XELMES 
Le MFA sur tous les comptes admin
Un mot de passe volé ou deviné ne devrait jamais suffire pour prendre la main sur votre environnement. Pourtant, on trouve encore des comptes admin sans authentification multifacteur, surtout parmi les vieux comptes et les comptes partagés.
Imposez le MFA avec Conditional Access sur tous les comptes qui ont un rôle d'administration. La seule exception, ce sont les comptes d'accès d'urgence, qui doivent avoir leur propre protection et être surveillés de près. Pour les rôles les plus sensibles, préférez les passkeys ou les clés FIDO2, qui résistent au phishing.
Les droits au plus juste
Le rôle Owner sur un abonnement permet tout, y compris de s'attribuer encore plus de droits. On le donne souvent pour débloquer quelqu'un rapidement, et on oublie de le retirer.
Donnez à chacun le rôle dont il a besoin, là où il en a besoin : sur un resource group plutôt que sur tout l'abonnement, Contributor ou un rôle précis plutôt qu'Owner. Pour les droits d'administration dont on n'a besoin que de temps en temps, Privileged Identity Management les accorde à la demande et pour une durée limitée.
Aucun stockage ouvert sur internet
Par défaut, un compte de stockage ou une base de données reste joignable depuis internet tant qu'on ne le restreint pas. Ajoutez un conteneur en accès anonyme ou une clé qui a fuité, et les données se retrouvent publiques.
Désactivez l'accès anonyme, limitez l'accès réseau avec des règles de firewall ou des private endpoints, et préférez l'authentification Entra ID aux clés partagées.
Les mots de passe dans Key Vault
Chaînes de connexion, clés d'API, mots de passe : on les retrouve dans le code, les fichiers de configuration et les scripts, parce que c'est le moyen le plus rapide de faire marcher quelque chose. Une fois commité, un secret reste dans l'historique du dépôt, même si on supprime la ligne ensuite.
Rangez les secrets dans Key Vault et laissez les applications les lire avec une managed identity. Comme ça, il n'y a plus de mot de passe à gérer du tout. Et si un secret a déjà été commité, considérez qu'il est compromis : changez-le, ne vous contentez pas d'effacer la ligne.
RDP et SSH fermés
Une VM dont le port 3389 ou 22 est ouvert sur internet est vite repérée par des scans automatiques, et les tentatives de connexion suivent.
Fermez ces ports à internet. Passez par Azure Bastion pour vous connecter depuis le portail, ou par l'accès just-in-time, qui ouvre un port pour une seule adresse IP et pour un temps limité.
Par où commencer ?
Aucune de ces corrections ne demande de nouvel outil. Il faut surtout quelqu'un qui regarde, qui décide et qui assure le suivi. Commencez par le MFA et les rôles à privilèges : ce sont eux qui protègent tout le reste.
Si vous voulez un regard extérieur sur votre tenant, avec des priorités claires et un plan d'action, c'est précisément l'objet de notre expertise sécurité.
Sécurité & identitéDes accès maîtrisés et des secrets protégés, dans une approche zero trust et least privilege. 