Une histoire vraie, statistiquement parlant
À 03h14, quelqu’un est devenu votre directeur financier.
Un jeton volé. Une machine que vous n’avez jamais vue. Quatre cents documents partis avant l’aube - et pas une seule alarme, parce que chaque événement, pris isolément, avait l’air légitime. Cette page rejoue la compromission que vos outils laisseraient passer. Faites défiler.
- 03h14 connexion
- 03h16 appareil inconnu
- 03h17 ASN d’hébergeur
- 03h20 référence brisée
- 06h05 rayon d’impact
- 06h12 accès coupé
Le rejeu
- 03h14
Un jeton valide se connecte
Aucune demande de mot de passe, aucun défi MFA, aucune alerte. L’identifiant est légitime - c’est tout le stratagème. Votre EDR n’a jamais rencontré cette machine, il n’a donc rien à dire.
- 03h16
La machine qui ne devrait pas exister
Jamais inscrite, jamais authentifiée - elle accède à des données sans aucune connexion observée. 1Security la classe comme appareil fantôme : reconstituée à partir d’activité réelle, identifiée par une empreinte stable, invisible pour Intune par construction.
- 03h17
L’origine qui ne colle pas
Un ASN d’hébergeur dans un pays où vous n’opérez pas. Les emplacements résolvent chaque action en pays, ville et réseau - le bruit des propres centres de données de Microsoft étant déjà écarté, cette origine veut donc vraiment dire quelque chose.
- 03h20
Quatre fois l’appétit habituel
L’activité sur les fichiers dépasse d’un coup la référence sur 30 jours propre à ce compte. Anomalies ouvre un épisode - références par utilisateur, épisodes plutôt qu’événements, et un seuil d’alerte que vous positionnez vous-même.
- 06h05
Le rayon d’impact, exactement
Quels 340 fichiers, quels deux comptes, quelles sessions, depuis où. Une attribution action par action sur trois ans de mémoire - l’investigation qui demandait 12 heures de recollage de journaux, faite en 10 minutes.
- 06h12
Coupé, préparé, documenté
Accès révoqué, liens expirés, chaque action consignée dans un registre d’examen. La révocation composite comprend le graphe des autorisations - octrois directs, liens, groupes, sites - et demande confirmation avant de toucher à ce qui affecterait d’autres personnes.
Épilogue
Vos outils ont tout vu. Ils n’avaient simplement aucune raison de s’en soucier.
Chaque événement de cette histoire figurait dans un journal quelque part. La connexion était valide, l’appareil était silencieux, l’origine n’était qu’une adresse IP que personne n’a résolue, et le volume de téléchargement n’était qu’un chiffre sans référence. La compromission n’était pas invisible - elle n’était pas assemblée.
Nous ne vendons pas la peur. Nous vendons la vue : les mêmes événements, assemblés en une seule histoire, tant qu’il est encore 03h20 et pas le lendemain matin.
Rejouez tout cela sur votre propre locataire.
Connectez-vous en lecture seule et voyez à quoi ont réellement ressemblé les 90 derniers jours - appareils fantômes, origines étranges, références brisées et tout le reste.