Microsoft Azure - Sécuriser une infrastructure Cloud

Objectif : Sécuriser les identités, appliquer le Zero Trust et déployer la protection des accès dans Microsoft Entra ID.

• Le modèle Zero Trust appliqué à Azure : « Vérifier explicitement, utiliser le moindre privilège, supposer la compromission ».
• Sécurisation des accès d'administration : Entra ID Protection (analyse des risques de connexion et d'utilisateur).
• Privileged Identity Management (PIM) : élévation de privilèges Just-In-Time et approbations pour les rôles d'administration.

Atelier pratique : Configuration de règles d'accès conditionnel Zero Trust et activation de PIM sur les rôles d'administration Azure.

Cas métier : Protection des accès d'administration d'un grand compte Azure - Élimination des privilèges permanents via PIM.

Compétence acquise : Sécuriser les identités d'administration Azure via Entra ID PIM et l'accès conditionnel.

Livrable : Le jeu de règles d'accès conditionnel et de configuration PIM d'entreprise.

Objectif : Supprimer les mots de passe dans le code en utilisant les identités managées Azure.

• Principes des identités de service : enregistrements d'applications (App Registrations), Principal de service (Service Principal).
• Identités managées Azure (Managed Identities) : System-Assigned vs User-Assigned.
• Sécurisation des interactions inter-services Azure sans stockage d'identifiants dans le code.

Atelier pratique : Configuration d'une identité managée pour une VM Azure permettant d'accéder à un compte de stockage sans aucun mot de passe.

Cas métier : Sécurisation du code d'une application Web hébergée sur Azure App Service - Remplacement des clés d'accès par une Managed Identity.

Compétence acquise : Supprimer les secrets codés en dur via le déploiement des identités managées Azure.

Livrable : Le guide d'implémentation des Identités Managées Azure.

Objectif : Étanchéifier les réseaux virtuels Azure et éliminer les adresses IP publiques d'administration.

• Hardening des Groupes de Sécurité Réseau (NSG) et des Application Security Groups (ASG).
• Administration à distance sécurisée : suppression des IP publiques et déploiement d'Azure Bastion.
• Sécurisation des accès aux services PaaS : Private Endpoints et Service Endpoints.

Atelier pratique : Déploiement d'Azure Bastion et accès RDP/SSH sécurisé en HTTPS à des VMs isolées sans IP publique.

Cas métier : Suppression de l'exposition Internet des serveurs d'administration - Déploiement d'Azure Bastion.

Compétence acquise : Sécuriser l'accès réseau et administrer les VMs via Azure Bastion et Private Endpoints.

Livrable : L'architecture réseau d'administration sécurisée Azure Bastion.

Objectif : Concevoir une infrastructure réseau Hub-and-Spoke d'entreprise avec pare-feu centralisé.

• Architecture réseau Hub-and-Spoke sous Azure et routage forcé via UDR (User Defined Routes).
• Déploiement d'Azure Firewall (Standard / Premium) : politiques d'application, de réseau et d'inspection IDPS.
• Protection Web avec Azure Web Application Firewall (WAF) sur Application Gateway / Front Door.

Atelier pratique : Configuration d'un Azure Firewall central filtrant tout le trafic sortant des VNets Spoke.

Cas métier : Filtrage centralisé des flux Internet d'une entreprise multisite sur Azure - Configuration de l'Azure Firewall.

Compétence acquise : Concevoir et déployer une architecture Hub-and-Spoke sécurisée avec Azure Firewall et WAF.

Livrable : Le dossier d'architecture réseau Hub-and-Spoke Azure Firewall.

Objectif : Centraliser la gestion des secrets et chiffrer les disques et bases de données Azure.

• Prise en main d'Azure Key Vault : gestion des secrets, clés de chiffrement et certificats TLS.
• Politiques d'accès Key Vault vs Contrôle d'accès RBAC Azure pour Key Vault.
• Chiffrement des données : Azure Disk Encryption (ADE), Transparent Data Encryption (TDE) pour SQL Database et chiffrement du stockage S3/Blob (SSE).

Atelier pratique : Stockage d'un secret sous Key Vault, configuration de l'accès RBAC pour une application et chiffrement d'un disque de VM.

Cas métier : Mise en conformité du stockage des clés de chiffrement bancaires - Déploiement d'Azure Key Vault avec HSM.

Compétence acquise : Centraliser les secrets sous Azure Key Vault et chiffrer les données au repos.

Livrable : La politique de gestion des secrets Azure Key Vault.

Objectif : Superviser le score de sécurité et protéger les charges de travail avec Defender for Cloud.

• Présentation de Microsoft Defender for Cloud (ex-Azure Security Center) : Cloud Security Posture Management (CSPM).
• Analyse du score de sécurité (Secure Score) et application des recommandations de sécurité.
• Cloud Workload Protection (CWPP) : protection des VMs (Defender for Servers), des conteneurs (Defender for Containers) et des bases de données (Defender for SQL).

Atelier pratique : Audit du Secure Score d'un abonnement et remédiation automatisée d'une non-conformité réseau.

Cas métier : Évaluation de la conformité du Cloud d'entreprise aux exigences CIS Microsoft Azure Benchmark - Utilisation de Defender for Cloud.

Compétence acquise : Piloter la posture de sécurité d'un abonnement Azure avec Microsoft Defender for Cloud.

Livrable : Le rapport de posture de sécurité et le plan de remédiation Secure Score.

Objectif : Déployer le SIEM Cloud Microsoft Sentinel et écrire des requêtes d'investigation en langage KQL.

• Architecture de Microsoft Sentinel : connecteurs de données, espace de travail Log Analytics et rétention des journaux.
• Langage de requête KQL (Kusto Query Language) : filtrage, agrégation, jointures et détection d'anomalies.
• Règles d'alerte de sécurité (Analytics Rules) et gestion des incidents de sécurité.

Atelier pratique : Connexion des logs Entra ID à Microsoft Sentinel et écriture d'une requête KQL détectant les connexions depuis des IP suspectes.

Cas métier : Investigation à la suite d'une alerte d'usurpation de compte administrateur - Recherche d'incidents sous Sentinel avec KQL.

Compétence acquise : Collecter les journaux de sécurité et analyser les incidents sous Microsoft Sentinel avec KQL.

Livrable : La bibliothèque de requêtes KQL d'investigation de sécurité.

Objectif : Automatiser la réponse aux incidents avec des Playbooks Sentinel et réussir l'examen blanc AZ-500.

• Réponse automatisée SOAR : création de Playbooks Sentinel basés sur Azure Logic Apps (blocage d'utilisateur, isolation de VM).
• Synthèse des compétences clés du référentiel d'examen officiel Microsoft AZ-500.
• Examen blanc et correction commentée des cas pratiques de certification.

Atelier pratique : Déploiement d'un Playbook Sentinel isolant automatiquement une machine virtuelle en cas d'alerte de malware.

Cas métier : Automatisation de la réaction du SOC face aux cyberattaques Cloud - Déploiement du SOAR Sentinel.

Compétence acquise : Automatiser la réponse aux incidents avec Microsoft Sentinel et valider sa préparation AZ-500.

Livrable : Le Playbook SOAR de réponse automatique et le rapport d'examen blanc AZ-500.