Microsoft 365 Forensics

Définition

La forensique Microsoft 365 (M365, anciennement Office 365) couvre l'investigation des incidents de sécurité dans l'écosystème cloud de Microsoft : Exchange Online (emails), SharePoint Online et OneDrive (stockage de fichiers), Teams (messagerie collaborative), Azure Active Directory (identités et accès), et les autres services M365. Elle est devenue une discipline à part entière avec la migration massive des entreprises vers les services cloud Microsoft. Les sources de logs M365 forensiquement pertinentes sont centralisées dans Microsoft Purview (anciennement Microsoft 365 Compliance Center). L'Unified Audit Log (UAL) est la source principale : il enregistre les activités de plus de 200 types d'opérations dans tous les services M365 (connexions, accès aux fichiers, envois d'emails, modifications de configuration, création/suppression d'utilisateurs). La rétention par défaut est de 90 jours pour les plans E3 et 1 an pour E5/G5. Les investigations d'incidents M365 les plus courantes concernent les compromissions de compte (Business Email Compromise - BEC), les accès non autorisés à des données SharePoint, et les configurations malveillantes ajoutées par des attaquants. Les Event IDs UAL clés incluent : 'MailItemsAccessed' (accès à des emails, audit avancé E5 requis), 'Send' (emails envoyés), 'MoveToDeletedItems' (emails déplacés vers la corbeille), 'Set-Mailbox' (modifications de règles de boite mail), 'New-InboxRule' (création de règles de redirection), 'UpdateInboxRules', et 'Add member to role' (escalade de privilèges AAD). L'outil HAWK (Hawktools) développé par BishopFox est l'outil open source de référence pour la collecte forensique M365. Il interroge les APIs Microsoft Graph et ExchangeOnlineManagement pour extraire de manière structurée l'UAL, les règles de boite mail, les délégations, et d'autres artefacts forensiques. Hawk produit des rapports CSV directement analysables. Microsoft DART (Detection and Response Team) a développé des outils et des requêtes KQL dédiés aux investigations M365 disponibles dans le dépôt GitHub Microsoft 365 Defender. Les règles de redirection d'email malveillantes (MX rules créées par l'attaquant pour copier tous les emails vers une boite externe) sont l'une des techniques BEC les plus destructrices et faciles à manquer sans une investigation UAL systématique.