Comment vos données sont-elles sécurisées dans Azure AD ?

Bonjour les amis,

Suite aux nombreuses violations de services d’identité cloud survenues ces dernières années, nous recevons beaucoup de questions sur la façon dont nous sécurisons les données de nos clients. Le billet de blog d’aujourd’hui explique donc comment nous protégeons les données de nos clients dans Azure AD.

Sécurité des centres de données et des services

Commençons par nos centres de données. Tout d’abord, nous vérifions les antécédents de tous les membres du personnel des centres de données de Microsoft. L’accès à nos centres de données est soumis à une réglementation très stricte, et toutes les entrées et sorties sont surveillées. Dans les centres de données, les services Azure AD critiques qui stockent les données client se trouvent dans des baies spéciales verrouillées. L’accès physique à celles-ci est très réglementé et surveillé 24 heures sur 24 par des caméras. En outre, si l’un de ces serveurs est mis hors service, tous les disques font l’objet d’une destruction logique et physique pour éviter les fuites de données.

Ensuite, nous limitons le nombre de personnes autorisées à accéder aux services Azure AD. Et celles qui disposent d’autorisations d’accès opèrent sans ces privilèges au moment de leur connexion. Lorsqu’elles ont besoin d’accéder au service, elles doivent se soumettre à un processus d’authentification multifacteur, et utiliser une carte à puce pour confirmer leur identité et déposer une demande d’accès. Une fois la demande approuvée, les privilèges de l’utilisateur sont configurés « juste à temps ». En outre, ces privilèges sont automatiquement supprimés à l’issue d’une période définie, et toute personne ayant besoin d’un délai supplémentaire doit à nouveau se soumettre au processus de demande et d’approbation.

Une fois ces privilèges accordés, tous les accès s’effectuent via une station de travail d’administration gérée (comme défini dans le guide Stations de travail à accès privilégié). Cette obligation est stipulée dans la stratégie, et la conformité est surveillée de près. Ces stations de travail utilisent une image fixe, et tous leurs logiciels sont entièrement gérés. Pour minimiser les risques, seules les activités sélectionnées sont autorisées, et il est impossible pour les utilisateurs de contourner accidentellement la conception de la station de travail d’administration, car ils ne disposent pas des privilèges d’administrateur. Pour renforcer la protection des stations de travail, l’accès à chacune d’elles repose sur l’utilisation d’une carte à puce et est limité à un ensemble spécifique d’utilisateurs.

Enfin, nous maintenons un petit nombre (moins de cinq) de comptes « break glass ». Ces comptes sont réservés aux accès d’urgence et leur sécurisation repose sur des procédures « break glass » en plusieurs étapes. Toute utilisation de ces comptes est surveillée et déclenche des alertes.

Détection des menaces

nous procédons régulièrement (à intervalles de quelques minutes) à des contrôles automatiques pour nous assurer que tout fonctionne comme prévu, y compris lors de l’ajout des nouvelles fonctionnalités demandées par nos clients :

• Détection des violations : nous recherchons les profils liés aux violations. Nous enrichissons continuellement cet ensemble de détections. Nous avons également recours à des tests automatisés qui déclenchent ces profils. Cela nous permet de vérifier que notre logique de détection des violations fonctionne bien !
  
• Tests de pénétration : ces tests sont exécutés en continu. Ils tentent, par différents moyens, de compromettre notre service, et notre objectif est de les faire systématiquement échouer. Si ce n’est pas le cas, cela signifie qu’il y a un problème, et nous pouvons le corriger immédiatement.
  
• Audit : toute l’activité administrative est consignée. Toute activité non anticipée (comme la création de comptes dotés de privilèges par un administrateur) déclenche des alertes qui nous obligent à effectuer un examen approfondi de cette action pour vérifier qu’elle n’est pas anormale.
  

Et savez-vous que nous chiffrons toutes vos données dans Azure AD ? Oui, vous avez bien lu. Nous utilisons BitLocker pour chiffrer toutes les données d’identité Azure AD au repos. Et ce n’est pas tout : toutes les API Azure AD sont basées sur le web et utilisent SSL via HTTPS pour chiffrer les données. En outre, tous les serveurs Azure AD sont configurés pour utiliser TLS 1.2. Nous autorisons également les connexions entrantes sur TLS 1.1 et 1.0 pour la prise en charge des clients externes. Mais nous refusons explicitement toute connexion sur les anciennes versions de SSL, y compris les versions SSL 3.0 et 2.0. L’accès aux informations est limité par le biais d’une autorisation basée sur des jetons, et les données de chaque locataire ne sont accessibles qu’aux comptes autorisés au sein de ce locataire. De plus, nos API internes doivent utiliser l’authentification SSL client/serveur sur les certificats approuvés et les chaînes d’émissions.

Un dernier mot

Azure AD est fourni de deux manières. Cet article décrit la sécurité et le chiffrement du service public fourni et exploité par Microsoft. Si vous avez des questions similaires sur nos instances cloud nationales exploitées par des partenaires approuvés, nous vous invitons à contacter les équipes chargées de vos comptes.

(Remarque : de façon générale, si vous gérez ou accédez à vos services Microsoft Online via des URL qui se terminent par .com, cet article décrit la façon dont nous protégeons et chiffrons vos données.)

La sécurité de vos données est pour nous une priorité absolue et un sujet TRÈS sérieux. J’espère que vous avez trouvé cet aperçu de notre protocole de chiffrement et de sécurité des données rassurant et utile.

Cordialement,

Alex Simons (Twitter : @Alex_A_Simons)

Directeur Gestion des programmes

Microsoft Identity Division

[Mis à jour le 3/10/2017 avec l’ajout d’informations de version spécifiques sur notre utilisation de TLS et SSL]