Azure AD Entra ID Forensics

Définition

La forensique Azure Active Directory (désormais Microsoft Entra ID) est essentielle pour les investigations dans les environnements cloud hybrides et Azure. Entra ID gère les identités cloud Microsoft : authentification, accès conditionnel, MFA, et les rôles de l'écosystème Microsoft 365. Ses logs sont la source principale pour les investigations d'incidents impliquant des comptes compromis dans le cloud Microsoft. Les sources de logs Entra ID forensiquement pertinentes incluent : Sign-in Logs (toutes les connexions avec IP, localisation, application, résultat MFA, Conditional Access result), Audit Logs (modifications d'objets AD : création de comptes, modification de groupes, changements de rôles, enregistrement d'applications), Risky User Logs (utilisateurs signalés par Identity Protection comme à risque), et Provisioning Logs (synchronisation entre AD on-premise et Azure AD via Azure AD Connect). Les scénarios forensiques Entra ID incluent : la détection d'un compte compromis (connexions depuis des IPs ou localisations inhabituelles, MFA bypass via session token theft, Token Replay Attacks), l'ajout non autorisé d'un utilisateur à un rôle privilégié (Global Administrator, Exchange Administrator), l'enregistrement d'une nouvelle application malveillante avec des permissions sensibles (OAuth Consent Grant Attack — Application.ReadWrite.All, Mail.Read), et la désactivation des politiques d'Accès Conditionnel. L'outil PowerShell AzureADIncidentResponse (Mandiant) automatise la collecte et l'analyse forensique d'Entra ID lors d'un incident. HAWK (de the DFIR Report) et DART Playbooks Microsoft fournissent des procedures d'investigation spécifiques pour les incidents Microsoft 365/Entra ID. ROADtools est une suite d'outils Python pour cartographier et analyser les configurations Entra ID (utilisateurs, groupes, applications, permissions). La rétention des logs Entra ID est limitée : 7 jours pour le plan gratuit, 30 jours pour Azure AD P1/P2. Une configuration de diagnostic qui exporte les logs vers un Log Analytics Workspace ou un Storage Account est indispensable pour des investigations rétrospectives au-delà de ces fenêtres.