’authentification legacy pour Exchange Online en 2020, mais cela a été retardé par la pandémie. Maintenant, la date limite pour faire passer Exchange Online à l’authentification moderne est fixée au 1er octobre 2022. Les clients ne peuvent pas demander de prolongation au-delà de cette date, l’équipe Exchange de Microsoft a souligné plus tôt ce mois-ci.
Ce mois-ci, Microsoft informera les administrateurs globaux des locataires Azure AD éligibles par le biais d’un e-mail. À la fin du mois de juin, ces administrateurs verront apparaître une notification Outlook de Microsoft les invitant à cliquer sur « activer les paramètres de sécurité par défaut » et un avertissement indiquant que « les paramètres de sécurité par défaut seront activés automatiquement pour vos organisations dans 14 jours ».
« Les administrateurs globaux peuvent choisir d’activer les paramètres de sécurité par défaut immédiatement ou de les suspendre jusqu’à 14 jours. Ils peuvent également choisir explicitement de ne pas appliquer les paramètres de sécurité par défaut pendant cette période », explique M. Weinert.
Une fois l’option activée, tous les utilisateurs d’un locataire seront invités à s’inscrire à l’authentification multifacteurs en utilisant l’application Microsoft Authenticator. Les administrateurs doivent également fournir un numéro de téléphone.
Microsoft permet aux clients de désactiver les paramètres de sécurité par défaut dans la section « propriétés » de Azure Active Directory properties ou de Microsoft 365 admin center.
Source : « ZDNet.com »