Lorsque le cloud tombe en panne, les défenses de cybersécurité d’une entreprise peuvent elles aussi devenir plus difficiles à gérer.
La panne de grande ampleur de Microsoft, survenue le 12 nov., a perturbé Outlook, Exchange Online et d’autres services Microsoft 365, laissant les entreprises en difficulté pour accéder à leurs e-mails et à leurs applications critiques. Mais la perturbation a également touché certains éléments de l’écosystème de cybersécurité de Microsoft, limitant l’accès à certaines fonctions de surveillance de la sécurité, de protection contre l’hameçonnage, de gestion des appareils et de protection des données sur lesquelles les entreprises comptent pour défendre leurs systèmes.
L’incident soulève une question plus générale pour les entreprises qui dépendent de plus en plus des infrastructures cloud : que se passe-t-il lorsque les outils utilisés pour gérer et surveiller la cybersécurité deviennent indisponibles, alors même que les systèmes qu’ils sont censés protéger restent en ligne ?
La panne de Microsoft perturbe des services critiques pour les entreprises et la sécurité
La perturbation a commencé jeudi 12 nov., des utilisateurs signalant des problèmes d’accès à Outlook et à d’autres services Microsoft. Selon l’ Associated Press, le service de suivi des pannes Downdetector a enregistré près de 130 000 signalements de problèmes liés à Outlook peu après 13 h, heure de l’Est. Ce chiffre correspond aux signalements de panne envoyés par les utilisateurs, et non à un décompte vérifié des personnes touchées.
Les problèmes se sont étendus au-delà des e-mails et ont affecté des fonctions de Microsoft Teams, des intégrations SharePoint, Copilot et plusieurs plateformes liées à la sécurité. Microsoft a souligné que la perturbation touchait principalement les fonctions qui dépendent d’Exchange Online et des services de messagerie, tandis que d’autres fonctionnalités au sein des mêmes plateformes continuaient de fonctionner, notamment la plupart des fonctions essentielles de messagerie et de réunion de Teams.
Dans les communications de Microsoft relatives à l’incident, reproduites par le tableau de bord du service Microsoft 365 de l’Université de Pennsylvanie, l’entreprise a identifié des perturbations concernant :
- Microsoft Defender XDR : Certains administrateurs ne pouvaient pas charger les pages du portail de sécurité ou les onglets des solutions.
- Microsoft Defender for Office 365 : Des problèmes ont affecté Safe Links, Safe Attachments, la gestion de la quarantaine et les fonctions d’investigation des menaces.
- Microsoft Purview : La prévention des pertes de données, la protection des informations, l’autorisation, la classification et les opérations liées à la conformité ont été perturbées.
- Microsoft Intune : L’inscription des appareils, leurs enregistrements périodiques et les opérations liées aux stratégies de conformité ont pu être touchés par intermittence.
Microsoft a d’abord identifié une instabilité des serveurs et des problèmes touchant l’infrastructure chargée d’établir des connexions sécurisées. L’entreprise a ensuite fait état d’une stabilité améliorée après l’application d’un correctif à un composant en amont d’authentification et de routage.
Dans ses mises à jour du 13 nov. concernant l’incident, Microsoft a indiqué qu’elle remédiait aux perturbations restantes, évaluait la récupération selon les différentes méthodes de connexion et surveillait la stabilité du service. Lors de sa mise à jour de 11 h 23, heure de l’Est, l’incident était toujours classé comme une dégradation du service, et Microsoft n’avait pas encore publié d’analyse définitive de la cause première.
Microsoft a précisé, fait important, qu’elle n’avait connaissance d’aucune activité malveillante à l’origine de l’incident et n’avait pas identifié de cyberattaque comme cause. Néanmoins, la perturbation montre comment une défaillance de l’infrastructure peut créer des difficultés de cybersécurité même lorsqu’aucun attaquant n’est responsable.
5 risques de cybersécurité mis en évidence par la panne de Microsoft
1. Les équipes de sécurité pourraient perdre leur visibilité sur les menaces potentielles
La surveillance de la sécurité dépend d’un accès rapide aux alertes, aux tableaux de bord et aux outils d’investigation. Pendant la panne de Microsoft, certains administrateurs ne pouvaient pas accéder aux pages du portail Microsoft Defender XDR ni aux onglets des solutions, ce qui pouvait compliquer leur capacité à examiner les activités suspectes.
Cela ne signifie pas nécessairement que les protections des terminaux ont cessé de fonctionner ou que Microsoft a arrêté de recueillir les données de télémétrie de sécurité. Cependant, la perte d’accès aux interfaces d’investigation peut compliquer la tâche des équipes de sécurité lorsqu’elles doivent déterminer si une alerte nécessite une attention immédiate, en particulier dans les organisations qui gèrent des milliers d’appareils.
Même des interruptions temporaires de la gestion centralisée de la sécurité peuvent créer des difficultés opérationnelles. Pour réduire ce risque, les équipes de sécurité devraient conserver, lorsque cela est possible, des capacités de surveillance alternatives et établir des procédures de traitement des alertes critiques lorsque leur plateforme de sécurité principale devient indisponible.
2. Les défenses contre l’hameçonnage et les processus de sécurité des e-mails peuvent être perturbés
Les e-mails restent un vecteur d’attaque important, ce qui rend particulièrement préoccupantes les interruptions de la protection contre l’hameçonnage. Microsoft a signalé des problèmes concernant Defender for Office 365, notamment Safe Links, Safe Attachments, les opérations de quarantaine et les outils d’investigation des menaces.
Safe Links évalue normalement les URL afin d’aider à protéger les utilisateurs contre les destinations malveillantes. Pendant l’incident, Microsoft a indiqué que des échecs de traitement pouvaient empêcher les utilisateurs d’ouvrir dans Outlook et Teams les URL réécrites. Les administrateurs qui accédaient correctement au portail de quarantaine pouvaient également rencontrer des erreurs en tentant de libérer des éléments mis en quarantaine.
Ces perturbations pouvaient retarder les communications légitimes et compliquer les investigations sur l’hameçonnage, même si Microsoft n’a pas établi si des liens malveillants avaient contourné les protections de sécurité ou si des attaquants avaient exploité la panne. Les entreprises devraient vérifier que leurs contrôles de sécurité des e-mails fonctionnent normalement après le rétablissement du service et examiner les activités suspectes signalées pendant la perturbation.
3. Les perturbations de la gestion des appareils peuvent compliquer les opérations de sécurité
Les systèmes de gestion des appareils dans le cloud aident les organisations à surveiller la conformité des terminaux, à inscrire les appareils et à gérer les stratégies de sécurité. Microsoft a indiqué que la panne avait pu affecter par intermittence l’inscription des appareils dans Intune, leurs enregistrements périodiques et les opérations liées aux stratégies de conformité.
Ces perturbations pouvaient retarder les administrateurs qui tentaient d’inscrire des terminaux, de vérifier la conformité des appareils ou d’évaluer si les appareils gérés respectaient les exigences de sécurité de l’organisation. Toutefois, les interruptions de la gestion des appareils ne signifient pas nécessairement que les protections existantes des terminaux ou les stratégies de sécurité ont cessé de fonctionner.
La préoccupation plus générale est que les organisations qui dépendent fortement d’une gestion centralisée dans le cloud peuvent disposer de moins de solutions lorsque les services d’administration deviennent temporairement inaccessibles. Les entreprises devraient donc documenter les protections des appareils qui restent efficaces pendant les interruptions de service et établir des procédures alternatives pour l’administration urgente de la sécurité.
4. Les processus de protection des données et de conformité peuvent être interrompus
Microsoft Purview était une autre plateforme liée à la sécurité touchée par la panne. Selon les mises à jour de Microsoft concernant l’incident, les perturbations concernaient la prévention des pertes de données, la protection des informations, l’autorisation, l’étiquetage automatique, la conformité des communications, la classification des données, les recherches dans les journaux d’audit et certaines opérations d’eDiscovery.
Ces fonctionnalités aident les organisations à identifier les informations sensibles, à faire respecter les politiques de traitement des données, à enquêter sur les activités et à assurer la conformité réglementaire. Lorsqu’elles deviennent indisponibles, les équipes de sécurité et de conformité peuvent avoir du mal à examiner les activités, à mener à bien les investigations ou à déterminer si certaines protections ont fonctionné comme prévu.
Le rapport d’incident de Microsoft avertissait également que certaines fonctionnalités de Defender for Office 365 s’appuyant sur les signaux de prévention des pertes de données et de protection des informations de Purview pouvaient subir des retards ou des échecs lors de l’évaluation des stratégies et de l’application des règles de gouvernance. Ces problèmes pouvaient compliquer la capacité des organisations à appliquer ou à vérifier les stratégies de sécurité concernées, même si Microsoft n’a pas établi que toutes les protections avaient cessé de fonctionner ou que des informations sensibles avaient été exposées.
Les organisations devraient examiner les journaux pertinents, l’état des stratégies et les enregistrements d’audit une fois les services rétablis, en accordant une attention particulière aux éventuelles lacunes de visibilité ou aux actions administratives retardées. Pour obtenir des conseils supplémentaires, le guide de stratégie de sécurité cloud d’eSecurity Planet examine la manière dont les organisations peuvent aborder la surveillance, la gestion des configurations et la planification de la résilience.
5. La dépendance à un seul fournisseur de cloud peut créer des risques de sécurité concentrés
La principale leçon à tirer de la panne de Microsoft concerne peut-être l’interdépendance croissante des applications professionnelles et des services de cybersécurité. Les organisations s’appuient de plus en plus sur le même écosystème cloud pour la messagerie, la collaboration, la gestion des terminaux, la détection des menaces et la protection des données.
Cette intégration peut simplifier l’administration et améliorer la coordination entre les outils de sécurité, mais elle crée également des dépendances qui deviennent particulièrement importantes lors de perturbations généralisées des services. Une défaillance touchant une infrastructure partagée peut interrompre simultanément plusieurs services, limitant potentiellement la capacité d’une organisation à communiquer, à enquêter sur les menaces et à administrer les contrôles de sécurité.
Cela ne signifie pas que les entreprises devraient abandonner les plateformes de sécurité intégrées. Elles devraient plutôt identifier les dépendances critiques et déterminer quelles fonctionnalités doivent rester disponibles de manière indépendante. Comme l’explique eSecurity Planet dans son guide consacré aux politiques de sécurité cloud, une protection efficace du cloud nécessite des procédures de reprise claires, des contrôles d’accès et une planification d’urgence.
Ce que les entreprises doivent faire après la panne de Microsoft
La priorité immédiate des équipes de sécurité est de déterminer si la perturbation a affecté leurs propres opérations de sécurité et si ces capacités ont été entièrement rétablies. Même si les services semblent fonctionner normalement, les organisations devraient examiner les éventuelles lacunes de surveillance, d’application des stratégies et d’activité administrative pendant l’incident.
Les organisations devraient envisager les mesures suivantes :
- Vérifier l’état des services de sécurité : Consulter le tableau de bord d’état des services de Microsoft et confirmer que les fonctions concernées de Defender, Purview, Intune et de l’administration fonctionnent normalement.
- Examiner les alertes et les investigations retardées : Identifier les événements de sécurité, les actions de quarantaine ou les tâches d’investigation qui ont pu être retardés pendant la panne.
- Vérifier les protections contre l’hameçonnage : Confirmer que Safe Links, Safe Attachments, les stratégies de sécurité des e-mails et les outils d’investigation associés fonctionnent comme prévu.
- Vérifier la conformité des appareils : Examiner les enregistrements périodiques des appareils dans Intune, les échecs d’inscription et les évaluations de conformité survenus pendant la perturbation.
- Valider les contrôles de protection des données : Confirmer que les stratégies Purview concernées, les opérations d’étiquetage et les fonctions de conformité ont repris leur fonctionnement normal.
- Tester les communications de secours : S’assurer que les équipes de réponse aux incidents peuvent se coordonner par des canaux qui ne dépendent pas entièrement du fournisseur touché.
- Examiner les dépendances cloud : Identifier les fonctions de sécurité qui partagent leur infrastructure avec des applications critiques pour l’activité et évaluer les options de secours disponibles.
Les entreprises devraient également éviter d’affaiblir leurs paramètres de sécurité simplement pour contourner une panne, car des exceptions temporaires peuvent créer une exposition supplémentaire si elles restent en place après le rétablissement des services. Pour les organisations qui mettent à jour leurs procédures, le guide de planification de la réponse aux incidents d’eSecurity Planet fournit des informations supplémentaires pour définir les responsabilités, tester les procédures de réponse et se préparer aux perturbations inattendues.
La panne de Microsoft souligne l’importance de la résilience en matière de cybersécurité
La panne de Microsoft montre que la cybersécurité ne consiste pas seulement à empêcher les attaques malveillantes. Les équipes de sécurité ont également besoin d’un accès fiable aux systèmes utilisés pour surveiller les menaces, faire appliquer les stratégies, enquêter sur les incidents et protéger les informations sensibles.
Bien que Microsoft n’ait signalé aucune preuve d’activité malveillante associée à la perturbation, l’incident met en évidence les conséquences opérationnelles de la perte d’accès à des services de sécurité interconnectés. Pour les entreprises, la conclusion est simple : une stratégie de cybersécurité doit tenir compte de la possibilité que les outils de sécurité eux-mêmes deviennent temporairement indisponibles.
Les organisations qui comprennent leurs dépendances au cloud, conservent des procédures de réponse alternatives et testent régulièrement leurs plans de reprise seront mieux à même de protéger leurs systèmes lors de la prochaine panne majeure.
Pour un autre exemple de la manière dont les défaillances d’infrastructure peuvent révéler des failles de cybersécurité, consultez l’ analyse de la panne de Cloudflare, qui examine l’importance de la redondance, de la surveillance indépendante et de la cyberrésilience.