Qu’est-ce que la dérive de configuration
Qu’est-ce que la dérive de configuration?
La dérive de configuration est l’écart progressif entre la configuration réelle d’un système et sa base de référence prévue. Dans Microsoft 365, Entra ID et Azure, la dérive se traduit par des politiques désactivées, des attributions de rôles ajoutées, des inscriptions d’applications créées avec de vastes portées et des règles NSG ouvertes. C’est ainsi que des locataires sécuritaires deviennent discrètement des locataires vulnérables.
Commencez gratuitement, sans carte de crédit Voir comment fonctionne la détection
Base de référence · comparaison continue · gravité · attribution · retour arrière
Définition
La dérive de configuration décrit la façon dont les systèmes s’éloignent peu à peu des paramètres prévus. Le concept est né des pratiques d’infrastructure en tant que code, mais il est maintenant essentiel dans les environnements infonuagiques, où la configuration constitue la frontière de sécurité et où les changements surviennent en continu.
Dans les environnements Microsoft 365, Entra ID et Azure, la dérive se manifeste par des politiques désactivées, des attributions de rôles modifiées, des inscriptions d’applications nouvellement créées avec des autorisations étendues, des profils Intune assouplis et des règles NSG ouvertes. Chaque changement peut sembler mineur, mais ensemble, ils dégradent la posture de sécurité.
Pourquoi c’est important
L’érosion de la posture de sécurité se produit en silence par la dérive de configuration. Une organisation dont la base de référence était durcie en 2024 peut constater que cette base est nettement compromise en 2026, non pas à cause d’une seule attaque, mais à cause de changements « temporaires » jamais annulés, de raccourcis administratifs et de modifications qui ont contourné les processus de gestion des changements.
Voici des modes de défaillance précis que produit la dérive :
- Échecs d’audit. Les auditeurs s’attendent à ce que la configuration du locataire corresponde aux bases de référence documentées. La dérive crée un écart qui entraîne des échecs aux normes CMMC 2.0, SOC 2, ISO 27001 et HIPAA.
- Compromission furtive. Les attaquants qui obtiennent un accès modifient souvent la configuration pour assurer leur persistance. Une détection de la dérive qui repère des événements comme « politique d’accès conditionnel désactivée par l’utilisateur X à 2 h du matin depuis une nouvelle adresse IP » révèle les attaques avant l’exécution des charges destructrices.
- Accumulation de privilèges. Des principaux de service ajoutés aux rôles Propriétaire pour une intégration ponctuelle, ou une élévation d’administrateur accordée temporairement. Sans détection active de la dérive, ces privilèges demeurent indéfiniment.
- Bases de référence clients incohérentes. Pour les FSG qui gèrent plusieurs clients, la posture de sécurité réelle de chaque locataire s’éloigne de l’état documenté à l’intégration. Multiplié par N clients, cela crée un problème de visibilité ingérable.
Comment fonctionne la détection de la dérive
- Base de référence. La configuration prévue est saisie soit explicitement (paramètres attendus documentés), soit implicitement (un instantané de l’état à l’intégration, considéré comme correct).
- Comparaison continue. L’état réel est saisi selon un calendrier et comparé à la base de référence ou aux instantanés précédents. Lavawall® emploie cette seconde approche, car il est difficile de maintenir des bases de référence pour de nombreux locataires.
- Évaluation de la gravité. Toutes les différences n’ont pas le même poids. La désactivation de l’accès conditionnel est critique; le renommage d’un emplacement nommé est informatif. Le détecteur doit trier automatiquement.
- Attribution. « Qui a changé ceci » importe autant que « ce qui a changé ». La détection de la dérive doit être corrélée avec les journaux d’audit.
- Correction. La détection exige une voie de correction. Détecter sans corriger ne fait que créer une anxiété plus efficace.
Comment Lavawall® vous aide avec la dérive de configuration
Le module de surveillance et de retour arrière des changements de configuration M365, Entra et Azure de Lavawall® est centré sur la détection de la dérive. Il prend des instantanés d’environ 25 types d’objets dans Microsoft 365, Entra ID, Intune et les abonnements Azure selon un calendrier configurable. Chaque instantané est comparé au précédent, et chaque différence est consignée et évaluée selon sa gravité.
Le flux des changements est l’endroit principal où voir la dérive. Les opérateurs consultent chaque changement avec son niveau de gravité, les champs modifiés, les différences exactes, l’utilisateur qui l’a fait (corrélé à partir des journaux d’audit), son adresse IP et l’emplacement géographique de cette adresse.
La correction de la dérive passe par des flux de retour arrière. Sélectionnez un changement (ou tous les changements d’un utilisateur, ou toute la dérive d’un objet jusqu’à un moment précis), générez un plan, approuvez-le, puis exécutez-le. Le mode d’essai à blanc présente un aperçu de chaque appel à l’API Graph avant l’exécution, ce qui distingue un véritable retour arrière d’une panne en puissance.
Questions fréquentes
- La dérive de configuration est-elle la même chose qu’une vulnérabilité de configuration?
- Non, mais elles sont liées. Une vulnérabilité de configuration est un paramètre actuellement mal configuré; la dérive est le processus par lequel on s’éloigne d’une base de référence sécurisée. La dérive peut produire des vulnérabilités, mais toutes les vulnérabilités ne résultent pas d’une dérive.
- La détection de la dérive exige-t-elle l’infrastructure en tant que code?
- Pas nécessairement. Lavawall® utilise une approche par instantanés : on saisit l’état d’aujourd’hui comme étant l’état correct, puis on signale tout changement. Pour les FSG qui n’ont pas la capacité d’ingénierie nécessaire pour tenir des bases de référence IaC explicites, cette approche est plus pratique.
- À quelle fréquence faut-il vérifier la dérive?
- Les types d’objets de gravité élevée (politiques d’accès conditionnel, attributions de rôles) justifient une interrogation continue à intervalles de 15 à 60 minutes. Les types de moindre gravité peuvent être vérifiés toutes les heures ou tous les jours. Lavawall® permet de configurer les intervalles par type d’objet.