Guide Audit Complet Microsoft 365 : Sécurité et Conformité

Les 7 domaines d audit Microsoft 365

Domaine 1 : Audit Entra ID (Azure AD)

L identité est le nouveau périmètre de sécurité. Les contrôles Entra ID sont les plus critiques :

# Connexion à Microsoft Graph
Connect-MgGraph -Scopes "Directory.Read.All","Policy.Read.All"

# 1.1 Vérifier le MFA pour tous les admins
$admins = Get-MgDirectoryRoleMember -DirectoryRoleId (Get-MgDirectoryRole | Where DisplayName -eq "Global Administrator").Id
foreach ($admin in $admins) {
    $auth = Get-MgUserAuthenticationMethod -UserId $admin.Id
    Write-Host "$($admin.DisplayName): $($auth.Count) méthodes MFA"
}

# 1.2 Vérifier les politiques d accès conditionnel
Get-MgIdentityConditionalAccessPolicy | Select DisplayName, State, Conditions, GrantControls

# 1.3 Comptes invités (B2B) et leurs droits
Get-MgUser -Filter "userType eq 'Guest'" -All | Measure-Object
Get-MgUser -Filter "userType eq 'Guest'" -All | Select DisplayName, Mail, CreatedDateTime

# 1.4 Applications OAuth tierces (consentements)
Get-MgServicePrincipal -All | Where {$_.AppOwnerOrganizationId -ne $tenantId} | Select DisplayName, AppId

Contrôles critiques à vérifier :

• MFA obligatoire pour tous les administrateurs (Global Admin, Exchange Admin, etc.)
• Conditional Access : au minimum une policy bloquant les connexions hors pays autorisés
• Legacy auth désactivé : IMAP, POP3, SMTP auth basic doivent être bloqués
• PIM (Privileged Identity Management) : les rôles admin doivent être JIT (just-in-time)
• Revue des consentements OAuth : bloquer le consentement utilisateur, exiger l approbation admin

Domaine 2 : Audit Exchange Online

# 2.1 Vérifier les règles de transport suspectes
Get-TransportRule | Select Name, State, Priority, Conditions, Actions

# 2.2 Règles de forwarding externes (indicateur de compromission)
Get-Mailbox -ResultSize Unlimited | Where {$_.ForwardingSmtpAddress -ne $null} | Select DisplayName, ForwardingSmtpAddress

# 2.3 DMARC, DKIM, SPF
Resolve-DnsName -Name _dmarc.votredomaine.fr -Type TXT
Resolve-DnsName -Name selector1._domainkey.votredomaine.fr -Type CNAME

# 2.4 Audit mailbox access
Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-30) -EndDate (Get-Date) -Operations MailboxLogin -ResultSize 5000

Domaine 3-4 : SharePoint, OneDrive et Teams

# 3.1 Partages externes SharePoint
Get-SPOSite -Limit All | Where {$_.SharingCapability -ne "Disabled"} | Select Url, SharingCapability

# 3.2 Liens anonymes (Anyone links)
Get-SPOTenant | Select SharingCapability, DefaultSharingLinkType, PreventExternalUsersFromResharing

# 4.1 Accès externe Teams
Get-CsTeamsClientConfiguration | Select AllowExternalMessaging, AllowGuestAccess

Domaine 5-6 : Defender et Audit Logs

Les logs d audit sont essentiels pour la détection et le forensics :

• Unified Audit Log : vérifier qu il est activé (désactivé par défaut sur certains tenants!)
• Rétention : 90 jours (E3) ou 365 jours (E5/Audit P2)
• Defender for Office 365 : Safe Attachments et Safe Links activés
• Alert Policies : alertes configurées pour les événements critiques

Outils d audit recommandés

Pour un accompagnement dans l audit de votre tenant Microsoft 365, consultez notre guide d audit Microsoft 365 et notre prestation d accompagnement ISO 27001.

FAQ