EXERCICE 12 – Journaux

🧩 Contexte :

VersaTech Solutions veut être capable de comprendre pourquoi un accès a été autorisé ou bloqué, de vérifier l’effet d’une règle d’Accès conditionnel avant de l’activer et d’identifier des connexions ou utilisateurs à risque.

Dans cet exercice, vous allez :

• Consulter les journaux de connexion (Sign-in logs) pour un de vos comptes.
• Utiliser l’outil What‑If sur une stratégie d’Accès conditionnel.
• Consulter les connexions à risque et les utilisateurs à risque dans Identity Protection.

---

📝 Partie 1 : Analyser une connexion dans les journaux (Sign-in logs)

Connectez-vous sur : https://entra.microsoft.com

Dans le menu, allez dans : Identité > Microsoft Entra ID > Journaux de connexion (Sign-in logs).

Dans la barre de filtre en haut, configurez :

• Utilisateur : sélectionnez un de vos comptes utilisés dans les exercices (par exemple VOSINITIALES-DEV01 ou VOSINITIALES-CONS01).
• Période : conservez les dernières 24 heures.
• Cliquez sur Appliquer.

Dans la liste des connexions, cliquez sur une ligne avec un statut Réussite (Success) pour ouvrir les détails.

Dans les détails de la connexion, consultez :

• Informations de base (Basic info) : utilisateur, application, heure, adresse IP, emplacement.
• Détails d’authentification (Authentication details) : étapes d’authentification, MFA ou non, méthode utilisée.
• Accès conditionnel (Conditional Access) :
  – Quelles stratégies ont été appliquées.
  – Quelles stratégies ont été évaluées en mode Report-only.
  – Le résultat pour chaque stratégie (autorisé, bloqué, MFA requise, non appliquée).

Fermez la fenêtre de détails.

🔧Résultat :

Vous avez identifié, pour une connexion donnée, quelles stratégies d’Accès conditionnel ont été évaluées et quel a été le résultat de l’authentification.

📝 Partie 2 :  Utiliser l’outil What‑If sur une stratégie d’Accès conditionnel

1. Dans le menu, allez dans :
   Protection (Security) > Accès conditionnel (Conditional Access).
2. Dans la barre d’outils, cliquez sur What‑If.
3. Dans le panneau What‑If, configurez :
   • Utilisateur : par exemple VOSINITIALES-CONS01.
   • Application cloud : choisissez Office 365 ou une application que vous ciblez avec vos stratégies.
   • Emplacement, appareil, système d’exploitation : laissez les valeurs par défaut pour ce premier test, sauf indication contraire du formateur.
4. Cliquez sur le bouton What‑If pour lancer la simulation.
5. Dans la zone de résultats, observez :
   • La liste des stratégies d’Accès conditionnel qui s’appliqueraient à ce scénario.
   • Le résultat prévu pour chaque stratégie (par exemple : Require MFA, Block, Not applied).

Notez mentalement quelles stratégies impactent ce compte dans ce scénario

🔧Résultat :

Vous avez simulé l’application des stratégies d’Accès conditionnel pour un utilisateur donné sans modifier les règles ni provoquer de blocage réel.

📝 Partie 3 :  Consulter les connexions à risque et les utilisateurs à risque

1. Dans le menu, allez dans :
   Protection (Security) > Identity Protection.
2. Cliquez d’abord sur Connexions à risque (Risky sign-ins).
3. Dans la liste :
   • Filtrez éventuellement sur la période (par exemple dernières 48 heures).
   • Si des entrées existent, cliquez sur une connexion pour afficher les détails.
4. Dans les détails d’une connexion à risque, consultez :
   • Le niveau de risque de la connexion.
   • Le type de signal (par exemple déplacement impossible, IP anonyme, comportement inhabituel).
   • Les informations associées à la tentative (utilisateur, application, emplacement, adresse IP).
5. Revenez à la page Identity Protection et cliquez sur Utilisateurs à risque (Risky users).
6. Dans la liste des utilisateurs à risque :
   • Vérifiez si un de vos comptes de labo apparaît comme utilisateur à risque.
   • Si oui, ouvrez la fiche détaillée de l’utilisateur et regardez :
     – Le niveau de risque de l’utilisateur.
     – Les évènements de risque associés.
7. Ne remédiez pas aux risques dans cet exercice (pas de reset de mot de passe automatique), contentez-vous d’observer les informations.

📌À la fin de l’exercice :

• Vous avez ouvert au moins un évènement dans les journaux de connexion et identifié :
  – L’utilisateur concerné, l’application, l’IP, l’emplacement.
  – Les stratégies d’Accès conditionnel qui se sont appliquées ou qui ont été évaluées.
• Vous avez utilisé l’outil What‑If pour un utilisateur et une application et vu quelles stratégies seraient appliquées dans ce scénario.
• Vous avez consulté les sections Connexions à risque et Utilisateurs à risque dans Identity Protection et observé les informations de risque disponibles pour votre tenant.

🎬 La vidéo :

A venir