Le problème.
Une équipe support qui gère plusieurs tenants Microsoft 365 reçoit chaque jour des incidents Defender, des mails signalés, des comptes peut-être compromis et des demandes de revue de configuration. Chaque enquête demande de passer d'un portail à l'autre (Defender, Entra, Exchange, Purview, Sentinel), d'écrire des requêtes KQL et de rédiger un compte rendu. Le but : diviser ce temps sans jamais perdre le contrôle ni inventer une conclusion.
Ce que j'ai construit.
01
Enquête
- Connexion multi-tenant en lecture seule (Graph, Exchange, Purview, Teams), jetons gardés en mémoire uniquement ; jusqu'à 5 tenants connectés en même temps.
- Chasse avancée Defender XDR : plus de 30 fiches méthodes (AiTM et vol de session MFA, consentement OAuth, exfiltration, rançongiciel, attaques AD, comptes de service, Copilot…).
- Enquête complète sur un compte en un appel : MFA, risque, rôles, connexions par IP, mails piégés, clics, règles de boîte, postes, alertes.
- Réputation des indicateurs : Defender Threat Intelligence, VirusTotal, AbuseIPDB, abuse.ch, GreyNoise, urlscan — sans jamais ouvrir le lien.
- Référentiel MITRE ATT&CK officiel téléchargé et vérifié : aucune technique inventée.
02
Audit de sécurité sur 3 niveaux
- Niveau 1 — relevé sans IA (0 jeton, 5 à 15 min) : 33 contrôles notés sur les listes complètes (MFA, accès conditionnel et exclusions, PIM, authentification héritée, code d'appareil, SMTP AUTH, transferts, DNS, Intune…).
- Niveau 2 — compléments appareils et données : conformité par système, LAPS, anneaux de mise à jour, DLP, étiquettes, rétention ; Excel des constats, annexe des preuves et diapos de restitution.
- Niveau 3 — licences récupérables, fonctions de sécurité payées mais non utilisées, gouvernance, projection du score, puis enquête de compromission par l'IA sur les pistes les plus graves.
- Évolution du score expliquée contrôle par contrôle d'un audit à l'autre.
03
Fiabilité : l'IA ne fait pas foi
- Des sentinelles en code signalent ce qui n'a pas pu être établi : page non lue, résultat au plafond, chiffre incohérent, écart brutal avec le relevé précédent.
- Échantillonnage contradictoire : jusqu'à 30 comptes par strate revérifiés un par un avec le simulateur d'accès conditionnel de Microsoft.
- Contre-audit par une seconde IA, et seule une lecture rejouée par le code peut corriger le relevé.
- Défauts injectés et rejeu des anciens relevés à chaque modification du code, pour mesurer le taux de détection.
04
Veille et revues
- Tri du matin, veille des nouveaux incidents Defender, chasse guidée par la menace (indicateurs Defender TI cherchés dans le tenant).
- Revues à la demande : accès à privilèges, cycle de vie des comptes, mails signalés, vulnérabilités exploitées (CISA KEV, EPSS, CERT-FR) croisées avec le parc Intune.
- Rapport mensuel pour la direction, en langage non technique ; rapports Word et PDF ; vidéo de synthèse d'un incident avec voix off.
L' architecture.
Analystequestion · ticket · mail joint
Agent VigilNode.js · outils MCP
Moteur IAClaude · ChatGPT · Gemini
Defender XDRchasse KQL
Entra IDrisques · connexions
Exchange · PurviewPowerShell
Sentinel · Azurejournaux longs
Contrôles en codesentinelles · rejeu
Compte renduverdict · MITRE · Word / PDF
Sécurité & garde-fous.
- Lecture seule par défaut ; toute action proposée (révocation de sessions, désactivation…) passe par une carte que l'analyste valide d'un clic.
- Le contenu d'un mail ou d'un ticket est traité comme une donnée, jamais comme une consigne (protection contre l'injection de prompt).
- PDF générés sans accès réseau : aucune image ni page d'un indicateur n'est chargée.
- Faux positifs mémorisés par tenant, toujours revérifiés contre la lecture du tenant.
Les résultats.
- Utilisé au quotidien pour le support et la sécurité de plusieurs tenants Microsoft 365.
- Plus de 400 commits en six semaines : l'outil évolue à chaque retour terrain.
- Une enquête qui prenait une heure entre plusieurs portails se fait en quelques minutes, avec un compte rendu prêt à transmettre.
