Audit de sécurité cloud Azure

Dans le cloud, la plupart des incidents ne viennent pas d'une faille de Microsoft mais d'une configuration : un rôle trop large, une règle d'accès conditionnel avec une exception oubliée, un stockage ouvert. Je forme des équipes à l'architecture Azure (AZ-305) ; j'applique la même grille de lecture à votre tenant, côté attaquant.

Ce que j’évalue

Identités: Comptes privilégiés, invités, MFA, accès conditionnel et ses exceptions.
Rôles et permissions: Attributions Azure RBAC et Entra ID, principe du moindre privilège.
Applications: Inscriptions d’applications, consentements, secrets et certificats.
Ressources: Stockage, coffres de secrets, bases de données, machines virtuelles.
Réseau: Exposition publique des ressources et filtrage.
Journalisation: Ce qui est tracé et ce qui permettrait de détecter un incident.

Comment je travaille

Revue de configuration avec un compte en lecture seule, complétée par des tests ciblés depuis un compte utilisateur standard.
Référentiels : recommandations Microsoft, CIS Benchmarks Azure et Microsoft 365.
Restitution qui distingue corrections rapides et chantiers d’architecture.

Le détail de la méthode et du livrable

Ce que vous recevez

Un rapport PDF : synthèse pour la direction, puis une fiche par vulnérabilité (preuve, score CVSS, impact, correction).
Une réunion de restitution avec vos équipes techniques.
Un contre-audit des corrections, proposé dans le devis.

FAQ

Questions fréquentes

Couvrez-vous AWS et GCP ?

Mon expertise principale est Azure et Entra ID, où je suis aussi formateur. Pour AWS ou GCP, je vous dis honnêtement au cadrage si votre besoin est dans mon périmètre.

Microsoft Secure Score ne suffit pas ?

Le Secure Score est un bon point de départ, mais il évalue des réglages un par un. L’audit regarde comment ils se combinent, et ce qu’un compte compromis permettrait concrètement.

Quels accès faut-il fournir ?

Un compte avec des droits de lecture sur le tenant et les abonnements concernés, plus un compte utilisateur standard pour les tests. Aucun droit d’écriture n’est nécessaire pour la revue de configuration.

Une autre question ? Écrivez-moi