Risque de connexion et risque utilisateur dans Microsoft Entra ID : quelle est la différence ?

By Mirko Peters · 2026-10-26

Découvrez les différences essentielles entre le risque de connexion et le risque utilisateur dans Microsoft Entra ID Protection, et apprenez à configurer correctement l’accès conditionnel.

Automatically translated with AI from the original post. Read the English original

Le risque de connexion et le risque utilisateur dans Microsoft Entra ID Protection sont deux indicateurs de sécurité distincts. Le risque de connexion évalue si une seule tentative d’authentification est suspecte, tandis que le risque utilisateur détermine si les identifiants principaux d’un compte ont été compromis au fil de plusieurs sessions.

Points clés

• Le risque de connexion évalue la probabilité qu’une tentative d’authentification donnée ne provienne pas du titulaire légitime du compte.
• Le risque utilisateur évalue si les identifiants d’un compte ont été définitivement compromis ou exposés lors d’une fuite de données.
• Un risque de connexion non traité peut progressivement s’accumuler et conduire, avec le temps, à un statut d’utilisateur à haut risque.
• Un risque de connexion se résout généralement immédiatement grâce à une demande d’authentification multifacteur, alors qu’un risque utilisateur exige souvent un changement de mot de passe sécurisé.
• Microsoft Entra ID P2 est nécessaire pour tirer pleinement parti des stratégies fondées sur le risque, de l’historique détaillé des rapports et de la remédiation automatique.

Comprendre la distinction fondamentale

Lorsque les administrateurs déploient Microsoft Entra ID Protection pour la première fois, l’une des sources de confusion les plus fréquentes consiste à mélanger risque de connexion et risque utilisateur. Bien que ces deux indicateurs reposent sur le vaste réseau de renseignements sur les signaux de Microsoft, qui analyse chaque jour des milliards de milliards de signaux provenant de comptes grand public, de locataires d’entreprise et même des services Xbox, ils répondent à des questions fondamentalement différentes.

Un système de sécurité ne peut pas traiter une connexion inhabituelle unique de la même manière qu’un compte réellement volé. Si un administrateur applique un verrouillage généralisé du compte à chaque fois qu’un utilisateur se connecte depuis un emplacement ou un réseau inconnu, la productivité s’effondre. À l’inverse, traiter un compte véritablement compromis par une simple demande d’MFA temporaire laisse l’acteur malveillant persistant libre de se reconnecter une fois la demande expirée. Comprendre le fonctionnement indépendant de ces deux indicateurs, ainsi que leurs interactions, est essentiel pour concevoir une posture de sécurité cloud équilibrée.

Qu’est-ce que le risque de connexion ?

Le risque de connexion se concentre exclusivement sur un instant précis : celui où un utilisateur tente d’accéder à une ressource comme Microsoft Teams, SharePoint ou Outlook. Il porte uniquement sur le contexte de cette tentative de connexion individuelle. Le système vérifie si les propriétés de cette demande spécifique correspondent aux comportements habituels de l’utilisateur.

Microsoft Entra ID Protection évalue plusieurs variables lors des contrôles de connexion en temps réel. Il s’agit notamment des connexions provenant d’adresses IP anonymes, souvent utilisées pour masquer la localisation géographique, des déplacements impossibles, lorsque des connexions ont lieu depuis des régions géographiquement éloignées dans un délai irréaliste, ou des signes d’une attaque par pulvérisation de mot de passe, au cours de laquelle un attaquant teste un mot de passe courant sur des milliers de comptes d’entreprise simultanément. Les propriétés de connexion inhabituelles sont également évaluées dynamiquement : plus la demande semble atypique par rapport aux références historiques, plus le score de risque augmente.

Point crucial : un score de risque lié à la connexion ne concerne strictement que cette tentative. Si un utilisateur réussit une demande d’authentification multifactorielle renforcée lors de cette connexion précise, le risque associé à cette ouverture de session est immédiatement neutralisé, et l’utilisateur poursuit sa journée sans aucune pénalité durable sur l’état de son compte.

Qu’est-ce que le risque utilisateur ?

Le risque utilisateur, en revanche, ne porte pas sur une connexion isolée. Il concerne la santé et l’intégrité du compte lui-même. Il s’agit de savoir si les identifiants du compte sont tombés entre des mains non autorisées, ce qui signifie qu’un attaquant détient les clés permanentes du royaume et peut revenir compromettre les données quand bon lui semble.

Le principal facteur de risque utilisateur est l’apparition d’identifiants dans des fuites de données connues. Lorsque des noms d’utilisateur et des mots de passe sont divulgués sur le dark web ou collectés par des logiciels malveillants voleurs d’informations, les services de renseignement sur les menaces de Microsoft signalent immédiatement ces identifiants. D’autres indicateurs incluent une infrastructure d’acteurs malveillants vérifiée qui interagit directement avec le profil utilisateur, ou des schémas d’activité anormaux suggérant un accès non autorisé persistant.

Lorsqu’un compte est signalé pour risque utilisateur, la menace subsiste même après la déconnexion de l’utilisateur. Comme un attaquant peut avoir obtenu le mot de passe en dehors des sessions normales, il ne suffit généralement pas de demander à l’utilisateur une authentification multifactorielle pour résoudre entièrement un score de risque utilisateur élevé. La vulnérabilité sous-jacente doit être traitée.

Comment les niveaux de risque sont calculés

Le risque lié à la connexion comme le risque utilisateur se résument à trois niveaux de confiance clairs : faible, moyen et élevé. Ces niveaux représentent des estimations de la probabilité de menace issues du machine learning, et non des vérités binaires absolues.

Un risque élevé indique que les systèmes automatisés de Microsoft disposent de preuves solides et vérifiées de compromission, par exemple des identifiants divulgués correspondant à des bases de données du dark web ou des signatures d’adresses IP malveillantes vérifiées. Un risque moyen traduit des signes modérés d’activité suspecte, avec une confiance absolue moindre. Un risque faible signale un comportement anormal qui s’écarte des schémas habituels, mais ne présente pas d’indicateurs malveillants définitifs.

Un détail administratif important concerne la durée de vie de ces enregistrements. Les éléments à risque faible expirent automatiquement au bout d’environ six mois, afin de garder les tableaux de bord propres et gérables. En revanche, les éléments à risque moyen ou élevé n’expirent pas d’eux-mêmes. Ils restent dans le Centre d’administration jusqu’à ce qu’une stratégie automatisée ou un administrateur humain les examine explicitement, les corrige ou les ferme.

L’effet de cascade : comment ils s’articulent

Si le risque lié à la connexion et le risque utilisateur évaluent des choses différentes, ils sont étroitement liés dans les rapports et l’application des mesures. Un risque de connexion qui reste entièrement non traité ou non vérifié peut s’accumuler au fil du temps et finalement s’ajouter au score de risque utilisateur global.

Cela signifie qu’une personne peut apparaître comme un utilisateur à risque dans le tableau de bord Entra ID, même si ses dernières tentatives de connexion semblaient parfaitement normales. Le système prend en compte un historique cumulé de comportements suspects qui augmente la probabilité d’une compromission à long terme. Les administrateurs informatiques doivent examiner les deux rapports simultanément plutôt que de les traiter comme des silos isolés.

Automatiser la remédiation grâce à l’accès conditionnel

Pour éviter que les équipes de sécurité ne soient submergées d’alertes manuelles, l’accès conditionnel de Microsoft Entra fait le lien entre les scores de risque et l’application automatisée des mesures. Les organisations peuvent configurer des stratégies spécifiques qui se déclenchent lorsque les seuils de risque faible, moyen ou élevé sont franchis.

Pour le risque lié à la connexion, les stratégies peuvent imposer des actions telles que l’exigence d’une authentification multifactorielle, la création forcée d’une nouvelle session de connexion ou le blocage complet de l’accès. Lorsqu’un utilisateur réussit une demande d’authentification multifactorielle, le risque est immédiatement corrigé.

Pour le risque utilisateur, les stratégies exigent généralement un changement sécurisé du mot de passe ou une remédiation automatisée du risque. La force de cette remédiation réside dans son adaptabilité : si l’utilisateur se connecte avec un mot de passe traditionnel, le système exige un changement sécurisé du mot de passe et invalide immédiatement toutes les sessions existantes. Si l’utilisateur se connecte via des méthodes sans mot de passe, il met fin aux sessions actives et déclenche un nouveau flux d’authentification. Cette réponse automatisée réduit considérablement le volume de tickets adressés au support informatique tout en stoppant net les attaquants.

Conclusion

Maîtriser la distinction entre risque de connexion et risque utilisateur permet aux architectes cloud de concevoir des stratégies de sécurité précises et nuancées, qui protègent les données de l’entreprise sans imposer de friction excessive aux utilisateurs au quotidien. En laissant l’automatisation prendre en charge les tâches de remédiation courantes, les équipes informatiques peuvent concentrer leurs efforts sur l’investigation des menaces réelles. Pour approfondir le fonctionnement de ces couches de protection dans les environnements cloud modernes, écoutez l’épisode complet du podcast, qui détaille les bonnes pratiques de configuration, les exigences de licence et les stratégies d’administration en conditions réelles.

Questions fréquentes

Que se passe-t-il lorsqu’un risque de connexion est détecté ?

Lorsqu’un risque de connexion est détecté, l’accès conditionnel de Microsoft Entra peut automatiquement bloquer la tentative, autoriser l’accès ou demander à l’utilisateur de prouver son identité avec l’authentification multifacteur (MFA).

Combien de temps les événements à faible risque restent-ils dans les rapports d’Entra ID Protection ?

Les détections à faible risque sont automatiquement purgées et disparaissent des rapports après environ six mois, alors que les entrées à risque moyen et élevé restent présentes jusqu’à ce qu’un administrateur ou un mécanisme de remédiation automatique les supprime.

Les comptes invités peuvent-ils bénéficier de la remédiation automatique du risque utilisateur ?

Non, le flux complet de remédiation automatique du risque ne fonctionne pas pour les utilisateurs invités et externes, car Microsoft Entra ID ne révoque pas les sessions de ces comptes externes de la même manière que pour les membres internes.

Quelle est la différence entre « Confirmer comme sûre » et « Ignorer » dans les rapports d’administration ?

Confirmer comme sûre indique au système que l’alerte était un faux positif, causé par un comportement normal. Ignorer signifie que l’alerte correspondait techniquement à une détection véritable, mais qu’elle s’est révélée inoffensive dans ce contexte précis, par exemple lors d’un test de sécurité planifié.