Microsoft va renforcer la sécurité dans Entra ID en rendant le MFA obligatoire

Renforcement de la sécurité dans Entra ID

Cette décision s’inscrit dans le cadre de l’initiative « Secure Future » lancée par l’entreprise en novembre 2023 pour améliorer la protection cybernétique de ses produits.

« Nous supprimons la possibilité de sauter l’inscription à l’authentification à facteur multiple (MFA) pendant 14 jours lorsque les paramètres de sécurité par défaut sont activés. Cela signifie que tous les utilisateurs devront s’inscrire à la MFA lors de leur première connexion après l’activation des paramètres de sécurité par défaut », a déclaré Nitika Gupta de Microsoft mercredi.  » – Cela permettra de réduire le risque de compromission de compte pendant la fenêtre de 14 jours, car le MFA peut bloquer plus de 99,2 % des attaques basées sur l’identité.

Changement actif dès décembre 2024

Ce changement affectera tous les nouveaux locataires à partir du 2 décembre 2024 et commencera à être déployé sur les locataires existants à partir de janvier 2025.

Les paramètres de sécurité par défaut de Microsoft Entra sont un paramètre qui active automatiquement diverses fonctionnalités de sécurité pour protéger les organisations contre les attaques courantes, telles que les attaques par force brute, les attaques par rejeu et le phishing.

Depuis le 22 octobre 2019, les nouveaux locataires ont automatiquement les paramètres de sécurité par défaut activés, et les anciens locataires les ont automatiquement activés au fil du temps s’ils n’utilisent pas l’accès conditionnel, ont des licences premium ou utilisent des clients d’authentification hérités.

Pour activer les paramètres de sécurité par défaut, vous devez vous connecter au centre d’administration Microsoft Entra (au moins en tant qu’administrateur de sécurité), accéder à Identité > Vue d’ensemble > Propriétés et sélectionner Gérer les paramètres de sécurité par défaut. De là, définissez « Paramètres de sécurité par défaut » ou Security Defaults (en anglais) sur Activé / Enabled. et cliquez sur Enregistrer.

Les administrateurs qui n’utilisent pas l’accès conditionnel sont invités à activer les paramètres de sécurité par défaut pour leur organisation, car ils constituent un moyen simple et efficace de protéger les utilisateurs et les ressources contre les menaces courantes.

Cependant, même si les paramètres de sécurité par défaut offrent une bonne base de posture de sécurité, ils ne permettent pas la personnalisation offerte par les stratégies d’accès conditionnel dont les organisations complexes ont besoin.

En août, Microsoft a également averti les administrateurs globaux d’Entra d’activer la MFA pour leurs locataires jusqu’au 15 octobre pour éviter que les utilisateurs ne perdent l’accès aux portails d’administration. En imposant la MFA obligatoire pour toutes les tentatives de connexion à Azure, Microsoft vise à protéger les comptes Azure contre le piratage et les tentatives de phishing.

L’entreprise a également annoncé en novembre qu’elle déploierait des stratégies d’accès conditionnel nécessitant la MFA pour tous les administrateurs se connectant aux portails d’administration Microsoft (par exemple, Entra, Microsoft 365, Exchange et Azure), pour les utilisateurs de toutes les applications cloud et les connexions à haut risque.

En janvier, GitHub, propriété de Microsoft, a également commencé à imposer l’authentification à deux facteurs (2FA) pour tous les développeurs actifs dans le cadre des efforts continus de l’entreprise pour stimuler l’adoption de la MFA.