Il est déconseillé de configurer Entra ID pour considérer les invités comme des utilisateurs standards, car cela pourrait permettre à des invités malveillants d'effectuer une reconnaissance complète des ressources du tenant.

<a href="https://learn.microsoft.com/fr-fr/entra/external-id/what-is-b2b">B2B collaboration</a> est une fonctionnalité de Microsoft Entra ID qui permet à vos utilisateurs de proposer à des invités de collaborer avec votre organisation. Ces utilisateurs invités, également appelés « identités externes », ont par défaut un accès tel que <a href="https://learn.microsoft.com/fr-fr/entra/fundamentals/users-default-permissions#member-and-guest-users">décrit par Microsoft</a> :
<blockquote>
Ils peuvent gérer leur propre profil, changer leur mot de passe et récupérer certaines informations sur d'autres utilisateurs, groupes et applications. Cependant, ils ne peuvent pas lire toutes les informations de l'annuaire.
Par exemple, les utilisateurs invités ne peuvent pas énumérer la liste de tous les utilisateurs, groupes et autres objets AD. Il est possible d'ajouter des invités aux rôles d'administrateur, en leur donnant des autorisations complètes en lecture et en écriture. Les invités peuvent également autoriser d'autres invités.
</blockquote>
Ainsi, par défaut, les invités disposent d'une visibilité restreinte au sein du tenant qui les invite. Néanmoins, il existe un paramètre qui permet de donner aux utilisateurs invités encore plus d'autorisations. Appelé <a href="https://learn.microsoft.com/fr-fr/entra/fundamentals/users-default-permissions#restrict-guest-users-default-permissions">« Les utilisateurs invités ont le même accès que les membres (le plus inclusif) »</a>, son impact est le suivant :
<blockquote>
Accorde par défaut toutes les autorisations des utilisateurs membres aux utilisateurs invités.
</blockquote>
L'activation de ce paramètre augmente les risques de sécurité en permettant aux invités externes, y compris aux attaquants potentiels, de recueillir plus facilement des informations sur les utilisateurs, les groupes et autres assets, augmentant ainsi le risque de compromission et l'exposition des données pour le tenant.
Microsoft recommande également dans <a href="https://learn.microsoft.com/fr-fr/entra/fundamentals/configure-security#guests-have-restricted-access-to-directory-objects">Configurer Microsoft Entra pour renforcer la sécurité</a> que « les invités [aient] un accès restreint aux objets d'annuaire ».

Initial Access

Valid Accounts: Default Accounts

Valid Accounts: Cloud Accounts

Privilege Escalation

Account Manipulation: Additional Cloud Roles

Discovery

Account Discovery: Email Account

Account Discovery: Cloud Account

Cloud Service Discovery

Reconnaissance

Gather Victim Network Information

Active Scanning

Comptes invités disposant d'un accès identique aux comptes normaux

Détections

Comptes invités disposant d'un accès identique aux comptes normaux

HIGH

Version 202405221022