aOS Monaco 2019 - A6 - Sécurisez votre SI et vos services Office 365 partie 1 - Maxime Rastello

1. 1
aOS Monaco - 26/09/2019
Sécurisez votre SI et vos
services Office 365
Maxime Rastello
Deep Dive
Part 1

2. aOS Monaco
26/09/2019
MERCI à nos
sponsors

3. Maxime Rastello
Senior Architect @ Sword Group
Microsoft MVP – Enterprise Mobility
3

4. Microsoft Threat Protection
Microsoft Azure
Sentinel
Bénéficiez de données et
d’analyses de sécurité
intelligentes de l’ensemble
de votre entreprise avec
une solution SIEM native
dans le cloud.
Microsoft Defender
ATP
Sécurité complète de point
de terminaison pour la
prévention, la détection et
le traitement des menaces
avancées.
Office 365 ATP
Utilisez une sécurité sans
égale pour protéger
l’ensemble de votre
environnement Office 365
contre les menaces
d’aujourd’hui.
Azure ATP
Identifiez, détectez et
analysez les menaces, les
identités compromises et
les actions internes
malveillantes.
Cloud App Security
Bénéficiez d’une visibilité
enrichie, contrôlez la
circulation des données et
détectez les cybermenaces
dans l’ensemble de vos
services cloud.
Azure Security Center
Renforcez la sécurité de
votre centre de données et
bénéficiez d’une protection
avancée contre les
menaces tant dans le cloud
que localement.
Azure Active
Directory
Gérez et sécurisez les
identités, et simplifiez
l’accès à celles-ci pour vos
employés, partenaires et
clients.
Partie 1
Partie 2

5. 5
Azure
Active Directory

6. Une identité unique pour vos apps SaaS

7. Les éditions d’Active Directory
Fonctionnalités Free Basic Premium P1 Premium P2 Office 365
Commun
Objets Active Directory 500 000 Illimité Illimité Illimité Illimité
SSO avec les applications SaaS 10 / utilisateur 10 / utilisateur Illimité Illimité 10 / utilisateur
Gestion des utilisateurs, provisionning, enregistrement d’appareils ✓ ✓ ✓ ✓ ✓
Synchronisation d’annuaire ✓ ✓ ✓ ✓ ✓
Modification du mot de passe en self-service pour les utilisateurs cloud ✓ ✓ ✓ ✓ ✓
Rapports de sécurité / d’utilisation Limités Limités Avancés Avancés Limités
Basic
Gestion / provisionning des utilisateurs basés sur les groupes ✓ ✓ ✓
Réinitialisation du mot de passe en self-service pour les utilisateurs cloud ✓ ✓ ✓ ✓
Personnalisation des pages et portails ✓ ✓ ✓ ✓
Azure App Proxy ✓ ✓ ✓
SLA 99,9% ✓ ✓ ✓ ✓
Premium
Réinitialisation / modification du mot de passe en self-service pour les utilisateurs AD ✓ ✓
Gestion des groupes en self-service pour les utilisateurs cloud / groupes dynamiques ✓ ✓
Accès conditionnel / Administrative Units / Group-based licensing ✓ ✓
Multi-Factor Authentication cloud (Azure MFA) & on-premises (MFA Server) ✓ ✓ Cloud uniquement
MIM : CALs + licence serveur ✓ ✓
Connect Health ✓ ✓
Cloud App Discovery ✓ ✓
Azure AD Identity Protection / Azure AD Privileged Identity Management ✓
Azure AD Access Review / Azure AD Custom Controls in Conditional Access ✓

8. Azure Active Directory dans EMS
Protection des
informations
Sécurité centrée sur
les identités
La gestion de
productivité
mobile
Gestion des accès
et des identités
Azure Information
Protection Premium P2
Classement intelligent et
chiffrement des fichiers
partagés dans et en dehors
de votre organisation
Azure Information
Protection Premium P1
Chiffrement de tous les
fichiers et de tous les
emplacements de stockage
Suivi des fichiers dans le
Cloud
Microsoft Cloud App
Security
Visibilité complète, contrôle
et protection de vos
applications dans le Cloud
Microsoft Advanced
Threat Analytics
Protection contre des
attaques sophistiquées
grâce à l'analyse
comportementale des
utilisateurs et des entités
Microsoft Intune
Gestion des applis et des
appareils mobiles pour
protéger les applis et les
données de l'entreprise sur
n'importe quel appareil
Azure Active Directory
Premium P2
Gestion des accès et des
identités avec une
protection évoluée pour les
utilisateurs et les identités
avec privilèges
Azure Active Directory
Premium P1
Ouverture de session unique
pour des applications dans
le Coud ou sur site
MFA, accès conditionnel et
rapport de sécurité avancé
EMS
E3
EMS
E5

9. Sécurité d’accès à vos applications

10. Device-Based Conditional Access
• Accès aux services SaaS pour les appareils :
o Enrollés dans Intune
o Joints à un domaine AD et enregistrés dans Azure AD
• Systèmes supportés :
o Windows 7 (MSI)
o Windows 8.1 (Natif)
o Windows 10 (Natif)
o iOS, Android, macOS, Windows Mobile (!)
• Clients : compatibles Authent’ Moderne
• Navigateurs : IE11, Edge, Chrome (extension), Safari
Licences : Premium P1 & P2
General Availability

11. Enregistrement dans Azure AD
Possible d’enregistrer dans Azure AD des PCs joints à un domaine
AD
1. Utiliser Azure AD Connect
2. Synchroniser les objets AD Computers à enregistrer
3. Déployer une GPO d’enregistrement (avant W10 1607)
4. Optionnel : configurer ADFS pour l’enregistrement direct
ADFS est requis pour les scénarios d’accès conditionnel W7
Licences : Premium P1 & P2
General Availability

12. Location-Based Conditional Access
• Accès aux services SaaS
o Avec MFA obligatoire
o Avec MFA si en dehors de l’entreprise
o Blocage de l’accès si en dehors de l’entreprise
• Définition de la localisation
o Basée sur l’IP publique de l’utilisateur
• Définition du périmètre de l’entreprise
o Plages d’IP publiques
o Groupes d’IP publiques / Pays
• Clients : compatibles Authent’ Moderne
• Navigateurs : Tous
Licences : Premium P1 & P2
General Availability
Préférez les stratégies d’accès conditionnel

13. Platform-Based Conditional Access
• Accès aux services SaaS depuis une plateforme
définie
o Android (legacy et Enterprise)
o iOS
o Windows Phone
o Windows
o macOS
Licences : Premium P1 & P2
General Availability
iPadOS est vu comme
un appareil sous macOS
pour certaines apps
(Safari, Mail)

14. Client-Based Conditional Access
• Accès aux services SaaS depuis un type de client
o Browser (legacy et Enterprise)
o Mobile apps and desktop clients
o Modern authentication clients
o Exchange ActiveSync clients
o Other clients (IMAP, MAPI, POP, SMTP, vieux clients Office)
Licences : Premium P1 & P2
Preview

15. Clients compatibles (1/2)
Service Platforme Client compatible
Dynamics CRM
Windows 10, Windows 8.1,
iOS, and Android
Dynamics CRM app
Any My Apps app service Android and iOS MFA and location policy for apps. Device based policies non supportées.
Microsoft Teams
Windows 10, Windows 8.1,
Windows 7, iOS, Android
and macOS
Microsoft Teams Services - this controls all services that support Microsoft
Teams and all its Client Apps - Windows Desktop, iOS, Android, WP, and web
client
Office 365 SharePoint
Online
Windows 8.1, Windows 7
Office 2016 apps, Office 2013 (avec modern authentication), OneDrive sync
client (see notes)
Office 365 SharePoint
Online
Windows 10
Office 2016 apps, Universal Office apps, Office 2013 (with modern
authentication), OneDrive sync client (see notes), Office Groups support dans le
futur, SharePoint app dans le futur.
Office 365 SharePoint
Online
macOS
Office 2016 (Word, Excel, PowerPoint, OneNote only). OneDrive for Business
support dans le futur
Office 365 SharePoint
Online
Windows 10, macOS Office 2019
Office 365 SharePoint
Online
Android, iOS Office mobile apps

16. Clients compatibles (2/2)
Service Platforme Client compatible
Office 365 SharePoint Online Windows 10, macOS Outlook 2019
Office 365 Exchange Online Windows 10
Mail/Calendar/People app, Outlook 2016, Outlook 2013 (avec modern
authentication)
Office 365 Exchange Online macOS Outlook 2016 (Office for macOS)
Office 365 Exchange Online Windows 8.1, Windows 7
Outlook 2016, Outlook 2013 (with modern authentication), Skype for Business
(avec modern authentication)
Office 365 Exchange Online Android, iOS Outlook mobile app
Office 365 Exchange Online Android, IOS Skype for Business
Office 365 Yammer Windows 10, iOS, Android Office Yammer app
Power BI service
Windows 10, Windows 8.1,
Windows 7, Android, and iOS
Power BI app
Visual Studio Team Services
Windows 10, Windows 8.1,
Windows 7, iOS, and Android
Visual Studio Team Services app

17. Navigateurs compatibles
OS Navigateur
Windows 10 Microsoft Edge, Internet Explorer, Chrome
Windows 8 / 8.1 Internet Explorer, Chrome
Windows 7 Internet Explorer, Chrome
iOS Microsoft Edge, Intune Managed Browser, Safari
Android Microsoft Edge, Intune Managed Browser, Chrome
Windows Phone Microsoft Edge, Internet Explorer
Windows Server 2019 Microsoft Edge, Internet Explorer, Chrome
Windows Server 2016 Internet Explorer
Windows Server 2012 R2 Internet Explorer
Windows Server 2008 R2 Internet Explorer
macOS Chrome, Safari

18. App-Based Conditional Access
• Accès aux services SaaS depuis une app approuvée
Licences : Premium P1 & P2
General Availability
Microsoft Azure Information Protection
Microsoft Bookings
Microsoft Cortana
Microsoft Dynamics 365
Microsoft Edge
Microsoft Excel
Microsoft Flow
Microsoft Intune Managed Browser
Microsoft Invoicing
Microsoft Kaizala
Microsoft Launcher
Microsoft OneDrive
Microsoft OneNote
Microsoft Outlook
Microsoft Planner
Microsoft PowerApps
Microsoft Power BI
Microsoft PowerPoint
Microsoft SharePoint
Microsoft Skype for Business
Microsoft StaffHub
Microsoft Stream
Microsoft Teams
Microsoft To-Do
Microsoft Visio
Microsoft Word
Microsoft Yammer

19. Protection-Based Conditional Access
• Accès aux services SaaS depuis une app protégée
avec une stratégie Intune
Licences : Premium P1 & P2
Preview
Microsoft Azure Information Protection
Microsoft Bookings
Microsoft Cortana
Microsoft Dynamics 365
Microsoft Edge
Microsoft Excel
Microsoft Flow
Microsoft Intune Managed Browser
Microsoft Invoicing
Microsoft Kaizala
Microsoft Launcher
Microsoft OneDrive
Microsoft OneNote
Microsoft Outlook
Microsoft Planner
Microsoft PowerApps
Microsoft Power BI
Microsoft PowerPoint
Microsoft SharePoint
Microsoft Skype for Business
Microsoft StaffHub
Microsoft Stream
Microsoft Teams
Microsoft To-Do
Microsoft Visio
Microsoft Word
Microsoft Yammer

20. Risk-Based Conditional Access
• Accès aux applications SaaS pour les utilisateurs :
o Détectés comme « à risque » via Identity Protection
o 3 niveaux de risque : Low, Medium, High
• Clients : compatibles Authent’ Moderne
• Navigateurs : Tous
Licences : Premium P2
General Availability

21. Session-Based Conditional Access
App-Enforced Restrictions
• Fonctionnalités restreintes dans les services SaaS
o Depuis un appareil non conforme dans Intune
o Depuis un appareil non Hybrid Azure AD Join
• Services supportés
o Exchange Online
o SharePoint Online
Custom App Controls
Accès en fonction de règles définies dans
Cloud App Security
Licences : Premium P2
General Availability
Tous navigateurs

22. Azure AD Identity Protection
• Détecte les activités suspectes des utilisateurs
o Connexion depuis différents endroits physiques
o Utilisation de proxys anonymes (Tor…)
o Leak des identifiants sur le Dark Web
• Force l’enregistrement MFA des utilisateurs
• Permet de faire de la remédiation automatique
o Demander le MFA à la connexion
o Demander un changement de mot de passe
Licences : Premium P2
General Availability

23. Azure AD Privileged Identity Management
• Définir des administrateurs éligibles
o Basé sur les rôles RBAC Azure AD
• Assigner des permissions admin
temporaires
o De 30min à 72h max
• Protection des rôles Azure AD et
de l’accès aux ressources Azure IaaS / PaaS
Licences : Premium P2
General Availability

24. DEMONSTRATION
Accès conditionnel et Multi-Factor Authentication
Accès restreint aux fonctionnalités de SharePoint Online

25. 25
Cloud App
Security

26. Quelles sont les apps SaaS
utilisées au sein de
l’entreprise ?
Shadow IT
Comment s’assurer que
l’accès à mes apps SaaS soit
correct ?
Contrôle des accès
Visibilité / reporting
Comment avoir une vue de
l’utilisation du cloud dans
mon entreprise ?
Comment éviter la fuite
de données ?
Protection des donnéesPrévention des menaces
Comment détecter si mes
utilisateurs ont été
compromise ?
Comment faire en sorte
d’être en conformité avec
les lois de régulation ?
Conformité

27. Acquisition de la société Adallom
Plateforme cloud
Visibilité et sécurité des apps SaaS
Engagé sur le supports d’apps tierces

28. Aucun agent requis sur les
machines clientes
Contrôles avancés sur
les applications gérées
Facile à déployer
Machine learning, analyse
comportementale…
Intégré avec Office 365Exploitation de l’Intelligent
Security Graph de Microsoft

29. Découverte
Visibilité et rapports sur
l’utilisation du cloud au sein de
l’entreprise, sans agent.
Contrôle
Contrôles granulaires pour mettre
en place des strategies de sécurité :
DLP, contrôle d’accès, alerte…
Prévention
Identifie les utilisateurs à risque,
détecte les comportements suspects
S’intègre avec d’autres solutions du marché (SIEM, chiffrement…)

30. S’intègre avec d’autres solutions du marché (SIEM, chiffrement…)
Découverte
• Catalogue de plus de 13 000
apps SaaS
• Identifie les utilisateurs, les IPs,
les applications les plus
utilisées…
Shadow IT discovery Risk scoring
• Risk score automatiquement
calculé via plus de 60 contrôles
• Voir les évaluations detaillées des
applications cloud (sécurité,
conformité, regulation…)
• Détection en temps réelle basée
sur l’analyse comportementale, les
usages ou les actions des
utilisateurs
• Rapport d’anomalies et
comportements suspects
Ongoing analytics

31. DLP & partageStratégies
• Stratégies granulaires sur les
applications SaaS managées
• Templates de stratégies et
personnalisation possible
• Prévention de la fuite de données
• Gouvernance de gestion des fichiers
(espace de stockage cloud, pièce jointe,
partage…)
• Extension des stratégies DLP déjà dans
Office 365
Policy enforcement
• Identifier les violations de sécurité,
investiguer sur un utilisateur, un
fichier ou une activité
• Actions de remediation (quarantaine,
suppression de fichiers…)
• Bloquer les transactions sensibles,
limiter l’accès aux périphériques
extérieurs
Contrôle

32. • Identifier les comportements suspects,
signes d’une potentielle vulnérabilité
• Analyse comportementale entre les
applications SaaS
Analyse comportementale Détection des attaques
• Identifier et bloquer les vecteurs
d’attaques connus
• Bientôt : scanner n’importe quel fichier à
la recherche de malwares
Prévention

33. Shadow IT
Sanctioned
App Security
Visibilité et
contrôle
Conformité et
régulation
Intégration avec des
systèmes existants
Expertise sécurité
avancée
Cloud Discovery

35. App security Identity-driven security
Only Office 365-related capabilities
embedded into Office 365 Security and
Compliance Center
• Discovery for apps with similar functionality
to O365
• App permissions and control
• Alerts for anomaly detection
• Built rich DLP features integrated into
Office DLP
Provides cross-SaaS app security
• Discovery for 13,000 apps and risk scoring-
no agents
• Ongoing assessment and analytics for all discovered
apps
• Cross-cloud controls for creating and enforcing
policies, DLP, and data sharing
• Alerts for threat detection for supported and
all discovered apps
Microsoft
Cloud App
Security
Comprehensive solution for mobility,
identity, and security
• Azure AD Premium provides shadow IT
discovery, identity, and access management
• Advanced Threat Analytics provides threat
protection on-premises with behavioral analysis
• Azure Rights Management provides encryption,
identity & authorization to secure data
• Microsoft Intune provides MDM/MAM
capabilities to protect corporate apps and data
almost on any device
Microsoft
Cloud App
Security
Enterprise
Mobility Suite
Complements EMS by providing
enterprise-grade security for cloud apps
• Discovery for 13,000 apps and risk scoring—
no agents needed
• Ongoing assessment and analytics for all
discovered apps
• Cross-cloud controls for creating and
enforcing policies, DLP, and data sharing
• Alerts for threat detection for supported
and all discovered apps
Cross-SaaS Complements EMS

36. DEMONSTRATION
Stratégies de protection dans Cloud App Security

37. 37
Office 365
Advanced Threat
Protection

38. Protection des fichiers
Scan des fichiers reçus par
email ou des documents
hébergés dans une chambre
de détonation
Protection des liens
Scan et réécriture des liens
HTTP partagés par email ou
dans des documents Office
Stratégie anti-phishing
Définition des
comportements à adopter
lors de la réception d’emails
douteux
Explorer
Rapport sur les incidents liés
aux attaques de type
phishing et malware
Attack Simulator
Permet de simuler des
attaques de phishing, et sur
les mots de passe
(bruteforce, spray)

39. Sûr
Exchange Online Protection
• Filtres multiples
• Multiple agents antivirus
Liens
• Liste continuellement à jour
des URLs malicieuses
Destinataire
Dangereux
Pièces jointes & URLs
Chambre de détonation
(Sandbox)
Analyse comportementale avec
du machine learning.
• Exécutable ?
• Appels au registre ?
• Elévation de droits ?
Expéditeur

40. Fonctionnalité ATP Plan 1 ATP Plan 2 Office 365 Entreprise E5
Configuration, protection et détection
Protection des pièces jointes Oui Oui Oui
Protection des liens HTTP Oui Oui Oui
Stratégies anti-phishing Oui Oui Oui
ATP pour SharePoint, OneDrive et Teams Oui Oui Oui
Protection des pièces jointes dans Teams Oui Oui Oui
Protection des liens HTTP dans Teams Non Non Non
Rapports en temps réel Oui Oui Oui
Automatisation, recherche, correction et éducation
Suivi des menaces Non Oui Oui
Explorer (enquête avancée contre les menaces) Non Oui Oui
Réponse automatique aux incidents Non Oui Oui
Attack Simulator Non Oui Oui

41. DEMONSTRATION
Attack Simulator

42. 42
MERCI POUR VOTRE
ATTENTION