Comment sécuriser l'administration de Microsoft Intune en utilisant les meilleures pratiques

Commencez par effectuer un audit complet de vos attributions de rôles Intune actuelles. De nombreuses organisations accordent inconsciemment des privilèges excessifs qui violent le principe du moindre privilège.

Accédez au centre d'administration Microsoft Intune à endpoint.microsoft.com et connectez-vous avec votre compte administratif. Allez à Administration du locataire > Rôles > Tous les rôles.

Examinez toutes les attributions actuelles, en prêtant une attention particulière à :

• Attributions d'administrateur global (devraient être minimales)
• Attributions d'administrateur Intune (souvent sur-attribuées)
• Accès permanent sans limites de temps
• Attributions non liées à des fonctions spécifiques

Documentez chaque attribution avec les informations suivantes :

# Utilisez PowerShell pour exporter les attributions de rôles actuelles
Connect-MgGraph -Scopes "RoleManagement.Read.All"
Get-MgRoleManagementDirectoryRoleAssignment | Export-Csv -Path "C:\temp\intune-roles-audit.csv"

Supprimez les privilèges excessifs : Pour chaque attribution sur-privilégiée, cliquez sur le rôle > Attributions > sélectionnez l'utilisateur/groupe > Supprimer l'attribution. Documentez la suppression avec une justification commerciale.

Vérification : Exécutez à nouveau l'exportation PowerShell et comparez les fichiers CSV avant/après pour confirmer la réduction des privilèges.

Microsoft Intune fournit plusieurs rôles intégrés conçus pour des fonctions professionnelles spécifiques. Attribuez ces rôles au lieu de permissions administratives larges.

Dans le centre d'administration Intune, allez à Administration du locataire > Rôles > Tous les rôles. Sélectionnez le rôle intégré approprié en fonction de la fonction professionnelle :

Pour chaque attribution de rôle :

1. Cliquez sur le nom du rôle > Attributions > Attribuer
2. Ajoutez l'utilisateur ou le groupe de sécurité
3. Configurez Périmètre (Groupes) pour limiter les groupes d'appareils que ce rôle peut gérer
4. Définissez Périmètre (Tags) pour restreindre davantage l'accès par unité organisationnelle ou région

Exemple de configuration de périmètre :

{
  "role": "Opérateur du service d'assistance",
  "assignedTo": "Groupe-Niveau1-ServiceAssistance",
  "scopeGroups": ["Appareils-Corporate", "Appareils-BYOD"],
  "scopeTags": ["US-Est", "US-Ouest"]
}

Vérification : Testez chaque attribution en demandant à l'utilisateur assigné de se connecter à Intune et de confirmer qu'il ne peut accéder qu'aux ressources dans leur périmètre défini.

Lorsque les rôles intégrés ne correspondent pas aux besoins de votre organisation, créez des rôles personnalisés avec précisément les autorisations requises.

Dans le centre d'administration Intune, accédez à Administration du locataire > Rôles > Créer > Rôle personnalisé.

Définissez le rôle avec ces étapes :

1. Informations de base : Entrez un nom descriptif comme "Gestionnaire de dispositifs régional" et une description
2. Autorisations : Sélectionnez uniquement les autorisations requises. Scénarios courants de rôles personnalisés :

Exemple : Analyste de sécurité en lecture seule

{
  "roleName": "Security-Analyst-ReadOnly",
  "permissions": {
    "deviceCompliancePolicy": ["Read"],
    "deviceConfiguration": ["Read"],
    "managedApps": ["Read"],
    "reports": ["Read", "Export"],
    "auditLogs": ["Read"]
  },
  "scopeTags": ["Security-Team"]
}

Exemple : Gestionnaire de dispositifs limité

{
  "roleName": "Regional-Device-Manager",
  "permissions": {
    "managedDevices": ["Read", "Update", "Retire"],
    "deviceCompliancePolicy": ["Read"],
    "deviceConfiguration": ["Read", "Assign"],
    "remoteActions": ["Sync", "Restart"]
  },
  "excludedActions": ["Wipe", "Delete", "FactoryReset"]
}

Après avoir créé le rôle personnalisé :

1. Allez à l'onglet Affectations
2. Ajoutez les utilisateurs/groupes appropriés
3. Configurez les groupes et balises de portée pour limiter l'accès
4. Définissez le type d'affectation sur Éligible si vous utilisez PIM (couvert à l'étape suivante)

Vérification : Connectez-vous en tant qu'utilisateur avec le rôle personnalisé et tentez des actions autorisées et restreintes pour confirmer que le rôle fonctionne comme prévu.

Implémentez la gestion des identités privilégiées (PIM) pour fournir un accès juste-à-temps aux rôles administratifs, réduisant ainsi la surface d'attaque des privilèges permanents.

Accédez au centre d'administration Microsoft Entra à entra.microsoft.com et allez à Identité > Gouvernance > Gestion des identités privilégiées.

Configurez PIM pour les rôles Intune :

1. Cliquez sur Microsoft Intune sous ressources Azure
2. Sélectionnez Rôles > choisissez le rôle à configurer (par exemple, "Administrateur Intune")
3. Cliquez sur Paramètres > Modifier

Configurez ces paramètres critiques :

{
  "activationSettings": {
    "maximumActivationDuration": "PT8H",
    "requireMFA": true,
    "requireJustification": true,
    "requireApproval": true,
    "approvers": ["Security-Admins-Group"]
  },
  "assignmentSettings": {
    "allowPermanentEligibleAssignment": false,
    "maximumEligibleAssignmentDuration": "P365D",
    "requireMFA": true,
    "requireJustification": true
  },
  "notificationSettings": {
    "notifyOnActivation": true,
    "notifyOnAssignment": true,
    "recipients": ["security-team@company.com"]
  }
}

Convertissez les affectations permanentes existantes en éligibles :

1. Allez à Affectations > Affectations éligibles
2. Cliquez sur Ajouter des affectations
3. Sélectionnez les utilisateurs qui ont actuellement un accès permanent
4. Définissez la durée et les exigences de justification
5. Supprimez leurs affectations permanentes après avoir confirmé que les affectations éligibles fonctionnent

Configurez l'accès d'urgence :

# Créez des comptes de secours avec des affectations permanentes
# Ceux-ci doivent être des comptes uniquement cloud avec des mots de passe forts
$breakGlassAccount = "breakglass-admin@company.onmicrosoft.com"
# Documentez ces comptes et stockez les identifiants en toute sécurité

Vérification : Testez le flux de travail PIM en demandant à un utilisateur éligible de demander l'activation du rôle et confirmez que le processus d'approbation fonctionne correctement.

Implémentez des contrôles d'authentification forts qui résistent aux attaques de phishing en exigeant des méthodes d'authentification basées sur le matériel pour l'accès administratif.

Dans le centre d'administration Microsoft Entra, accédez à Protection > Accès conditionnel > Nouvelle stratégie.

Créez une stratégie spécifiquement pour les administrateurs Intune :

Nom de la stratégie : "Intune-Admins-Phishing-Resistant-Auth"

Configuration des affectations :

{
  "users": {
    "include": [
      "Administrateur Intune",
      "Administrateur global",
      "Rôles personnalisés Intune"
    ],
    "exclude": [
      "Comptes de secours"
    ]
  },
  "cloudApps": {
    "include": [
      "Microsoft Intune",
      "Inscription Microsoft Intune",
      "Centre d'administration Microsoft Entra"
    ]
  },
  "conditions": {
    "locations": {
      "include": "N'importe quel emplacement",
      "exclude": "Réseaux d'entreprise de confiance"
    },
    "devicePlatforms": {
      "include": "N'importe quel appareil"
    }
  }
}

Configuration des contrôles d'accès :

{
  "grantControls": {
    "operator": "AND",
    "builtInControls": [
      "requireMultiFactorAuthentication",
      "requireCompliantDevice",
      "requireHybridAzureADJoinedDevice"
    ],
    "authenticationStrength": "MFA résistant au phishing"
  },
  "sessionControls": {
    "signInFrequency": {
      "value": 4,
      "type": "heures"
    },
    "persistentBrowser": {
      "mode": "jamais"
    }
  }
}

Configurez des méthodes d'authentification résistantes au phishing :

1. Allez à Protection > Méthodes d'authentification
2. Activez et configurez ces méthodes :

• Clés de sécurité FIDO2 : Activer pour les comptes administratifs
• Windows Hello pour Entreprise : Exiger pour les postes de travail administratifs
• Authentification basée sur certificat : Pour les utilisateurs de cartes à puce

Désactivez les méthodes d'authentification faibles :

# PowerShell pour désactiver SMS et voix pour les comptes administratifs
Connect-MgGraph -Scopes "Policy.ReadWrite.AuthenticationMethod"
$adminUsers = Get-MgUser -Filter "assignedPlans/any(a:a/servicePlanId eq '12345678-1234-1234-1234-123456789012')"
foreach ($user in $adminUsers) {
    # Désactiver l'authentification par SMS
    Update-MgUserAuthenticationSmsMethod -UserId $user.Id -Enabled:$false
}

Vérification : Essayez de vous connecter en tant qu'utilisateur administratif avec des méthodes d'authentification faibles (SMS, notification d'application) et confirmez que l'accès est bloqué.

Sécurisez les appareils que les administrateurs utilisent pour accéder à Intune en déployant des stations de travail renforcées avec les configurations de sécurité de Microsoft.

Dans le centre d'administration Intune, allez à Sécurité des points de terminaison > Configurations de sécurité. Sélectionnez la configuration appropriée pour votre environnement :

• Configuration de base de Microsoft Defender pour Endpoint
• Configuration de sécurité de Windows 11
• Configuration de base de Microsoft Edge

Créez un profil de configuration de station de travail privilégiée :

1. Sélectionnez Configuration de sécurité de Windows 11 > Créer un profil
2. Nom : "Configuration de base de station de travail à accès privilégié"
3. Configurez ces paramètres critiques :

{
  "deviceSecurity": {
    "bitLockerEncryption": "Requis",
    "secureBootEnabled": true,
    "tpmRequired": true,
    "windowsDefenderEnabled": true,
    "realTimeProtection": true
  },
  "userRights": {
    "allowLogOnLocally": ["Administrateurs", "Utilisateurs-Privilégiés"],
    "denyLogOnAsService": ["Tout le monde"],
    "denyNetworkLogOn": ["Invités"]
  },
  "networkSecurity": {
    "windowsFirewallEnabled": true,
    "networkAccessRestricted": true,
    "remoteDesktopDisabled": true
  },
  "applicationControl": {
    "appLockerEnabled": true,
    "allowedApplications": [
      "Microsoft Edge",
      "Microsoft Office",
      "Outils d'administration Windows"
    ]
  }
}

Créez une stratégie de conformité des appareils pour les stations de travail privilégiées :

1. Allez à Appareils > Stratégies de conformité > Créer une stratégie
2. Plateforme : Windows 10 et versions ultérieures
3. Configurez ces exigences :

{
  "deviceHealth": {
    "requireBitLocker": true,
    "requireSecureBoot": true,
    "requireCodeIntegrity": true,
    "requireHealthAttestation": true
  },
  "deviceProperties": {
    "minimumOSVersion": "10.0.22000",
    "maximumOSVersion": "10.0.99999",
    "requirePasswordType": "alphanumeric",
    "minimumPasswordLength": 14
  },
  "systemSecurity": {
    "requireAntivirusEnabled": true,
    "requireAntiSpywareEnabled": true,
    "requireFirewallEnabled": true
  }
}

Attribuez des stratégies aux groupes d'utilisateurs privilégiés :

1. Créez un groupe Azure AD : "Utilisateurs à accès privilégié"
2. Ajoutez tous les utilisateurs administratifs à ce groupe
3. Attribuez à ce groupe à la fois la configuration de sécurité et la stratégie de conformité

Vérification : Vérifiez l'état de conformité des appareils dans Appareils > Surveiller > Conformité des appareils et confirmez que toutes les stations de travail privilégiées répondent aux exigences de la stratégie.

Implémentez l'approbation multi-administrateur pour prévenir le risque d'une seule personne pour les opérations critiques telles que les réinitialisations d'appareils, les attributions de rôles et les déploiements de scripts.

Dans le centre d'administration Intune, accédez à Administration du locataire > Approbation multi-administrateur. Cliquez sur Activer l'approbation multi-administrateur.

Configurez les flux de travail d'approbation pour ces opérations critiques :

{
  "approvalWorkflows": [
    {
      "operation": "Gestion des rôles",
      "description": "Création, modification ou suppression de rôles Intune",
      "enabled": true,
      "requiredApprovers": 1,
      "approverGroups": ["Security-Admins", "IT-Directors"]
    },
    {
      "operation": "Réinitialisation d'appareil",
      "description": "Opérations de réinitialisation d'usine ou de nettoyage sélectif",
      "enabled": true,
      "requiredApprovers": 1,
      "approverGroups": ["Device-Managers", "Security-Team"]
    },
    {
      "operation": "Déploiement de script",
      "description": "Déploiement de script PowerShell sur les appareils",
      "enabled": true,
      "requiredApprovers": 2,
      "approverGroups": ["Security-Admins", "Change-Advisory-Board"]
    },
    {
      "operation": "Modifications de la politique de conformité",
      "description": "Modifications des politiques de conformité des appareils",
      "enabled": true,
      "requiredApprovers": 1,
      "approverGroups": ["Compliance-Officers", "Security-Team"]
    }
  ]
}

Configurez les paramètres d'approbation :

1. Cliquez sur Paramètres dans la section d'approbation multi-administrateur
2. Définissez le délai d'approbation : 24 heures pour les opérations standard, 4 heures pour les demandes urgentes
3. Activez les notifications par e-mail pour les approbations en attente
4. Configurez les procédures de dérogation d'urgence

Mettez en place des procédures d'accès d'urgence :

{
  "emergencyAccess": {
    "breakGlassAccounts": [
      "emergency-admin-1@company.onmicrosoft.com",
      "emergency-admin-2@company.onmicrosoft.com"
    ],
    "emergencyBypassEnabled": true,
    "postEmergencyReviewRequired": true,
    "emergencyJustificationRequired": true,
    "auditLogRetention": "P2555D"
  }
}

Testez le flux de travail d'approbation :

1. En tant qu'administrateur régulier, tentez de réinitialiser un appareil de test
2. Vérifiez que l'opération est bloquée et qu'une demande d'approbation est envoyée
3. En tant qu'approbateur, examinez et approuvez la demande
4. Confirmez que l'opération initiale peut maintenant se poursuivre

Vérification : Surveillez les demandes d'approbation dans Administration du locataire > Approbation multi-administrateur > Demandes en attente et examinez les journaux d'audit pour toutes les opérations approuvées.

Configurez une surveillance complète pour détecter les activités administratives suspectes et les potentielles violations de sécurité dans votre environnement Intune.

Configurez l'intégration de Microsoft Defender XDR :

1. Dans le portail Microsoft Defender (security.microsoft.com), allez à Paramètres > Microsoft 365 Defender
2. Activez le connecteur de données Microsoft Intune
3. Configurez ces règles d'alerte :

{
  "alertRules": [
    {
      "name": "Activité Admin Suspecte",
      "conditions": [
        "Plusieurs échecs de connexion admin",
        "Accès admin depuis un lieu inhabituel",
        "Opérations en masse sur les appareils",
        "Changements d'attribution de rôle"
      ],
      "severity": "Élevée",
      "actions": ["Envoyer un email à l'équipe de sécurité", "Créer un incident"]
    },
    {
      "name": "Activation de Rôle Privilégié",
      "conditions": [
        "Activation de rôle PIM en dehors des heures ouvrables",
        "Utilisation de compte d'accès d'urgence",
        "Multiples activations de rôle par le même utilisateur"
      ],
      "severity": "Moyenne",
      "actions": ["Enregistrer dans le SIEM", "Notifier le manager"]
    }
  ]
}

Configurez la surveillance des journaux d'audit Intune :

1. Dans le centre d'administration Intune, allez à Administration du locataire > Journaux d'audit
2. Configurez les paramètres de rétention et d'exportation des journaux
3. Configurez la surveillance automatisée pour ces événements :

# Script PowerShell pour surveiller les événements critiques d'Intune
$criticalEvents = @(
    "Attribution de rôle créée",
    "Attribution de rôle supprimée", 
    "Appareil effacé",
    "Politique de conformité modifiée",
    "Base de sécurité modifiée",
    "Politique d'accès conditionnel modifiée"
)

# Interroger les journaux d'audit pour les événements critiques
Connect-MgGraph -Scopes "AuditLog.Read.All"
$auditLogs = Get-MgAuditLogDirectoryAudit -Filter "activityDisplayName in ('$($criticalEvents -join "','")') and activityDateTime ge $((Get-Date).AddHours(-24).ToString('yyyy-MM-ddTHH:mm:ssZ'))"

# Envoyer des alertes pour tout événement critique
foreach ($log in $auditLogs) {
    Send-MailMessage -To "security-team@company.com" -Subject "Événement Critique Intune Détecté" -Body "Événement : $($log.ActivityDisplayName) par $($log.InitiatedBy.User.UserPrincipalName)"
}

Configurez la surveillance des risques de connexion :

1. Dans le centre d'administration Microsoft Entra, allez à Protection > Protection d'identité
2. Configurez la politique de risque utilisateur pour les comptes admin :

{
  "userRiskPolicy": {
    "assignments": {
      "users": ["Tous les rôles admin"],
      "conditions": {
        "userRisk": ["Élevé", "Moyen"]
      }
    },
    "controls": {
      "access": "Bloquer",
      "requirePasswordChange": true
    }
  },
  "signInRiskPolicy": {
    "assignments": {
      "users": ["Tous les rôles admin"],
      "conditions": {
        "signInRisk": ["Élevé"]
      }
    },
    "controls": {
      "access": "Bloquer"
    }
  }
}

Configurez l'intégration SIEM :

# Exporter les journaux Intune vers Azure Sentinel/SIEM
$workspaceId = "votre-id-espace-de-travail-analytique"
$workspaceKey = "votre-clé-espace-de-travail"

# Configurer le connecteur de données pour les journaux Intune
New-AzSentinelDataConnector -ResourceGroupName "security-rg" -WorkspaceName "security-workspace" -Kind "MicrosoftThreatIntelligence"

Vérification : Générez des événements de test (comme des attributions de rôle) et confirmez qu'ils apparaissent dans vos tableaux de bord de surveillance et déclenchent les alertes appropriées.