Bienvenue dans notre série de blogs en deux parties sur la nouvelle amélioration de la sécurité de la messagerie électronique de Microsoft désormais incluse dans les licences Office 365 P1 : la protection des jetons de session.
Dans la première partie, nous expliquerons ce qu'est le vol de jetons de session, pourquoi il s'agit d'une menace croissante et comment les entreprises peuvent s'en protéger. Nous soulignerons également la décision importante de Microsoft d'inclure cette fonctionnalité dans les licences P1, auparavant réservées aux utilisateurs E1 et Entra ID P5.
Ensuite, dans la partie 2 (à venir dans deux semaines), nous nous concentrerons sur des conseils de mise en œuvre pratiques pour les MSP, montrant comment déployer cette fonctionnalité de sécurité critique sur les clients à l'aide de processus standard.
1. Qu'est-ce que le vol de session de jetons et pourquoi a-t-il explosé ?
Le vol de session par jeton, également appelé vol de jeton ou détournement de session , se produit lorsque des attaquants volent des jetons de session à des utilisateurs authentifiés (souvent par hameçonnage ou logiciel malveillant) et les utilisent pour usurper l'identité des utilisateurs, en contournant les contrôles d'authentification tels que les mots de passe et l'authentification multifacteur.
Pourquoi il gagne en popularité
L'authentification multifacteur n'aide pas : une fois qu'un jeton valide est capturé, l'authentification multifacteur devient inutile, les attaquants rejouent le jeton volé pour accéder aux services sans autre authentification.
Croissance rapide de l'utilisation des vecteurs : Microsoft signale une augmentation de 111 % des attaques de vol de jetons d'une année sur l'autre, avec environ 147,000 XNUMX incidents en un an.
Sophistiqué phishing et malware campagnes : les attaquants utilisent des outils comme Evilginx pour proxyer les sessions de connexion, extraire les informations d'identification et les jetons et effectuer une relecture des informations d'identification, même lorsque MFA est activé.
2. Qu'est-ce que la protection des jetons et comment fonctionne-t-elle ?
La protection des jetons, parfois appelée liaison de jetons, est une fonctionnalité d'accès conditionnel (CA) de Microsoft Entra ID qui lie de manière cryptographique les jetons de session (comme les PRT ou les jetons d'actualisation) à l'appareil sur lequel ils ont été émis. Résultat : même en cas de vol, un jeton ne peut être utilisé que sur l'appareil d'origine.
Exigences et mécanismes clés :
Liaison de périphérique: Les jetons sont liés aux appareils joints/hybrides/enregistrés Microsoft Entra exécutant Windows 10 ou une version plus récente.
Plateformes/applications prises en charge (en version préliminaire): Exchange Online, SharePoint Online, synchronisation OneDrive, client de bureau Teams, Power BI, Microsoft Graph PowerShell, Visual Studio 2022 avec courtier WAM, application Windows, etc.
Configuration de la politique d'accès conditionnel:
Cibler uniquement les appareils Windows
Sélectionnez les applications clientes : clients mobiles et de bureau
Sous Contrôles de session, activez « Exiger une protection par jeton pour les sessions de connexion »
Bonnes pratiques de déploiement:
Démarrer en mode rapport uniquement pour surveiller la compatibilité
Pilote avec de petits groupes
Utilisez les journaux de connexion et les outils d'impact des politiques pour vérifier l'état de la liaison avant de l'appliquer.
Autres couches de défense :
Durcissement de l'appareil: Nécessite des appareils gérés/conformes via Intune + Defender for Endpoint, activant Credential Guard, la protection contre les falsifications, la prévention des logiciels malveillants pour minimiser le risque initial de vol de jetons
Règles d'accès conditionnel:
Politiques de connexion basées sur les risques (via Entra ID Protection) pour bloquer ou révoquer l'accès en fonction d'un comportement anormal ou de tentatives de contournement MFA
Contrôles basés sur le réseau tels que Global Secure Access (application conforme du réseau) ou l'ancrage IP pour empêcher la relecture des jetons à partir d'emplacements non autorisés.
Évaluation de l'accès continu (EAC):Révocation de session en temps réel en cas de détection d'une activité suspecte comme un voyage impossible ou un nouvel accès IP
3. Niveaux de licence Microsoft prenant en charge ces protections
Entra ID P1 (Microsoft 365 Business Premium, M365 E3 ou P1 autonome)
Requis pour la fonctionnalité de protection des jetons d'accès conditionnel en version préliminaire.
Permet l'application des jetons liés à l'appareil via des politiques d'accès conditionnel
Inclus avec Microsoft 365 Business Premium et Microsoft 365 E3 comme base
Entra ID P2 ou Entra Suite
Inclut la protection Entra ID, qui est distincte de la protection des jetons.
Permet une protection avancée de l'identité basée sur les risques : politiques d'accès basées sur les risques, capacités de détection, d'investigation et de correction telles que les politiques de risque de connexion et de risque utilisateur
Entra Suite regroupe P2 ainsi que des outils d'accès au réseau et de gouvernance des identités (à partir d'environ 12 $/utilisateur/mois)
Niveau de licence
Protection des jetons (CA)
Accès basé sur les risques (protection de l'identité)
Entrée ID P1 (y compris M365 E3 / PME Business Premium)
✅ Oui (aperçu, lié à l'appareil)
❌ Non
Entra ID P2 / Entra Suite
✅ Oui
✅ Oui
4. Résumé vidéo : Découverte de la fonctionnalité de protection des jetons de MicrosoftCette vidéo couvre :
Que sont les jetons et comment peuvent-ils être volés ?
Démonstrations de phishing et de vol de jetons par des logiciels malveillants
Comment la protection des jetons lie les jetons à l'appareil
Configuration étape par étape de l'accès conditionnel pour l'accès Exchange et SharePoint sous Windows
Des mesures complémentaires telles que Defender, la conformité Intune, les politiques basées sur les risques, CAE et les contrôles de réseau conformes
5. Pourquoi la mise en œuvre de ces protections est importante
Arrête les attaques par relecture de jetons:Même si un logiciel malveillant extrait des PRT ou des jetons d'actualisation, ils ne peuvent pas être rejoués sur un autre appareil.
Neutralise les tactiques de contournement du MFA:Les attaquants ne peuvent pas relancer le défi MFA une fois le jeton volé, mais la liaison du jeton restaure le contrôle.
Application de la conformité:Seuls les appareils et applications client approuvés peuvent accéder aux ressources sensibles.
Détection améliorée des incidents:Les politiques basées sur les risques et le CAE fournissent des réponses en temps réel aux activités inhabituelles.
Faible coût de licence pour un impact élevé: Entra ID P1 à environ 6 $/utilisateur/mois ajoute une nouvelle couche de défense importante.
Plats à emporter
Les attaques par jeton se sont rapidement développées car elles contournent l'authentification multifacteur (MFA) traditionnelle et permettent un vol d'accès complet. La protection des jetons de Microsoft (incluse dans Entra ID P1) associe les jetons aux appareils via l'accès conditionnel, empêchant ainsi leur réutilisation sur les machines non autorisées. Pour une détection complète des risques d'usurpation d'identité et une remédiation automatisée, la mise à niveau vers Entra ID P2 ou la suite Entra intègre la protection d'identité, l'accès conditionnel et des politiques de gestion des risques plus poussées. Ensemble, ces défenses multicouches réduisent considérablement les risques de compromission de messagerie professionnelle (BEC) et de réutilisation de jetons.
Newsletter
Dans deux semaines, nous publierons la deuxième partie de cette série , consacrée aux conseils de mise en œuvre pour les fournisseurs de services gérés (MSP). Nous détaillerons la configuration de la protection par jeton dans Entra ID P1, les pièges à éviter et comment l'intégrer à votre système de sécurité client. Ne manquez pas cette publication : c'est le passage de la théorie à la pratique.
Restez informé des dernières nouveautés Informations sur la sécurité
Découvrez et partagez les dernières tendances, conseils et meilleures pratiques en matière de cybersécurité, ainsi que les nouvelles menaces à surveiller.
