Sécurité et Microsoft Teams

Microsoft Teams, dans le cadre des services Microsoft 365 et Office 365, suit toutes les meilleures pratiques et procédures en matière de sécurité, telles que la sécurité au niveau du service via la défense en profondeur, les contrôles client au sein du service, la sécurité renforcée et les meilleures pratiques opérationnelles. Pour plus d’informations, consultez le Centre de gestion de la confidentialité Microsoft.

Fiable par nature

Teams a été conçu et développé conformément au cycle de développement Microsoft Trustworthy Computing Security Development Lifecycle (SDL), décrit Microsoft Security Development Lifecycle (SDL). Pour créer un système de communications unifiées plus sûr, la première étape a consisté à concevoir des modèles de menace, puis à tester chaque nouvelle fonctionnalité durant sa conception. Plusieurs améliorations liées à la sécurité ont été intégrées au processus et aux pratiques de codage. Au moment de la création, des outils détectent les dépassements de mémoire tampon et d’autres risques de sécurité potentiels avant l’archivage du code dans le produit final. Il est impossible de concevoir contre toutes les menaces de sécurité inconnues. Aucun système ne peut garantir une sécurité totale. Toutefois, dans la mesure où le développement du produit utilise des règles de conception prenant en compte la sécurité dès le départ, les technologies de sécurité standard font partie intégrante de l’architecture de Teams.

Fiable par défaut

Par défaut, les communications réseau dans Teams sont chiffrées. En exigeant que tous les serveurs utilisent des certificats et à l’aide d’OAUTH, du TLS (Transport Layer Security) et du protocole SRTP (Secure Real-Time Transport Protocol), toutes les données Teams sont protégées sur le réseau.

Comment Teams gère les menaces de sécurité courantes

Cette section identifie les menaces les plus courantes à la sécurité du service SfBO et la manière dont Microsoft fait face à chaque menace.

Attaque par touche compromise

Teams utilise les fonctionnalités PKI du système d’exploitation Windows Server pour protéger les données clés utilisées pour le chiffrement des connexions TLS. Les clés utilisées pour le chiffrement multimédia sont échangées via des connexions TLS.

Attaque par déni de service réseau

Une attaque par déni de service distribué (DDOS) se produit lorsqu’une malveillante empêche l’utilisation et le fonctionnement normale du réseau par des utilisateurs valides. À l’aide d’une attaque par déni de service, l’agresseur peut :

• envoyer des données non valides à des applications et des services exécutés sur le réseau faisant l’objet de l’attaque, afin de perturber leur exécution normale ;
• envoyer un volume de trafic important, de manière à surcharger le système jusqu’à ce que celui-ci cesse de fonctionner ou nécessite beaucoup de temps pour répondre aux demandes légitimes ;
• masquer les signes d’attaque ;
• empêcher les utilisateurs d’accéder aux ressources réseau.

Teams atténue ces attaques en exécutant la protection réseau Azure DDOS et en limitant la bande passante des demandes des clients provenant des mêmes nœuds finaux, sous-réseaux et entités fédérées.

Protection contre l’écoute

L’écoute clandestine se produit quand une personne malveillante accède au chemin d’accès des données dans un réseau et peut surveiller et lire le trafic. L’écoute clandestine est également appelée « sniffing » ou « snooping ». Si le trafic consiste en du texte simple, l’intrus peut lire le trafic lorsqu’il accède au chemin d’accès des données. Par exemple, une attaque peut être lancée en contrôlant un routeur sur le chemin de données.

Teams utilise TLS mutuel (MTLS) et OAuth de serveur à serveur (S2S) (entre autres protocoles) pour les communications de serveur au sein de Microsoft 365 et d'Office 365, et utilise également TLS des clients vers le service. Tout le trafic sur le réseau est chiffré.

Ces méthodes de communication rendent l'écoute difficile, voire impossible, pendant la durée d'une seule conversation. TLS authentifie toutes les parties et chiffre tout le trafic. Bien que le système TLS n’empêche pas l’écoute clandestine, la personne malveillante ne peut pas lire le trafic si le chiffrement est rompu.

Le protocole TURN ( Traversal Using Relays around NAT ) est utilisé à des fins multimédias en temps réel. Le protocole TURN n’exige pas le chiffrement du trafic et les informations qu’il envoie sont protégées par l’intégrité du message. Bien qu’il soit ouvert à l’écoute clandestine, les informations qu’il envoie, c’est-à-dire les adresses IP et le port, peuvent être extraites directement en regardant les adresses source et de destination des paquets. Le service Teams s’assure que les données sont valides par la vérification de l’intégrité du message en utilisant la clé dérivée de quelques éléments comprenant un mot de passe TURN, qui n'est jamais envoyé en clair. SRTP est utilisé pour le trafic multimédia et est également chiffré.

Usurpation d’identité (usurpation d’adresse IP)

L’usurpation d’adresse se produit lorsque l’utilisateur malveillant identifie, puis utilise l’adresse IP d’un composant réseau, d’un ordinateur ou d’un composant réseau sans être autorisé à le faire. Une attaque réussie permet à l’agresseur de fonctionner comme si l’utilisateur malveillant était l’entité identifiée normalement par l’adresse IP.

TLS authentifie toutes les parties et chiffre tout le trafic. L’utilisation de TLS empêche les agresseurs d’effectuer l’usurpation d’adresse IP sur une connexion spécifique (par exemple, des connexions Mutual TLS). Une personne malveillante peut toujours usurper l’adresse du serveur DNS (Domain Name System). Toutefois, étant donné que l’authentification dans Teams est effectuée avec des certificats, une personne malveillante n’a pas d’informations valides requises pour usurper l’identité de l’une des parties dans la communication.

Attaque par intercepteur

Une attaque de l’intercepteur se produit lorsqu’une personne malveillante redirige les communications entre deux utilisateurs via son propre ordinateur, à l’insu des deux participants. L’intrus peut surveiller et lire le trafic avant de l’acheminer vers le destinataire concerné. Chacun des utilisateurs envoie et reçoit du trafic vers/de l’intrus, alors qu’il pense communiquer avec l’utilisateur concerné uniquement. Ce scénario peut se produire si un utilisateur malveillant peut modifier Active Directory Domain Services pour ajouter son serveur en tant que serveur approuvé ou modifier la configuration DNS ou utiliser d’autres moyens pour que les clients se connectent via la personne malveillante lorsqu’elle arrive sur le serveur.

Les attaques d’homme-intermédiaire sur le trafic multimédia entre deux points de terminaison qui participent dans l’audio, la vidéo et le partage d’applications dans Teams sont évitées en utilisant Secure Real-Time Transport Protocol(SRTP) pour chiffrer le flux de données multimédia. Les clés cryptographiques sont négociées entre les deux points de terminaison sur un protocole de signalisation propriétaire (Team Calling Protocol) qui utilise TLS 1.2 et AES-256 (en mode GCM) canal UDP/TCP chiffré.

Attaque par relecture en temps réel du protocole RTP

Une attaque par relecture se produit lorsqu’une transmission multimédia valide entre deux correspondants est interceptée, puis retransmise à des fins malveillantes. Teams utilise le protocole SRTP avec un protocole de signalisation sécurisé qui protège les transmissions contre les attaques par relecture en permettant au destinataire de conserver un index des paquets RTP déjà reçus et de comparer chaque nouveau paquet avec les paquets déjà répertoriés dans l’index.

SPIM

Il s’agit de messages instantanés commerciaux non sollicités ou de demandes d’abonnement de présence, tels que le courrier indésirable, mais sous forme de message instantané. Bien qu’il ne soit pas de lui-même une compromission du réseau, il est pour le moins gênant, peut réduire la disponibilité et la production des ressources et peut conduire à une compromission du réseau. Par exemple, les utilisateurs s'envoyant des messages instantanés indésirables lors de l’envoi de demandes. Les utilisateurs peuvent se bloquer pour empêcher l’attaque par l’envoi de messages instantanés indésirables, mais avec la fédération, si un acteur malveillant établit une attaque par message instantanée indésirable coordonnée, elle peut être difficile à surmonter sauf si vous désactivez la fédération du partenaire.

Virus et vers

Un virus est une unité de code dont l’objectif est de reproduire d’autres unités de code similaires. Pour fonctionner, un virus a besoin d’un hôte, par exemple un fichier, un e-mail ou un programme. Tel qu’un virus, un vers est une unité de code qui reproduit d’autres unités de code similaires, mais qui à la différence d’un virus n’a pas besoin d’hôte. Les virus et les vers apparaissent principalement lors des transferts de fichiers entre clients ou lorsque des URL sont envoyées par d’autres utilisateurs. Si vous avez un virus sur votre ordinateur, il peut, par exemple, utiliser votre identité et envoyer des messages instantanés en votre nom. Les meilleures pratiques standard de sécurité client, telles que la recherche périodique de virus, peuvent atténuer ce problème.

Tentatives d’hameçonnage

Les attaques par hameçonnage dans Teams sont coûteuses en argent et en toute tranquillité d’esprit. Ces attaques fonctionnent par le moyen de tromper les utilisateurs pour révéler des informations telles que des mots de passe, des codes, des numéros de crédit carte et d’autres informations critiques, par le biais de faux liens de site web et de pièces jointes qui semblent inoffensifs, mais peuvent télécharger des logiciels dangereux en cliquant. Étant donné que la plupart de ces attaques ciblent des utilisateurs, même des cibles de grande valeur avec beaucoup d’accès, elles peuvent être omniprésentes. Toutefois, il existe des stratégies anti-hameçonnage pour les administrateurs et les utilisateurs Teams.

• Il existe des bonnes pratiques de sécurité pour Teams que tout le monde doit connaître et utiliser

  • Les utilisateurs peuvent apprendre à repérer et à se protéger contre le hameçonnage

• Si un utilisateur de votre organization reçu un message d’hameçonnage d’un expéditeur externe, les administrateurs de locataire peuvent supprimer ce message de la vue de l’utilisateur à l’aide de l’API de graphe « RemoveAllAccessForUser ».

• Microsoft Defender pour Office 365 sécurise également Teams

  • La simulation d’attaque aide les administrateurs à former les utilisateurs Teams et à protéger les personnes vulnérables
  • Et des rapports de messages suspects sont disponibles pour les utilisateurs De Teams

Infrastructure de sécurité pour Teams

Teams approuve les idées de sécurité telles que Zero Trust et les principes de l’accès au Privilège minimum. Cette section fournit une vue d’ensemble des éléments fondamentaux qui constituent une infrastructure de sécurité pour Microsoft Teams.

Les principaux éléments sont les suivants :

• id Microsoft Entra, qui fournit un référentiel principal approuvé unique pour les comptes d’utilisateur. Les informations de profil utilisateur sont stockées dans Microsoft Entra’ID par le biais des actions de Microsoft Graph.
  • Plusieurs jetons peuvent être émis que vous pouvez voir si vous suivez votre trafic réseau. Y compris les jetons Skype que vous pouvez voir dans les traces tout en consultant le trafic audio et les conversations.
• Transport Layer Security (TLS) chiffre le canal en mouvement. L’authentification s’effectue à l’aide du protocole TLS mutuel (MTLS) basé sur des certificats ou de l’authentification de service à service basée sur l’ID de Microsoft Entra.
• Les flux de données audio, vidéo et de partage d’applications point à point sont chiffrés et l’intégrité est vérifiée à l’aide du protocole SRTP (Secure Real-Time Transport Protocol).
• Vous pouvez également voir le trafic OAuth dans votre trace, en particulier autour des autorisations de négociation, lorsque vous basculez entre les onglets dans Teams, par exemple, pour passer d’une publication à un fichier. Pour obtenir un exemple de flux OAuth pour les onglets, consultez ce document.
• Les équipes utilisent des protocoles standard pour l’authentification des utilisateurs, autant que possible.

Les sections suivantes décrivent certaines de ces technologies de base.

ID Microsoft Entra

Microsoft Entra ID fonctionne comme le service d’annuaire pour Microsoft 365 et Office 365. Il stocke toutes les informations de l'annuaire des utilisateurs et des applications, ainsi que les affectations de stratégie.

Chiffrement du trafic dans Teams

Ce tableau présente les principaux types de trafic et le protocole utilisé pour le chiffrement.

Points de distribution de liste de révocation de certificats (CRL)

Le trafic Microsoft 365 et Office 365 a lieu sur les canaux chiffrés TLS/HTTPs, ce qui signifie que les certificats sont utilisés pour le chiffrement de tout le trafic. Teams exige que tous les certificats de serveur contiennent un ou plusieurs points de distribution de CRL. Les points de distribution de CRL sont des emplacements à partir desquels les listes de révocation de certificats peuvent être téléchargés afin de vérifier que le certificat n’a pas été révoqué depuis l’émission du certificat et qu’il est toujours dans la période de validité. Un point de distribution CRL est indiqué dans les propriétés du certificat sous forme d’URL et il s’agit d’une adresse HTTP sécurisée. Le service Teams vérifie la liste de révocation de certificats avec chaque authentification de certificat.

Utilisation avancée de la clé :

Tous les composants du service Teams requièrent que tous les certificats de serveur prennent en charge l’Utilisation améliorée de la clé améliorée (EKU) pour l’authentification du serveur. La configuration du champ de l’EKU pour l’authentification du serveur signifie que le certificat est valide pour l’authentification des serveurs. Cette EKU est essentielle pour MTLS.

TLS pour Teams

Les données Teams sont chiffrées en transit et au repos dans services Microsoft, entre les services et entre les clients et les services. Microsoft utilise les technologies standard du secteur telles que TLS et SRTP pour chiffrer toutes les données en transit. Les données en transit incluent les messages, les fichiers, les réunions et d’autres contenus. Les données d’entreprise sont également chiffrées au repos dans les centres de données Microsoft de sorte que les organisations peuvent déchiffrer le contenu si nécessaire afin de respecter leurs obligations en matière de sécurité et de conformité via des méthodes telles que eDiscovery. Pour plus d’informations sur le chiffrement dans Microsoft 365, voir Chiffrement dans Microsoft 365

Les flux de données TCP sont chiffrés à l’aide de TLS, et les protocoles OAuth MTLS et service à service fournissent des communications authentifiées de point de terminaison entre les services, les systèmes et les clients. Teams utilise ces deux protocoles pour créer le réseau des serveurs approuvés et vérifier que toutes les communications sont chiffrées sur ce réseau.

Sur une connexion TLS, le client demande un certificat valide au serveur. Pour être valide, le certificat doit avoir été émis par une autorité de certification qui est également approuvée par le client et le nom DNS du serveur doit correspondre au nom DNS dans le certificat. Si le certificat est valide, le client utilise la clé publique du certificat pour chiffrer les clés de chiffrement symétriques à utiliser pour la communication, de sorte que seul le propriétaire d’origine du certificat peut utiliser sa clé privée pour déchiffrer le contenu de la communication. La connexion résultante est approuvée et à partir de ce point n’est pas contestée par d’autres serveurs ou clients approuvés.

L’utilisation de TLS permet d’empêcher les écoutes clandestines et les attaques de l’intercepteur. Dans le cas d’une attaque d’intercepteur, l’attaquant réachemine les communications entre deux entités de réseau via l’ordinateur de l’attaquant sans que l’autre partie n’en ait connaissance. La spécification des serveurs approuvés de TLS et de Teams atténue les risques d’attaque de l’intercepteur sur la couche d’application en utilisant le chiffrement qui est coordonné à l’aide du chiffrement à clé publique entre les deux points de terminaison. Un attaquant doit avoir un certificat valide et approuvé avec la clé privée correspondante et émis au nom du service vers lequel le client communique pour déchiffrer la communication.

Chiffrement dans Teams et Microsoft 365

Il existe plusieurs couches de chiffrement au travail au sein de Microsoft 365. Le chiffrement dans Teams fonctionne avec le reste du chiffrement Microsoft 365 pour protéger le contenu de votre organisation. Cet article décrit les technologies de chiffrement spécifiques à Teams. Pour une vue d’ensemble du chiffrement dans Microsoft 365, voir Chiffrement dans Microsoft 365.

Chiffrement multimédia

Les flux d’appels dans Teams sont basés sur l’offre Protocole SDP RFC 8866 et le modèle de réponse sur HTTPS. Une fois que l’appelant accepte un appel entrant, l’appelant et l’appelé conviennent des paramètres de la session.

Le trafic de médias est chiffré par et circule entre l’appelant et l’appelé à l’aide du protocole Secure RTP (SRTP), un profil du protocole RTP (Real-time Transport Protocol) qui fournit une confidentialité, une authentification et une protection contre les attaques par relecture vers le trafic RTP. Le SRTP utilise une clé de session générée par un générateur de nombres aléatoires sécurisé et échangé à l’aide du canal TLS de signalisation. Dans la plupart des cas, le trafic multimédia client à client est négocié via la signalisation de la connexion client au serveur et chiffré à l’aide du SRTP lorsque vous passez directement d’un client à un autre.

Dans les flux d’appels normaux, la négociation de la clé de chiffrement intervient sur le canal de signalisation d’appel. Dans un appel chiffré de bout en bout, le flux de signalisation est identique à un appel Teams individuel. Toutefois, Teams utilise DTLS pour dériver une clé de chiffrement basée sur des certificats générés sur les deux points de terminaison du client. Étant donné que DTLS dérive la clé en fonction des certificats client, la clé est opaque pour Microsoft. Une fois que les deux clients s’accordent sur la clé, les médias commencent à circuler à l’aide de cette clé de chiffrement négociée par DTLS sur le SRTP.

Pour vous protéger contre une attaque par intercepteur entre l’appelant et l’appelé, Teams dérive un code de sécurité à 20 chiffres des empreintes numériques SHA-256 des certificats d’appel du point de terminaison de l’appelant et de l’appelé. L’appelant et l’appelé peuvent valider les codes de sécurité à 20 chiffres en les lisant entre eux pour voir s’ils correspondent. Si les codes ne correspondent pas, la connexion entre l’appelant et l’appelé a été interceptée par une attaque par intercepteur. Si l’appel a été compromis, les utilisateurs peuvent mettre fin à l’appel manuellement.

Teams utilise un jeton basé sur les informations d’identification pour sécuriser l’accès aux relais multimédias à la main. Les relais de contenu échangent le jeton via un canal sécurisé TLS.

Norme FIPS (Federal Information Processing Standard)

Teams utilise des algorithmes compatibles FIPS pour les échanges de clés de chiffrement. Pour plus d’informations sur l’implémentation de la norme FIPS, consultez la Publication 140-2 de la norme FIPS (Federal Information Processing Standard).

Authentification utilisateur et client

Un utilisateur approuvé est un utilisateur dont les informations d’identification ont été authentifiées par Microsoft Entra ID dans Microsoft 365 ou Office 365.

L’authentification consiste à fournir des informations d’identification d’utilisateur à un serveur approuvé ou service. Teams utilise les protocoles d’authentification suivants, en fonction du statut et de l’emplacement de l’utilisateur.

• L’authentification moderne (AM) est l’implémentation Microsoft d’OAUTH 2.0 pour la communication client à serveur. Elle active les fonctionnalités de sécurité telles que l’authentification multifacteur et l’accès conditionnel. Pour utiliser l’authentification moderne, le client en ligne et les clients doivent avoir l’autorisation pour celle-ci. Les clients Teams sur PC et appareils mobiles, ainsi que le client web prennent tous en charge l’authentification moderne.

L’authentification Teams s’effectue via Microsoft Entra ID et OAuth. Le processus d’authentification peut être simplifié pour :

• Émission de jeton de > connexion de l’utilisateur lors de > la prochaine demande, utilisez le jeton émis.

Les demandes du client au serveur sont authentifiées et autorisées par Microsoft Entra ID avec l’utilisation d’OAuth. Les utilisateurs disposant d’informations d’identification valides émises par un partenaire fédéré sont approuvés et passent par le même processus que les utilisateurs natifs. Toutefois, des restrictions complémentaires peuvent être mises en place par les administrateurs.

Pour l’authentification multimédias, les protocoles de glace et de tournage utilisent également la stimulation Digest, comme décrit dans l’IETF TURN RFC.

Windows PowerShell et outils de gestion Teams

Dans Teams, les administrateurs informatiques peuvent gérer leur service via le centre d’administration Microsoft 365 ou à l’aide de client Remote PowerShell (TRPS). Les administrateurs de client utilisent l’authentification moderne pour s’authentifier auprès de TRPS.

Configuration de l’accès Teams dans les limites de votre Internet

Pour que Teams fonctionne correctement, par exemple, pour que les utilisateurs puissent participer à des réunions, les clients doivent configurer leur accès Internet de sorte que le trafic UDP et TCP sortant vers les services dans le cloud Teams soit autorisé. Pour plus d’informations, consultez URL et plages d’adresses IP Office 365.

UDP 3478-3481 et TCP 443

Les ports UDP 3478-3481 et TCP 443 sont utilisés par les clients pour demander un service pour les visuels audio. Un client utilise ces deux ports pour allouer les ports UDP et TCP respectivement pour activer ces flux multimédias. Les flux de médias sur ces ports sont protégés par une clé qui est échangée via un canal de signalisation sécurisé TLS.

Protections de la fédération pour Teams

La Fédération offre à votre organisation la possibilité de communiquer avec d’autres organisations afin de partager la messagerie instantanée et la présence. La Fédération de Teams est activée par défaut. Toutefois, les administrateurs des locataires ont la possibilité de contrôler la fédération via le Centre d'administration Microsoft 365.

Répondre aux menaces pour les réunions Teams

Les utilisateurs d’entreprise peuvent créer et rejoindre des réunions en temps réel, et inviter des utilisateurs externes qui n’ont pas d’ID Microsoft Entra, microsoft 365 ou Office 365 compte à participer à ces réunions.

Permettre à des utilisateurs externes de participer à des réunions Teams peut être utile, mais présente également des risques de sécurité. Pour faire face à ces risques, Teams utilise les protections suivantes :

Avant la réunion :

1. Déterminez les types de participants externes qui seront autorisés à participer à vos réunions :

   • L’accès anonyme permet la participation à une réunion des (1) utilisateurs non authentifiés qui ne sont pas connectés à Team (généralement via le lien de réunion dans le navigateur) et (2) des utilisateurs authentifiés à partir de locataires externes qui n’ont pas d’accès externe établi avec l’organisateur et votre organisation.

   • Grâce à l’accès externe , vous pouvez décider quels utilisateurs et organisations externes authentifiés pourront rejoindre vos réunions avec plus de privilèges. Ces utilisateurs sont considérés comme appartenant à des organisations approuvées.

   • L’accès invité vous permet de créer des comptes invités pour que des personnes extérieures à votre organisation aient accès aux équipes, aux documents dans les canaux, aux ressources, aux conversations et aux applications tout en conservant le contrôle de vos données d’entreprise.

2. Décidez qui peut participer directement à la réunion et qui doit attendre dans la salle d’attente pour être admis par l’organisateur, le co-organisateur ou les utilisateurs authentifiés avec le rôle de réunion Présentateur :

   • Contrôles du Administration informatique
   • Contrôles de l’organisateur

3. Déterminez si les utilisateurs anonymes et les appelants rendez-vous peuvent commencer une réunion avant que les utilisateurs de votre organisation, les utilisateurs de l’organisation approuvée et les utilisateurs disposant d’un accès invité rejoignent l’appel.

Pendant la réunion :

1. Attribuez des rôles de réunion de participants spécifiques pour déterminer les privilèges de contrôle de réunion. Les participants à la réunion se répartissent en groupes, chacun avec ses propres privilèges et restrictions, décrits ici.

Modifiez pendant l’exécution de la réunion :

• Vous pouvez modifier les options de réunion pendant qu’une réunion est en cours. La modification, lorsqu’elle est enregistrée, sera perceptible dans la réunion en cours d’exécution en quelques secondes. Elle affecte également toutes les occurrences futures de la réunion. Pour plus d’informations sur l’attribution de ces rôles, consultez cet article.

Voir aussi

12 premières tâches pour les équipes de sécurité qui prennent en charge le travail à domicile

Centre de gestion de la confidentialité Microsoft

Optimiser la connectivité de Microsoft 365 ou Office 365 pour les utilisateurs à distance à l’aide de la segmentation de tunnel VPN

• Implémentation de la segmentation de tunnel VPN