Sécurisation de l’infrastructure Microsoft Online Services

Microsoft Online Services est l’un des plus grands services cloud d’entreprise et grand public proposés dans le monde entier, et ils continuent de croître rapidement dans leur base de clients, leurs produits et leurs fonctionnalités. Les clients se tournent vers Microsoft non seulement pour ses offres cloud de classe mondiale, mais parce qu’ils nous font confiance pour protéger leurs informations les plus sensibles du paysage des cybermenaces en constante évolution. La priorité absolue de Microsoft est de sécuriser les données client et notre infrastructure si nous voulons maintenir la confiance des clients.

La sécurisation d’un système de cette échelle et de cette complexité n’est pas possible si la sécurité est une considération après coup. Elle n’est efficace que si la sécurité est intégrée lors du processus de conception initial. Il nécessite un système de détection des menaces robuste avec des réponses rapides de la part des systèmes automatisés et des ingénieurs hautement qualifiés. L’évaluation et la validation continues de ces systèmes sont essentielles pour garantir que les configurations sécurisées restent intactes et que des vulnérabilités précédemment inconnues sont identifiées.

Principes de sécurité de base

Les principes suivants constituent la base de notre infrastructure de protection de Microsoft Online Services contre les menaces, de détection et de réponse aux menaces, d’évaluation continue de la posture de sécurité et d’amélioration des services en fonction des résultats de ces évaluations.

• Confidentialité des données : les clients sont propriétaires de leurs données et Microsoft en est le dépositaire. Microsoft Online Services est conçu pour fonctionner sans que les ingénieurs accèdent aux données client, sauf demande explicite du client.
• Supposer une violation : le personnel et les services sont traités comme si la compromission était une possibilité réelle.
• Privilège minimum : l’accès et les autorisations aux ressources sont limités à ce qui est nécessaire pour effectuer les tâches nécessaires.
• Limites de violation : les identités et l’infrastructure d’une limite sont isolées des ressources d’autres limites. La compromission d’une limite ne doit pas conduire à la compromission d’une autre.
• Sécurité intégrée de Service Fabric : les priorités et les exigences de sécurité sont intégrées à la conception de nouvelles fonctionnalités et fonctionnalités, garantissant qu’une posture de sécurité forte s’adapte à chaque service.
• Automatisé et automatique : Microsoft se concentre sur le développement de produits et d’architectures durables capables d’appliquer intelligemment et automatiquement la sécurité des services, tout en donnant aux ingénieurs Microsoft la possibilité de gérer en toute sécurité les réponses aux menaces de sécurité à grande échelle.
• Sécurité adaptative : les fonctionnalités de sécurité de Microsoft s’adaptent aux modèles Machine Learning, aux tests d’intrusion de routine et aux évaluations automatisées et s’y améliorent.

Protection

Contrôle d’accès

Par défaut, le personnel responsable du développement et de la maintenance de Microsoft Online Services dispose d’un accès permanent zéro (ZSA) à l’infrastructure de service. Bien que Microsoft s’efforce d’embaucher uniquement les meilleurs ingénieurs et que des vérifications rigoureuses des antécédents soient requises, Microsoft ne suppose pas qu’ils sont approuvés par défaut dans les services d’exploitation. En outre, lorsque les ingénieurs sont approuvés pour l’accès privilégié, ils n’ont accès qu’à une durée limitée pour effectuer uniquement les actions nécessaires pour une étendue spécifique de l’infrastructure de service. Microsoft fait référence à ces stratégies en tant que juste-à-temps (JIT) et Just-Enough-Access (JEA).

Les utilisateurs non autorisés et les comptes compromis sont une possibilité réelle dans n’importe quel organization, et nos systèmes de contrôle d’accès sont conçus pour se protéger contre ces menaces.

Pour plus d’informations sur le contrôle d’accès, consultez Vue d’ensemble de la gestion des identités et des accès.

Chiffrement

Bien que les contrôles d’accès jouent un rôle essentiel dans la défense des services Microsoft Online Services, le chiffrement est utilisé tout au long du cycle de vie des données pour protéger davantage la confidentialité et la confidentialité pour les clients Microsoft.

Les données en transit entre les ordinateurs clients, les serveurs Microsoft Online Services et les serveurs non-Microsoft sont chiffrées à l’aide de TLS 1.2. Nous révisons régulièrement les chiffrements et les protocoles utilisés, en ajoutant des protocoles améliorés lorsqu’ils sont disponibles et en supprimant les protocoles les plus faibles si nécessaire.

Le contenu client au repos sur les serveurs Microsoft est chiffré au niveau du volume à l’aide de BitLocker. Le chiffrement au niveau de l’application peut également être appliqué à l’aide de clés gérées par Microsoft ou le client. L’accès aux clés gérées par Microsoft n’est possible que lorsqu’il est autorisé et approuvé par le biais du processus JIT et JEA.

Pour plus d’informations sur le chiffrement, consultez Vue d’ensemble du chiffrement et de la gestion des clés.

Isolation du réseau

Conformément au principe du privilège minimum, Microsoft limite la communication entre les différentes parties de l’infrastructure de service à ce qui est nécessaire pour fonctionner. Tout le trafic réseau est refusé par défaut, seule la communication explicitement définie avec une opération légitime doit être autorisée. Cette restriction établit des limites de violation dans toute l’infrastructure. Les équipes qui souhaitent ajouter de nouveaux chemins d’accès réseau pour prendre en charge une nouvelle fonctionnalité à leur service doivent faire évaluer et approuver la demande avant de pouvoir l’ouvrir.

Pour plus d’informations sur l’isolation réseau, consultez Contrôles d’isolation Microsoft 365 et Contrôles d’isolation Azure.

Détection & réponse

Surveillance de la sécurité

La surveillance de la sécurité à grande échelle de Microsoft n’est possible qu’en générant des alertes très précises à l’aide de solutions automatisées basées sur le cloud. Les journaux d’audit de chaque service et les données de télémétrie collectées à partir de l’ensemble de l’infrastructure principale sont envoyés à une solution propriétaire de traitement et d’alerte en quasi temps réel centralisée.

Les menaces détectées sont corrigées à l’aide d’actions déclenchées automatiquement lorsque cela est possible. Lorsque les solutions automatisées échouent ou sont incapables de résoudre le problème, les ingénieurs Microsoft sur appel prennent immédiatement des mesures pour atténuer la menace.

Pour plus d’informations sur la surveillance de la sécurité, consultez Vue d’ensemble de la journalisation et de la surveillance d’audit.

Évaluation

Évaluations automatisées

Quelle que soit la façon dont un système est conçu, la posture de sécurité peut se dégrader en raison d’une dérive de configuration intentionnelle et involontaire au fil du temps. Les outils automatisés évaluent constamment les systèmes Microsoft Online Services pour identifier les correctifs manquants, les erreurs de configuration et les vulnérabilités connues des applications.

Notre architecture est également fréquemment validée, identifiant les instances telles que les ports ouverts inutilisés et les comptes avec un accès administratif permanent. Tous les services qui dérivent d’un état souhaité prédéfini sont automatiquement remis en alignement.

Pour plus d’informations sur la gestion des vulnérabilités, consultez Vue d’ensemble de la gestion des vulnérabilités.

Simulation d’attaque et tests d’intrusion

La priorité absolue de Microsoft est d’empêcher les attaques d’infiltrer nos défenses. Microsoft Online Services dispose d’équipes dédiées d’experts en sécurité qui effectuent constamment des simulations d’attaques pour identifier les vulnérabilités précédemment inconnues et fournir un flux constant de données enrichies pour améliorer les fonctionnalités de surveillance de la sécurité. Ces attaques simulées prennent la forme d’attaques automatisées fréquentes à petite échelle et d’analyses approfondies pilotées par des experts. À partir de ces activités, Microsoft évalue la capacité de détecter, de répondre et d’évincer les attaquants.

Pour plus d’informations sur les tests d’intrusion, consultez Simulation d’attaque dans Microsoft 365.

Ressources

Dans les coulisses : sécurisation de l’infrastructure influençant le service Microsoft 365