Pendant 14 jours, les journaux de sécurité de plusieurs produits cloud Microsoft, Sentinel, Defender XDR, Purview et Entra ID, ont tout simplement cessé d'être collectés correctement. Pas d'attaque, pas d'acteur malveillant : une erreur de développement logicielle, découverte par hasard plutôt que par une supervision proactive. Microsoft a reconnu ne pas avoir été en mesure de prévenir cet incident.

Ce que signifie réellement « perdre ses journaux »

Un journal de sécurité (log) n'est pas un simple historique : c'est la matière première de toute détection et de toute investigation. Sans lui, il devient impossible d'identifier une activité suspecte survenue durant la période concernée, que cette activité ait existé ou non. Pendant deux semaines, les équipes s'appuyant exclusivement sur ces outils opéraient donc avec un angle mort total, sans même en avoir conscience.

Le point le plus instructif de cet incident n'est pas technique, il est stratégique : même un fournisseur disposant de moyens de sécurité considérables peut perdre la visibilité sur ses propres journaux, sans alerte immédiate. S'appuyer uniquement sur les outils natifs d'un fournisseur cloud, aussi robustes soient-ils, ne dispense jamais d'un contrôle indépendant.

Ce que nous recommandons

  • Réaliser un audit de visibilité sur les journaux réellement collectés dans votre environnement
  • Vérifier que ces journaux sont complets, redondants et effectivement exploitables en cas d'incident
  • Définir une politique de conservation des journaux dimensionnée pour couvrir une investigation a posteriori
  • Confirmer, contractuellement si nécessaire, l'accès de votre fournisseur cloud aux journaux en cas de panne de collecte
  • Construire un plan de réponse à incident adapté à la maturité réelle de votre organisation, pas seulement à celle affichée par vos outils

La conclusion à en tirer n'est pas de se méfier de Microsoft en particulier, mais d'intégrer un principe simple à votre stratégie : aucun fournisseur, aussi important soit-il, ne remplace un audit indépendant et une redondance de vos propres mécanismes de détection.