Lorsque tous les utilisateurs sont autorisés à joindre des appareils non restreints au tenant Entra, des attaquants peuvent installer des appareils malveillants dans le système d'identité de l'organisation et obtenir un point d'accès pour le compromettre davantage.

Par défaut, Microsoft Entra ID accorde à tous les utilisateurs d'Entra le droit d'enregistrer leurs appareils sur le tenant en tant qu'<a href="https://learn.microsoft.com/fr-fr/entra/identity/devices/concept-directory-join">appareils joints</a> Microsoft Entra. Ce paramètre appelé <a href="https://learn.microsoft.com/fr-fr/entra/identity/devices/manage-device-identities#configure-device-settings">Les utilisateurs peuvent joindre des appareils à Microsoft Entra</a> permet à n'importe quel utilisateur connecté d'effectuer le processus de jonction. Si un attaquant compromet un compte utilisateur standard, il peut exploiter ce workflow pour inscrire une station de travail malveillante qu'il contrôle entièrement. L'appareil apparaît dans Entra ID avec la victime comme propriétaire, hérite des stratégies de base de <a href="https://learn.microsoft.com/fr-fr/windows/client-management/azure-active-directory-integration-with-mdm">gestion des appareils mobiles (MDM)</a> de cet utilisateur, et offre à l'attaquant une présence persistante et fiable dans l'environnement.
Bien que la jonction d'un appareil puisse déclencher des vérifications supplémentaires comme l'authentification multifacteur (MFA), elle n'est pas requise par défaut lors de l'inscription. Autrement dit, il suffit d'un mot de passe volé pour permettre à un attaquant d'inscrire un appareil depuis n'importe où. En cas de mauvaises configurations dans les stratégies Microsoft Intune ou d'accès conditionnel, l'appareil malveillant peut être automatiquement marqué comme conforme et satisfaire aux conditions d'accès qui l'exonèrent de toute demande d'authentification supplémentaire. Une fois devenu conforme, l'attaquant peut accéder silencieusement aux ressources cloud après s'être authentifié auprès d'Entra ID sans jamais être confronté à une invite de MFA.
L'équipe de réponse aux incidents de Microsoft a documenté des <a href="https://www.microsoft.com/fr-fr/security/blog/2023/12/05/microsoft-incident-response-lessons-on-preventing-cloud-identity-compromise/#poor-device">violations réelles</a> au cours desquelles un compte hameçonné a été utilisé pour joindre un appareil malveillant, contourner des contrôles de conformité mal configurés et exfiltrer des données sensibles à partir des messageries Microsoft 365. Ces cas mettent en évidence que des paramètres de jonction d'appareil trop laxistes peuvent considérablement élargir le rayon d'impact d'un seul compte en matière de compromission.
Ce paramètre laxiste permet également aux employés d'inscrire librement des appareils Windows et macOS privés (utilisation des appareils personnels au travail, ou BYOD), ce qui agrandit l'inventaire des appareils de l'organisation et complique la détection des appareils malveillants ou non autorisés en raison de cette prolifération non gérée.
Par défaut, chaque utilisateur peut enregistrer jusqu'à 50 appareils, ce qui signifie qu'un seul compte compromis peut en théorie héberger des dizaines de terminaux contrôlés par des attaquants sans déclencher d'alerte. Ces jonctions gérées par les utilisateurs ont lieu en dehors des flux de provisionnement sécurisés comme le <a href="https://learn.microsoft.com/fr-fr/autopilot/self-deploying">mode de déploiement automatique Windows Autopilot</a> ; elles contournent l'attestation matérielle et d'autres dispositifs de protection dont dépend l'accès conditionnel pour vérifier l'approbation des appareils.

Détections

Utilisateurs autorisés à joindre des appareils

LOW

Version 202608241311