Le problème.
Une PME sous Microsoft 365 sans équipe sécurité ne voit pas passer une règle de transfert vers une boîte externe, une connexion à risque, un nouvel administrateur global ou une clé USB qui aspire des fichiers. Les signaux existent dans les journaux de Microsoft, mais personne ne les regarde.
Ce que j'ai construit.
01
Ingestion
- Traces de messagerie (Get-MessageTraceV2), journal d'audit unifié, connexions Entra ID et chasse avancée Defender for Endpoint (exfiltration USB).
- Cycle automatique toutes les 30 minutes pour chaque tenant, avec reprise là où le cycle précédent s'est arrêté.
02
Détection et visualisation
- 8 détections : force brute, nouvel administrateur global, MFA désactivée, connexion à risque, règle de transfert, consentement applicatif, réinitialisations en série, modification d'une règle de transport.
- 19 tableaux de bord : menaces messagerie, connexions, exfiltration et transferts, comptes compromis, accès privilégiés, partages externes, licences inutilisées…
- Alertes Teams, Slack ou e-mail et rapport de sécurité mensuel automatique.
03
Passage en plateforme
- Portail web FastAPI + PostgreSQL : comptes, organisations, tenants, état des synchronisations, ajout d'un tenant guidé.
- Isolation des données par client avec la sécurité au niveau du document d'OpenSearch (DLS) ; les tableaux de bord ne sont joignables qu'à travers le portail (proxy d'authentification nginx).
- Déploiement sur VPS Linux derrière un tunnel Cloudflare : aucun port exposé directement sur Internet ; sauvegarde quotidienne.
L' architecture.
Exchange Onlinetraces · audit unifié
Entra IDconnexions
Defender for Endpointchasse avancée
Ingestion PowerShelltoutes les 30 min
OpenSearchsécurité DLS par client
8 détectionsalertes Teams / mail
19 tableaux de bordvia portail FastAPI
Sécurité & garde-fous.
- Ports internes liés à 127.0.0.1, tout le trafic externe passe par Cloudflare.
- Un client ne voit que ses propres documents (filtrage côté moteur, pas seulement dans l'interface).
- Secrets hors du dépôt, sauvegarde quotidienne de la base et des fichiers critiques.
Les résultats.
- Près de 290 commits : du script de lab à une plateforme multi-organisation.
- Base de l'offre SOC managé pour PME, avec devis, contrat et parcours d'onboarding rédigés.
