Azure et Microsoft 365 - Attaquer, Détecter, Protéger - Du 04 au 25 Octobre

• Introduction aux écosystèmes Azure, M365 et Entra ID.

• Rappels sur les architectures cloud et les enjeux de sécurité.

• Comprendre l’écosystème M365 pour mieux attaquer et se défendre.

• Méthodes d’accès aux environnements Azure et M365.

• Infrastructure hybride dans Azure.

• Types de tokens et scénarios d’exploitation.

• Mise en place d’une analyse de risque.

• Introduction à Microsoft Graph et son rôle en cybersécurité.

• Authentification, permissions et vecteurs d’abus.

• Découverte et cartographie d’un tenant via Graph.

• Exploitation offensive avec Microsoft Graph.

• Détection et monitoring via Microsoft Graph Security API.

• Cas pratiques : attaque, exfiltration et détection.

Appréhender le framework du Mitre

• Retour d’expérience sur les principales attaques sur les environnements Cloud & M365.

• Etude de cas : Scattered Spider & autres.

• Kill chain Microsoft Azure, Entra ID & Environement M365 (AADInternals, Mitre..)

• Etude de cas : Sharepoint, Onedrive, Teams & O365.

• Appréhender les techniques d’OSINT pour le Cloud et limitations.

• Reconnaissance et Discovery.

• Enumération de domaine et d’utilisateurs.

• Structuration des connaissances et prise de notes

• Introduction aux techniques d'initial access

• Analyse de leaks et construction de wordlist

• Password Spray dans le cloud (Microsoft Office 365 & OWA)

• Extraction de Hash avec Responder dans le Cloud

• Bruteforcing de password : Une stratéie gagnante ?

• Social Engineering et SSPR pour la récuépration de password

• Identification des faiblesses MFA

• Retours sur les framework de phishing les plus actifs

• Techniques de phishing modernes dans M365 (AiTM, Quishing ...)

• Focus sur Device Code Phishing

• Illicit Grant Consent (OAuth abuse)

• SMTP Basic Auth : Bypass MFA via protocoles faibles

• Reconnaissance dans l’environnement compromis

• Détournement de services : SharePoint & Teams

• Mouvement latéral dans l’écosystème M365 (incluant le phishing interne)

• Analyse de mails de phishing & CTI

• Exploitation de refresh tokens

• Persistence via applications OAuth malicieuses

• Détournement des accès SharePoint/Graph/API

• Mouvements latéraux

• comme outil offensif

• Abus de services M365

• Accès initial par compromission NTLM

• Techniques de reconnaissance interne et identification des chemins d’attaque

• Pivoting dans les environnements Azure

• Exploitation de Microsoft Entra Connect Sync

• Exploitation de Seamless Single Sign-On

• Exploitation avancée des tokens

• Abus des groupes dynamiques dans Azure AD

• Identification des faiblesses dans les stratégies de Conditional Access

• Introduction aux services Azure

• Comprendre les méthodologies d’exploitation des services Azure

• Attaquer les Azure Container Apps

• Attaquer les Azure Web Apps

• Exploitation des Azure Function Apps

• Prompt Injection et contournement de périmètre

• Exploitation des Azure Service Firewalls

• Exploitation des Azure Logic Apps

• Automatiser la collecte de configurations M365 & Azure

• Évaluation de l’exposition aux attaques

• Audits spécifiques M365

• Audits spécifiques Azure

• Génération de rapports automatisés & priorisation

• Politique de journalisation : Entra ID, Defender, M365, Azure Activity Logs

• Stratégies de collecte de logs : granularité, rétention, sécurité des journaux

• Centralisation et forwarding des logs vers SIEM (Microsoft Sentinel, Splunk)

• Analyse comportementale et détection d’anomalies sur les accès et tokens

• Détection des attaques sur les services (phishing, SSO abuse, prompt injection)

• Threat hunting sur Sentinel & Elastic : use cases, KQL, cas concrets

• Surveillance spécifique des actions sur Entra ID, Exchange, SharePoint, Logic Apps

• Détection d’abus de droits RBAC, groupes dynamiques et consentements OAuth

• Automatisation de la réponse via alertes, playbooks SOAR et isolation

• Mise en place de playbooks & runbooks

• Automatisation des réponses à incidents avec un SOAR OpenSource (N8N, Shuffle...)

• Actions post-incident

• Template de communication

• Forensique suite à une attaque

• Mise en place de canaux de communication de crise