Often underestimated by internal technical and defence teams, and frequently over-privileged, App Registrations can enable powerful pivots following a cloud environment compromise.

Among the most exposed services, Microsoft SharePoint stands out. Present on most M365 tenants and often configured permissively, it provides access to company files via SharePoint and to collaborators files through OneDrive.

This article shares several observations from Red Team operations: how a simple App Registration, loosely or closely linked to SharePoint, can offer broad access to your on-premises IT system, and how exploiting this weak link can render your Tiering segmentation merely symbolic for an attacker.

Introduction to App Registrations

In Microsoft Azure, registering an application (App Registration) in Entra ID allows you to create an identity for that application, along with an associated Enterprise Application. The App Registration defines the application (identifiers, keys, permissions), while the Enterprise Application represents its instance within the tenant, where access policies are applied (such as conditional access policies or assigned roles).

An App Registration contains the necessary information to authenticate to Entra ID and obtain access tokens to interact with Microsoft 365 services via APIs like Microsoft Graph. Depending on the permissions granted – delegated (scopes) or application-level (roles) – it can read or modify resources such as emails, files, users, or groups, as long as the Enterprise Application is instantiated in the tenant.

Typically used to register applications designed to automate business processes (user management, SharePoint file cleanup, O365 activity monitoring, etc.), App Registrations represent a largely unmonitored but high-impact surface.

Indeed, the secrets of App Registrations (certificates, client secrets) are often stored insecurely – in code repositories, workstations, or servers. These secrets allow an application to impersonate itself with potentially elevated privileges (as listed in the App Registration), resulting in stealthy persistence across corporate resources.

For an attacker, compromising an App Registration means acquiring an Entra ID application identity with direct access to certain corporate data – without needing to pivot through interactive user accounts or MFA. While security measures around user accounts are increasing (mandatory MFA, conditional access requiring trusted IPs or devices), these protections are often not yet applied to applications.

Connecting as an App Registration

Azure applications can authenticate with Entra ID using application secrets generated in the associated App Registration:

• AppId + App Secret: This authentication method is equivalent to using a username and password and is subject to the same limitations: it is difficult to ensure their protection, as they can easily be stored insecurely, exposed in command histories, etc.

• AppId + Certificate: This method is more secure, as security solutions installed on machines effectively protect installed certificates. However, it is generally less used due to operational constraints, such as the need to install the certificate on each machine that uses the account.

The application’s credentials and secrets allow it to retrieve an OAuth2 access token, enabling authentication and API calls to Microsoft services (Graph, SharePoint, Exchange, etc.) that it is authorized to contact. This connection method is typically hard to detect if access logs are not enabled or monitored.

App Registration permissions

Each App Registration defines the API permissions associated with the registered application. These are described as roles or scopes across various Microsoft services. For example, application permissions may allow:

• Reading or modifying user profiles (User.ReadWrite.All),
• Managing objects in the Entra ID directory (Directory.ReadWrite.All),
• Reading, writing, or deleting files in SharePoint or OneDrive (Files.ReadWrite.All),
• Reading or writing emails across all mailboxes (Mail.ReadWrite),
• Etc.

During audits, it is observed that these permissions are often oversized compared to the actual needs of the applications. As a result, they can provide attackers with a significant privilege escalation vector if compromised.

Moreover, an attacker can identify an application’s permissions through its associated and compromised App Registration by authenticating via the URL https://login.microsoftonline.com/$TenantId/oauth2/v2.0/token :

The access token obtained is in base64 format, and the permissions defined by the App Registration are embedded within it.

Compromise of App Registrations during Red Team operations

In the context of an attack, it is very common for the compromise to occur progressively. Typically, an initial server is compromised, then a second, and so on, until more critical infrastructure components or more privileged users are reached: initial access, privilege escalation, lateral movement, and so forth.

In recent years, the implementation of the Tier model (Tier-0, Tier-1, and Tier-2) within Active Directory infrastructures has become widespread, resulting in increased security for on-premises IT systems. Another factor has also emerged with the development of EDR agents: detection!

Now, in mature environments, it is much more difficult to compromise Tier-0 (domain controllers, PKI, etc.) simply by compromising a Tier-1 server, all without being detected by the Blue Team (the defence team).

However, during several operations across very diverse environments, SharePoint has proven to be a formidable vector for privilege escalation, and in these cases, no detection was reported by the Blue Team.

Several Red Team operation case studies illustrating this point are shared below.

Case 1: Tier-2 Administrator of a domain leading to the compromise of the Active Directory Forest

This case illustrates an operation for an international client whose IT system includes several thousand servers – application and business servers, industrial systems, infrastructure, etc. The compromise of an initial server led to the compromise of Tier-1 and then Tier-2 administrator accounts.

As soon as administrative privileges were obtained on workstations (Tier-2), a targeted collection phase began with the aim of identifying application secrets.

On several workstations belonging to technical users (DevOps teams, Cloud teams, etc.), PowerShell scripts were discovered. Some of these contained credentials linked to App Registrations, including an AppId, an AppSecret, and the Azure tenant ID to which they were associated:

Exploiting these secrets allows the attacker to connect directly to the Microsoft Graph API, using the permissions already granted in the compromised App Registration.

The App Registration identified in this context had extensive application rights over O365, including:

• User.ReadWrite.All: Read and modify all user profiles.
• Directory.Read.All: Read directory data.
• Directory.ReadWrite.All: Read and write directory data.
• Group.ReadWrite.All: Read and write all group information.
• Files.ReadWrite.All: Read and write all files.
• Mail.ReadWrite: Read, write, update and delete emails in user mailboxes.
• Calendars.ReadWrite: Read and write all calendars.
• Contacts.ReadWrite: Read and write all contacts.
• Tasks.ReadWrite: Read and write all tasks.

Among this set of application permissions, the Files.ReadWrite.All right is particularly critical and attractive for an attacker, as it grants full access to all files stored on SharePoint and OneDrive.

Note: These permissions can be “delegated”, in which case they only apply within the context of what the user can do.

A PowerShell script has been developed by the Wavestone Red Team (SharePwned) to perform keyword-based searches on SharePoint and OneDrive and to download the desired files.

Using this script, and by searching for the name of the Active Directory administration forest (e.g., admin.xx.xxxx.net), several files were identified within users’ OneDrive spaces and subsequently downloaded:

These files, stored in the OneDrive spaces of technical users, made it possible to identify the pivot servers used to access the Active Directory administration forest of the information system.

The insecure secrets storage on workstations and in cloud spaces represent a major security vulnerability. However, the lack of security controls and monitoring around this App Registration – linked to significant privileges – constitutes a critical weakness as soon as an associated Enterprise Application is instantiated in the tenant.

In this case, the Tier-2 compromise, followed by read access to files stored in employees’ OneDrive spaces, quickly enabled the identification of secrets and network pivots necessary to compromise the company’s Tier-0 environment.

Case 2: Remote access to the group’s corporate network following the compromise of a subsidiary

This second case describes a Red Team operation targeting a company with numerous subsidiaries whose networks do not communicate with each other.

First, the IT system of one subsidiary was compromised, along with its Azure tenant.

For persistence and further exploration, the Red Team then created an App Registration, adding the Files.Read.All application permission.

By downloading the application’s secrets at creation, it was once again possible to use the tool developed by the Wavestone Red Team to search SharePoint and OneDrive:

By searching for passwords, accounts associated with remote access solutions to the Red Team’s target company were identified. In fact, some members of the Finance teams in the compromised subsidiary had access to the group’s remote desktop solution and stored their passwords in clear text on their OneDrive.

Although MFA was configured for all users of this solution, only notification approval was required – no code was requested. By flooding users with MFA notifications, one eventually approved the authentication, allowing the Red Team operators temporary access to the remote desktop solution.

Finally, by accessing the Finance application hosted on a Windows virtual machine, access to the group’s internal network was obtained.

Thus, starting from the compromise of a subsidiary with no direct interconnection to the group network, the use of App Registrations once again enabled the discovery of secrets and a pivot into the group’s IT system.

Case 3: Compromise of the EDR deployed on Domain Controller via the CICD pipeline

The compromise of the client’s CICD environment (hosted on AWS) led to the compromise of their GitLab server. With root access to the GitLab server, it was possible to access its database and the secrets stored within. Although these secrets were encrypted, they could be decrypted via the GitLab Rails console.

Among these secrets, Azure clientID and clientSecret for an App Registration were recovered. These credentials allowed access to Azure under the identity of the associated application – in this case, the GitLab application.

On the client’s tenant, the GitLab application had a contributor role on the resources of an Azure subscription. This meant it could manage access to resources and read their contents.

Among the accessible resources, secrets were stored (and readable) in an Azure Key Vault. In particular, clientId and clientSecret values were present:

A new Azure application, named xxxxx-NettoyageSharePoint, was thus obtained. This application had the necessary permissions to read the entirety of SharePoint and OneDrive.

Using an early version of the SharePwned tool, a search for secrets was carried out within employees’ OneDrive spaces. Insecurely stored secrets were discovered in configuration files for administration tools such as mRemoteNg. By default, these configuration files typically contain passwords encrypted with a known public key. As a result, it is possible to decrypt them and obtain users’ passwords in clear text:

The account retrieved here had administrative privileges on the company’s IAM application.

After multiple searches of documentation on SharePoint – still using the SharePwned tool to target the searches – the Red Team was able to understand the SOC team’s intervention methods on the Information System, the vaults where their secrets were stored, and the permissions required to access them.

Then, using the IAM administrator account recovered from OneDrive, an attack was carried out based on the SOC’s intervention procedures, resulting in the complete compromise of the client’s on-premise Information System.

In this scenario as well, targeted searches on SharePoint and OneDrive enabled the retrieval of highly valuable technical information for an attacker, including the EDR agent deployed on the domain controllers, the secrets required for its use, and the permissions needed to access it.

Beyond the passwords recovered (whether encrypted or not) in all the previously described scenarios, SharePoint and OneDrive represent a gateway to knowledge of the Information System for the attacker. When the attacker wishes to remain discreet, they must closely mimic the company’s legitimate business and administrative workflows. The prerequisite for this is first to know them, then to understand and replicate them.

Protect and detect malicious use of App Registrations

As previously mentioned, SharePoint and OneDrive have enabled the retrieval of sensitive and compromising secrets for client information systems. It is therefore essential to raise employee awareness about secure secret storage and to provide them with the necessary tools for this purpose.

Nevertheless, it is important to implement processes and security measures for these applications to ensure compliance with the principles of least privilege and defence in depth. Below are recommendations to apply to these App Registrations.

Regular review and principle of least privilege

It is important to inventory applications with permissions on SharePoint and restrict these applications to the bare minimum. The relevant permissions are:

• Sites.Read.All;
• Sites.ReadWrite.All;
• Sites.FullControl;
• Files.Read.All;
• Files.ReadWrite.All.

As with privileged users and groups, a regular review of these App Registrations is necessary.

Management and monitoring of secrets

To prevent App Secrets from being stored insecurely (in scripts, documentation, emails, etc.), it is recommended to favour the use of connection certificates.

In general, connection secrets should be subject to regular and automated renewal.

Creating an App Registration automatically generates an Enterprise Application. When this is granted read permissions on SharePoint, consent from a Global Administrator is required. As a result, it is not trivial for an attacker to create such privileged applications, and adding a secret to an existing privileged application is often preferred by attackers.

It is therefore important to monitor the creation of new connection secrets on privileged applications.

Reduce the attack surface

Finally, it is recommended to limit the usage capabilities of these applications. This may involve restrictions on source IP addresses or on the time windows during which the application can be used.

Note: It is not always necessary to apply these measures in a “blocking” mode. In fact, detection without blocking can already allow the Blue Team to become aware of an attack and begin their response.

Cet article SharePoint & App Registrations: A Vector for IT System Compromise and Red Team Feedback est apparu en premier sur RiskInsight.

For those who have not yet taken the plunge (mainly ETIs and the public sector), it is essential to start thinking about Cloud collaboration and communication platforms as soon as possible. This, in order to be able to ensure continuity of service in case of force majeure (cyber attack, natural disaster or even pandemic), or even to envisage a more consequent migration.

For this Digital Workplace platform, a close collaboration between the security team and the workplace will be a prerequisite!

In this article, I will share with you some feedbacks on the deployment of Office 365, Microsoft’s solution that is becoming increasingly popular with the companies we support.

There is a lot of interesting documentation on the subject on the Internet (“Top 10 best practices” or “3 good reasons to connect the xxx application to ensure your security”). Microsoft summarizes some of these good practices in these two articles:

• Security roadmap – Top priorities for the first 30 days, 90 days, and beyond
• Top 10 ways to secure Microsoft 365 for business plans

Today, I am not going to repeat here a non-exhaustive list of these good practices, but rather to remind you of six points of attention when opening such a service.

1st point: Building the safety standard, a pillar of the future relationship between the safety and workplace teams.

As with any project of this type, the first step is to assess the potential of the service and see how it can meet the initial need, through the development of a business case. The possibilities offered by Office 365 are numerous: office automation, instant messaging or email, data visualization, development of applications without code, etc.

As far as cybersecurity teams are concerned, there are two choices: to oppose this migration because of the risks linked to the American Cloud or to support the reflection to create new secure uses.

In the vast majority of cases, the second choice is preferred. A tripartite relationship then begins, between the workplace teams, security and architects, with the aim of building a service for the users. A result of this step could be the development of a security standard, resulting from a risk analysis, defining the services used and with the associated configuration.

Among the issues to be addressed are generally the following three themes:

• What uses should be offered to people in a situation of mobility? With what authentication?
• What new services to offer with the possibilities of integration with APIs?
• How to share documents with external users?

The current trend is to provide answers with a “Zero Trust” approach. Any deviation from the defined safety standard will have to be detected, thanks to the implementation of dashboards and supervision. The adage “Trust does not exclude control” has never made more sense.

This reflection may even be an opportunity to ask fundamental questions in order to lay a coherent foundation for the working environment. For example, why leave email, a 30-year-old system, open to everything and externally block my Teams and SharePoint shares? Improving the user experience can only be achieved by standardizing security practices.

2nd point: Data protection, a subject with the wind in its sails

Parallel to the construction of the service, comes the subject of the data that will be used in the tenant. For this, two simple questions must find answers (often complex).

How do I protect my data?

Today, unstructured data protection strategies are based on a common basis: the linking of data to a level of sensitivity. This correspondence leads to protection measures to be put in place:

• – Encryption with keys controlled by the CSP or the organisation;
• – Restriction of rights (or DRM);
• – Conditional access with multi-factor authentication;
• – Data Leakage Protection (or DLP).

In order not to over-protect data and thus avoid undermining the user experience, encryption and rights restriction can be reserved for the most critical data. Other data will still remain under control using more traditional measures, such as end-to-end encryption and exposure control.

A key factor for such a project will be to turn it into a real business project, with a comprehensive awareness programme dedicated to classification.

How to remain compliant with the regulations?

An organisation may be subject to local, implementation-related and sector-specific regulations, depending on its activities.

These regulations and directives in some cases impose real obstacles that need to be removed at the outset of the project: data retention, legal archiving, geolocation, judicial investigation, requests related to personal data.

Let’s take a concrete example: Russia. With the law on personal data of 2015, the national regulatory authority imposes the obligation to keep the source (called primary database) of its citizens’ data on Russian soil. In practice, this means that the Active Directory (primary base of corporate identities) of the Russian entity must remain Russian. From there, the information can be synchronized with the GAL (Global Access List) and Azure Active Directory.

The thorny issue of stock management

What to do with the data already existing? This is a complex issue, especially if the opening of a Cloud collaboration solution is linked to the decommissioning of existing file servers.

First of all, there is a technical question. Will the company’s network be able to support massive migrations of .pst and documents? In particular, it will not necessarily be useful to migrate data that does not comply with the retention policy.

Secondly, historical data may have heterogeneous levels of sensitivity and be subject to various regulations. A trade-off will be necessary to arbitrate between local data retention, risk acceptance and a broad classification project before or after migration.

3rd point: The Target Operating Model, guaranteeing the preservation of security over time

The operational model of a service such as Office 365 defines the responsibilities of the players (administrators, support staff, etc.) and the principles of object management. It is complementary to the security standard mentioned above, providing an operational vision.

The TOM must be drawn up prior to the opening of the service and updated regularly. It must include at least the following subjects.

A model of administration

Microsoft offers by default about 50 administration roles, not counting the RBAC roles of services (e.g. Exchange and Intune). A relevant use of these roles and custom roles will help to avoid having too many General Administrators and to follow the principle of least privilege. The implementation of Just-in-Time access will moreover make it possible to monitor the actual use of roles, while reinforcing security.

A semi-architectural / semi-security community

Like any SaaS platform, Microsoft regularly upgrades the functionalities of its collaborative suite. The mission of this community will be to monitor trends, in order to master new uses and keep control of the tenant considering the evolutions.

The life cycle of shared identities and spaces

If shared spaces (Teams, SharePoint) are not managed freely, this can lead to an explosion in the number of spaces that do not comply with the security standard. The reports of the editors of Data Discovery solutions are quite striking. To avoid this, it is necessary to establish a life cycle for shared spaces. These rules can include a naming convention, retention policies, a lifespan, principles for rights management.

The establishment of a single portal for the creation of these spaces will make it possible to implement these good practices, while promoting the user experience.

Similarly, a life cycle for Azure AD objects (including guest users, security groups, Office 365 groups and applications) must be defined and equipped. Here are two examples that deserve to be addressed: the delegation of APIs is left open and leaves the door open to massive data leaks; users invited to collaborate are never deleted. For this, two strategies are possible:

If shared spaces (Teams, SharePoint) are not managed freely, this can lead to an explosion in the number of spaces that do not comply with the security standard. The reports of the editors of Data Discovery solutions are quite striking. To avoid this, it is necessary to establish a life cycle for shared spaces. These rules can include a naming convention, retention policies, a lifespan, principles for rights management.

The establishment of a single portal for the creation of these spaces will make it possible to implement these good practices, while promoting the user experience.

Similarly, a life cycle for Azure AD objects (including guest users, security groups, Office 365 groups and applications) must be defined and equipped. Here are two examples that deserve to be addressed: the delegation of APIs is left open and leaves the door open to massive data leaks; users invited to collaborate are never deleted. For this, two strategies are possible:

• #1 – Creation of a Custom Automation Engine decorrelated from the IAM, via an in-house application developed in PowerShell ;
• #2 – Integration of a Powershell / Graph API connector to the IAM solution in place in order to present a complete management of the objects, disregarding their direct hosting.

4th point: take a fresh look at the subject of user identity

Indeed, the subject of identity is a pillar of SaaS!  So, take the time to consider all the possibilities and risks of SaaS Identity Providers (or IdPs). In particular, it is unthinkable in 2020 to consider Azure Active Directory as a simple Domain Controller in the Cloud.

Three approaches are possible for the source of identities accessing Office 365.

The dissociation of identities, a quick-win but complicated from a user’s point of view

It is possible to dissociate the local and Cloud identities if the local DA is no longer available or to decorate the Cloud workspace from the historical IS. This scenario is obviously not in favour of an optimal experience, but may be a valuable asset in the event of a crisis.

The use of local identity in the Cloud, a classic strategy

In order to reconcile security and user experience, it is necessary to use the same identity between the legacy applications and this new service. For this, three technical scenarios are available:

• Identity Federation : This historic solution is widely used by large French companies that are reluctant to host passwords in the Cloud and wish to have SSO;
• Password Hash Sync (PHS): This solution, recommended by Microsoft and the British equivalent of ANSSI, is implemented by the vast majority of Microsoft customers. This solution can also be used as a back-up when the federation service is no longer available;
• Direct Authentication (Password Through Authentication or PTA): This solution provides the best user experience but has the disadvantage of passing the password through Azure AD.

Migrating one’s identity repository to the Cloud, a longer-term vision

Before or after migration, it may be appropriate to consider fully migrating the source of identities into the Cloud (whether Azure AD or a third party solution), in order to take advantage of the new possibilities. There are still several prerequisites that need to be lifted, such as printer, GPO and terminal management.

5th point: Gradually open up services to encourage controlled adoption

It is always easier to open a new service than to go back for safety reasons. Massively opening the different services of the collaborative suite has the advantage of offering a maximum number of uses cases but can cause several side effects.

First of all, services that are not officially supported and left in the hands of users for testing purposes represent a definite risk. They need to be configured and hardened. In some cases, it may even be preferable to disable the corresponding licenses.

Secondly, a controlled launch of the tools will help control costs during the first months or years of the transition. As Microsoft licences represent a certain load, it is possible to optimize unused licences.

Change management is also a key aspect to consider; to promote the user experience, of course, but also to promote data security. It is essential to have a clearly defined roadmap and user journey. Accompanied adoption will lay the foundations for proper governance of shared spaces and data (both in terms of exposure and protection).

It will be useful to consider creating a community of evangelists and users in order to maintain momentum in the adoption of the new functionalities brought by Microsoft. A uservoice system could be an asset; the ideal would be to listen to the needs of users and prioritise future openings.

6th and last point: Licences, the lifeblood of Office 365 and its security

SaaS solutions are generally subject to a monthly invoiced licensing model. The choice of Microsoft 365 licences must be the result of a global reflection. It cannot remain the prerogative of workplace teams and be determined solely by the need for collaboration and communication.

Indeed, the choice of licensing level will condition the security strategy of the tenant. This choice will have a wider impact on the strategy for securing the work environment. Indeed, Microsoft is increasingly positioning itself as a challenger to security solution providers, being the only one to offer such a complete suite.

The licensing of security options must be dealt with at the start of the project and at each renewal. It will be cheaper to include a licensing package from the outset than to order AAD P1 licences on an emergency basis to cover an unforeseen need for conditional access.

In this strategy to be defined, it may be appropriate to target individuals to adapt the security requirements to their profile (VIP, admin, medical population, etc.).

This approach, presented here for Office 365, can be generalised to any SaaS (Solution as a Service) service, or even IaaS (Infrastructure as a Service) or PaaS (Platform as a Service) service.

Cet article Migrate your work environment to Office 365 with confidence est apparu en premier sur RiskInsight.

Several topics must be addressed when securing Office 365  including the need to be able to track actions to detect illicit behaviour or trace the cause of an incident.

In France, however, many companies have difficulty consolidating logs and defining supervision use cases. Mastering logging must be at the heart of this approach.

Supervision of administrative actions is a necessity

For this logging decryption, let’s take the case of the platform administrators.

As with other SaaS solutions (Google Cloud Platform, Salesforce, etc.), the breach of data integrity or confidentiality following an error or malicious action by a company administrator is one of the major risks identified by our customers.

By definition, Office 365 administrators have high privileges:

• Configuration of the various services – or workloads – and APIs;
• Managing permissions on OneDrive and user mailboxes;
• Management of the life cycle of collaboration spaces.

It is easy to imagine the disastrous consequences that could result from the malicious or uncontrolled use of these privileges. Indeed, settings such as SharePoint Online external sharing, API permissions or email configuration could become significant data leakage vectors.

On-premise IT best-practices (lifecycle, least privilege principle, rights segmentation, strong authentication, just-in-time access, etc.) must also be applied in the Cloud. The Cloud must be mastered and controlled.

However, the implementation of good practices, although necessary, is not enough. Indeed, they do not guarantee that  administrators won’t carry out actions that compromise the level of security. One can therefore naturally wonder how it would be possible to audit the actions carried out and raise alerts if necessary.

What are the means provided by Microsoft? How can we prevent a malicious person from covering his tracks (which would make an attack more difficult to detect and reconstruct)?

To illustrate the different possibilities, we will follow the four examples below:

Figure 1 – Examples of configuration changes that may affect safety

What logs are available?

For historical and technical reasons, Office 365 inherently has several log sources: Unified Audit Logs, Exchange Logs and Azure Logs. These sources are complementary and must be analysed together in order to have an exhaustive view of the administrative actions performed.

Unified Audit Logs: unified logging of the different services

The most commonly cited and used source of logs is the “Unified Audit Logs”. These logs centralise the traces of users and administrators for all the platform’s services: SharePoint Online, Azure AD, Exchange Online, Teams, Power Platforms. Microsoft is progressively integrating the different sources and continues to add new logs.

To come back to our concrete examples, the interesting logs are:

• SharePoint Online External Sharing Policy Change: SharingPolicyChanged
• Assigning rights to a One Drive: SiteCollectionAdminAdded
• Assigning rights to a mailbox: AddMailboxPermission
• Changing an Administration Role: AddMembertoRole

These logs are accessible and exportable via the Compliance and Security Centers, the Office 365 Management and PowerShell APIs (via the Search-UnifiedAuditLog cmdlet). Note that logging must be enabled via the Compliance Center or PowerShell to be able to log and search.

It is possible to directly configure alerts related to the occurrence of certain logs in the Security and Compliance Centers.

Exchange Logs: logging of the messaging infrastructure

The second interesting source of logs is the “Exchange Logs“. These logs provide information about usage and administrative actions performed on the Exchange Online service as well as on personal or shared mailboxes. Two types of logs can be distinguished:

• Administrator Audit Logs: Service or mailbox administration logs (e.g. changing a user’s permissions, changing the retention time of a mailbox log etc.).
• Mailbox Audit Logs: Logs of use of a mailbox by the main user, a delegated user or a service administrator (e.g.: accessing the mailbox, sending an email in place of the main user, moving an item into a folder, permanent deletion, etc.).

To come back to our concrete examples, the logs that will interest us here are:

• Assigning rights to a mailbox: AddMailboxPermission
• Access to a folder or a mailbox: FolderBind (not enabled by default):
• Access to a mail: MailItemAccessed (only for users with an E5 license)

To go further with Administrator Audit Logs

Administrator Audit Logs are generated for any Exchange administration action that can be linked to a PowerShell cmdlet other than Get, Search or Test. These logs are linked to the Unified Logs and can be used in the Exchange Administration Center, Security and Compliance Centers, Office 365 Management and PowerShell APIs.

To go further with Mailbox Audit Logs

Mailbox Audit Logs are the only category of logs to be configurable (perimeter and granularity). These logs allow tracing of the actions performed by an owner, a delegate (user with permissions) and an admin (access via eDiscovery tools).

Since January 2019, the logging of Mailbox Audit Logs is enabled by default for all Office 365 tenants. To date, if logging is enabled by default, all mailboxes are audited (even if the “-AuditDisabled” parameter is set to “True”). The only way not to log the actions of a mailbox is to implement a by-pass rule with “Set-MailboxAuditBypassAssociation”.

However, it should be noted that some actions are not audited by default, such as the access of a delegate or an admin to a user’s mailbox. It is therefore essential to analyse the logs to be activated, during the initial configuration of the service.

Depending on the license level and configuration, these logs can be linked to the Unified Logs and be used in the Exchange Administration Center, the Office 365 Management and PowerShell APIs or the Security and Compliance Centers.

Azure Logs and Reports: Azure Active Directory Logging

The last, but not least important source of logs are the “Azure AD logs”. These logs provide complete traces of the Office 365 identity brick and the associated administration actions. Several categories of logs and reports are available:

• Azure Audit Logs: Logs for the administration of the identification brick or modification of items (e.g. assigning the “SharePoint Administrator” role, creating a security user or group, authorising an API, configuring guest users, etc.).
• Azure Sign-in Logs: Logs for connecting to an Office 365 service (or to applications / APIs based on Azure AD) with information regarding the connection chain (e.g. protocol, IP address, terminal, etc.).
• Risky Sign-in: Connection reports with indicators related to suspicious connections.

These logs and reports are accessible and exportable via the Azure portal, the Graph or Azure Management and PowerShell APIs. Some of the logs directly related to Office 365 are also found in the Unified Audit Logs.

To come back to our concrete examples, the interesting logs are:

• Modification of an administration role: AddMembertoRole

Figure 2 – Summary of Office 365 Logs Features

In summary, the Unified Audit Logs provide a consolidated view of the different services of Office 365, but some information may be missing. It will be necessary to ensure that the required logs are present, and then to investigate further into the logs and reports of Exchange or Azure.

What is the retention period for the various Office 365 logs?

Once the proper logs have been identified, the challenge of retention arises. How can you be sure that the logs are well preserved without being altered, for as long as is required by the company’s security policy and various regulations, such as the anti-terrorist law or the GDPR?

By construction, and contrary to Exchange and SharePoint on-premise solutions, all the logs mentioned above are unalterable – that is to say, they cannot be modified or deleted by the company administrators. Furthermore, the default retention periods defined by default cannot be modified (i.e. 90 days for Office 365 and 7 logs or 30 days for Azure logs with standard licenses). With one exception, an Exchange administrator has the ability to delete the logs from mailboxes by changing the associated retention time.

If we go back to our examples, we could imagine a malicious administrator giving himself rights to access a mailbox, then look at the mails and erase the access logs by setting a zero-retention time. In this case, only the privilege elevation made in the Administrator Audit Logs would be retained.

In order to comply with security or regulatory requirements, it may also be necessary to ensure that the logs of the various departments are kept for more than 7, 30 or 90 days.

3 steps to implement relevant logging within Office 365

1. Definition and activation of the necessary logs: Unified Audit Logs may not be sufficient (monitoring of the Office 365 and Azure AD APIs, logging of administrator access to mailboxes, etc.);
2. Configuration of an automatic export of the identified logs to an external storage or an independent SIEM (via PowerShell or the API Management);
3. Monitoring the status of the tenant: implementing a dashboard of the tenant’s settings configuring alerts related to a change in log configuration (via the Security or Compliance Center, the Office 365 Management or PowerShell APIs), such as disabling Unified logs or a change in the retention of mailbox logs.

Figure 3 – Good Practices for Office 365 Logging

After carrying out these three actions, the company will have the necessary information to audit the tenant’s use and administration actions. However, this does not yet address the larger need for supervision of administrators. It may be useful to set up alerts (via the Security or Compliance Center or specialised third-party tools).

1. (To go further) Implementation of basic supervision: definition of general security detection scenarios, identification of the logs concerned, activation of the associated alert in the Security or Compliance Centers;
2. (To go even further) Setting up advanced supervision: identification of scenarios related to a business context, implementation, definition of the associated governance, continuous improvement.

What tools should be used to analyze the logs? Which detection scenarios should be prioritised? What governance should be put in place to define, implement and monitor alerts? These are all questions that need to be addressed in the implementation of the collaboration platform supervision.

It will also be necessary to take into account the regular changes made by Microsoft on these services, as well as on the structure of logs and APIs, especially since the preview and general availability functionalities coexist.

Cet article Logging of Office 365: a Case Study with Administrators est apparu en premier sur RiskInsight.

Début octobre 2014, Microsoft reprend son destin en main et lance une 1^ère  version d’évaluation de son futur système d’exploitation : Windows 10. Ce dernier est mis en circulation pour entamer une grande phase de séduction et de reconquête des décideurs et du grand public. Mais pourquoi passer de 8 à 10 ? L’idée est ici de marquer une rupture franche avec le passé.

Cette sortie anticipée a pour objectif d’obtenir un maximum de retours terrain avant la mise sur le marché finale prévue pour mi-2015 et perpétuant le rythme désormais triennal des sorties de systèmes d’exploitation. Cette sortie est aussi l’occasion de voir comment Microsoft se projette, en particulier sur le secteur des terminaux mobiles.

Microsoft doit faire ses preuves sur les terminaux mobiles

Plus de deux ans après sa sortie, le parc déployé sur les PCs de Windows 8 et Windows 8.1 (~18%) est légèrement supérieur au vieillissant Windows XP (~12%) tout en restant en retrait par rapport à Windows 7 (~56%) qui reste aujourd’hui le système d’exploitation majoritaire. Néanmoins, sur le marché en pleine mutation des terminaux mobiles la situation est totalement inversée, Android (~54,5%) et iOS (~31%) écrasent le marché et Windows reste marginal (~2%). Le constat que fait Microsoft est que l’omniprésence du PC dans un environnement de travail n’est plus garantie du fait de l’augmentation constante de la part des terminaux mobiles.

La révolution ergonomique proposée par Windows 8 et Windows 8.1 n’a pas trouvé son public. Pire ! Elle a mis Microsoft en difficulté. Par conséquent, Windows 10 arrive dans un contexte difficile et son adoption n’est pas acquise par avance. Des réponses doivent plus que tout être apportées sur les nouveaux usages (ATAWAD en particulier – Any Time, Any Where, Any Device) et sur son interface graphique. Microsoft a compris qu’il devait se remettre en question afin de séduire de nouveau le grand public et les entreprises.

Un positionnement désormais global pour couvrir l’ensemble des terminaux et des usages

Microsoft a confirmé que Windows 10 serait un système d’exploitation unique pour l’ensemble des terminaux qu’ils soient tactiles ou non : smartphones, XBOX, PCs, tablettes. Cette unification du système d’exploitation ouvre la voie à l’unification du Store applicatif. La récente communication de Microsoft sur le nombre d’applications présentes au sein du Windows Store(525 000 applications contre 1,5 million pour Google Play – 1,3 million pour l’AppleStore) démontre que ce dernier est désormais le nerf de la guerre pour séduire le marché. En particulier pour les entreprises, la mise en place d’un Store applicatif équivalent mais dédié, comme vecteur de distribution d’applications, permet d’envisager des réductions de coûts.

Le défi que doit relever Microsoft est la possibilité de développement unifié des applications, quelles que soient l’architecture sous-jacente (ARM, x86, x64), les form factors des terminaux (écran de petite taille en mode portait jusqu’au grand écran en mode paysage) et les périphériques de saisie (dalle tactile, clavier physique ou virtuel, souris …). Ce dernier point était par exemple l’un des griefs principaux faits à Windows 8, son interface ayant été pensée tactile et finalement peu exploitable en mode clavier/ souris. Malgré les efforts d’évangélisation menés par Microsoft pour conforter les possibilités de développement unifié au travers de ModernUI, à ce jour des doutes persistent sur la faisabilité. Par ailleurs, les applications dites « traditionnelles » restant majoritaires, leurs conversions et redéveloppements en ModernUI vont nécessiter des investissements conséquents sur plusieurs années.

La question résiduelle sur laquelle il n’est pas encore possible de statuer est l’empreinte en termes de ressources requises au bon fonctionnement de Windows 10. Sur PC les besoins en ressources sont similaires à Windows 8.1. Sur les terminaux légers (smartphones et tablettes) le confort d’utilisation reste une interrogation majeure.

De 1ers résultats prometteurs pour Windows 10, mais des incertitudes persistantes

Les évolutions apportées à l’interface graphique vont dans le sens d’un alignement de l’ergonomie avec Windows 7. En effet le Menu Démarrer fait son grand retour. Les applications ModernUI subissent aussi des évolutions importantes avec la possibilité d’exécution en mode classique couplée à une adaptation des informations affichées selon la taille de la fenêtre (sur Windows 8 et Windows 8.1, le mode plein écran était obligatoire). Il s’agit d’une 1^ère étape pour le support natif des tailles et résolutions d’écrans variées.

Dans un 2^nd temps, Microsoft prévoit d’implémenter des mécanismes permettant d’adapter le comportement Windows 10 en fonction des périphériques de saisie détectés. Le but étant de déporter la gestion des interfaces de saisie au niveau du système d’exploitation. La vertu de cette approche est que tout type de terminal fonctionnant sous Windows 10 pourra désormais exécuter les applications sans avoir à gérer le type d’interfaces utilisées. Ce mode de fonctionnement permettrait d’alléger le processus de développement des applications de la plupart des tests de validation de bon fonctionnement, phase généralement coûteuse en termes de budget et de temps.

Le dernier point est la tarification de Windows 10. Les 1^ères pistes laissent présager une approche en mode « rupture » (un coût réduit voire une gratuité envisagée des mises à jour depuis Windows 8 et Windows 8.1 ), confirmant le fait que le système d’exploitation devient une commodité permettant de consommer des services (en particulier Office 365) depuis tous types de terminaux sans contrainte.

Des orientations prometteuses qui permettent aux entreprises d’envisager plus sereinement les réflexions nécessaires au remplacement de Windows 7 qui aura atteint la moitié de son cycle de vie en janvier 2015.

Le grand public un vecteur de pénétration en entreprise ?

Les retours d’expérience basés sur la pénétration des nouveaux terminaux mobiles depuis la sortie de l’iPhone en 2007 montrent que les entreprises sont de plus en plus soumises aux tendances du marché et doivent se questionner sur le phénomène croissant du BYOD. En effet, les utilisateurs souhaitent disposer de terminaux professionnels aussi avancé que ceux qu’ils ont à titre personnel.

Nos retours terrain nous laissent présager que sur le PC, Windows 10 trouvera facilement son public car il répond,  de par son interface graphique, aux attentes communes du grand public et des directions IT. Microsoft a en tous cas bien démontré sa volonté d’aligner son système d’exploitation aux besoins des entreprises et aux attentes du grand public. Néanmoins sur les terminaux mobiles, en comparaison de Google et d’Apple, Microsoft présente un fort déficit d’image et l’adhésion est loin d’être acquise. Pénétrer le marché reste néanmoins possible et Microsoft mise largement dessus.  Il suffit de regarder les nombreuses initiatives menées auprès du grand public (publicité, etc.) et des dirigeants (campagnes de séduction lors du lancement de la version d’évaluation de Windows 10, volonté de BMW de migrer sa flotte de mobiles sur Windows). Si l’adhésion se confirme, les entreprises pourront clairement y trouver un fort intérêt en termes de rationalisation des outils de gestion de parc et de sécurité (réduction des besoins en outils tierces) et de développement des applicatifs métiers.

Quoiqu’il en soit, Microsoft n’a pas encore tout dévoilé et il compte bien enrichir encore Windows 10 avant de le sortir !

Cet article Windows 10 : fer de lance de la nouvelle stratégie de Microsoft est apparu en premier sur RiskInsight.

Microsoft est-il vraiment capable de mettre en difficulté VMware ? Faut-il migrer vers Hyper-V ? Adopter une stratégie « multi-sourcing » ? Autant de questions que se pose le marché et auxquelles nous avons tenté de répondre.

Microsoft, un sérieux challenger de VMware

Depuis l’avènement de la virtualisation x86, VMware est le leader incontesté du marché. La majorité des grandes entreprises utilisent sa solution vSphere et en sont satisfaites.

Cependant, comme toute situation de quasi-monopole, cette domination du marché entraîne des préoccupations. Les produits VMware sont chers et la politique commerciale peut évoluer rapidement (la mise en place d’une facturation à la mémoire vive utilisée, abandonnée par VMware par la suite, avait suscité un tollé auprès de ses clients).  De plus la réversibilité est complexe et coûteuse.

De son côté, Microsoft a décidé d’accélérer sa pénétration du marché en intégrant le produit Hyper-V dans Windows Server depuis la version 2008. Jusqu’ici en retard techniquement, Hyper-V s’est amélioré à chaque itération jusqu’à devenir, avec Windows Server 2012 R2 et la suite System Center, un sérieux challengeur de VMware.

Aujourd’hui, la course entre VMware et Microsoft ne se concentre plus sur les caractéristiques techniques maximales ou sur les fonctionnalités. En effet, bien que différentes, les deux solutions répondent à la très grande majorité des besoins (qui a besoin d’une machine virtuelle avec plus de 64 vCPU ?).

Alors comment choisir ? En pratique, VMware reste encore en avance au niveau de l’exploitabilité  et dispose d’un plus grand écosystème de composants compatibles, alors qu’Hyper-V est généralement plus compétitif financièrement.

Au-delà de ces points (qui sont à relativiser selon le contexte de chaque client et les accords éditeurs), ce sont la vision et les trajectoires des deux géants qui doivent être pris en considération.

Deux trajectoires différentes, mais une vision Cloud commune

Les deux constructeurs partagent en effet une vision du Cloud similaire, basée sur le pilotage unifié de ressources internes au sein d’un Cloud privé et externes au sein de leur Cloud public ou de celui d’un partenaire. En revanche leurs trajectoires sont différentes et liées à l’historique.

Ainsi VMware, fort sur la virtualisation on-premise, a développé une offre de Cloud privé complète et résiliente avant de développer des services de Cloud public (vCHS) et une interconnexion avec un réseau de partenaires (Amazon, OVH, et plus généralement tout fournisseur proposant un connecteur vCloud).

De son côté Microsoft a eu une approche inverse. Il est parti de son Cloud public Azure, lancé bien plus tôt, et a développé dans un second temps son offre de Cloud privé basée sur Hyper-V (avec la suite System Center et Azure pack) en intégrant progressivement les fonctionnalités développées pour Azure.

Qu’en conclure ? Nos deux géants ont une vision fondamentalement différente dans la conception des architectures du Cloud public ! Quand Microsoft adopte une approche où l’application doit intégrer la haute-disponibilité au sein de son architecture (concept dit du design for failure), VMware part au contraire du principe que c’est à l’infrastructure d’offrir des services résilients.

Qu’aller chercher avec Hyper-V ?

Le principal intérêt reste financier : Hyper-V est compétitif. Pour une entreprise ayant un important parc Windows Server, les licences nécessaires sont souvent déjà acquises par l’entreprise (licences Windows Server Datacenter et System center). Le levier d’économie est alors substantiel.

Un autre intérêt est la mise en place d’une stratégie de Dual Sourcing, en ayant une ligne de service Hyper-V et une ligne de service VMware. Ainsi, l’entreprise peut rester indépendante des fournisseurs tout en ayant de plus gros leviers de négociation.

En revanche, il ne faut pas sous-estimer la complexité et le coût d’un projet de migration d’une partie d’un parc. Une approche « Big Bang » est trop risquée et nous conseillons plutôt d’adopter une approche progressive.

Comment ? En commençant par expérimenter Hyper-V en démarrant un pilote sur un périmètre limité et non critique (par exemple quelques environnements de test / staging). Ce pilote permettra de vérifier l’exploitabilité de la plateforme et d’acquérir les compétences en interne. Une généralisation pourra être envisagée par la suite sur une filière complète (environnements de développements et de tests par exemple), selon  les résultats et les opportunités.

Si vous souhaitez aller plus loin en matière de « dual sourcing » et simplifier l’architecture globale, il est préférable de piloter les infrastructures Hyper-V et VMware avec la même solution. Microsoft (avec SCVMM), VMware (avec vCAC) ou des tiers (comme HP avec HP OO) proposent des outils, permettant alors de tirer bénéfice des deux plateformes, tout en simplifiant l’exploitation.

Et la cerise sur le gâteau ? Opter pour ces outils permettront à l’entreprise de se préparer à une approche Cloud Hybride !

Cet article Virtualisation : une hyper compétition entre VMware et Microsoft est apparu en premier sur RiskInsight.

La téléphonie Lync, un démarrage difficile

Microsoft Office Communicator, lancé en 2007 et permettant des échanges en temps réel entre collaborateurs (IM, appels audio/vidéo, présence), devient Lync en 2010 (contraction de “Link” et “Sync”). Ce nouveau produit offre à Microsoft l’opportunité de faire son entrée dans le monde convoité de la téléphonie et des communications unifiées. En se basant sur son historique et son expertise reconnus sur les solutions logicielles collaboratives, Microsoft anticipe une adoption rapide de cette nouvelle brique téléphonie. Cependant, de 2010 à 2012, Lync a du mal à convaincre les Grands Comptes qui ne se sentent pas prêts à jouer les pilotes sur une fonctionnalité aussi critique que la téléphonie, avec un produit sur lequel les intégrateurs n’ont pas vraiment d’expérience.

Moins d’un an après les premiers déploiements à grande échelle, la question la plus fréquemment posée est encore “quels avantages aurais-je à utiliser la téléphonie Lync ?“. Une question qui mérite d’être posée au vu de l’intérêt croissant des entreprises pour les outils collaboratifs – et de fait toute solution les englobant.

Des fonctionnalités distinctes selon le type de licence

Lync a été pensé pour différents usages, traduits par différents niveaux de licences cumulatives. La licence Standard supportant les fonctions “basiques” – IM, présence, appels audio/vidéo poste à poste, interconnexion Skype -, il faudra investir dans la licence Enterprise afin d’avoir accès à l’organisation de réunions, de conférences audio, vidéo ou web. Enfin une souscription supplémentaire à la licence Plus donnera accès aux fonctions de téléphonie telles que les appels vers/depuis l’extérieur de l’entreprise, les renvois d’appel, les groupes de réponse, la délégation patron/secrétaire ou encore les appels d’urgence.

La licence Plus permet réellement d’utiliser le poste de travail comme élément central de la téléphonie, en s’appuyant sur différents périphériques. Il est envisageable d’utiliser les haut-parleurs et le micro de l’ordinateur, ce qui n’engage aucun frais de matériel supplémentaire (sauf pour certains PC/Mac fixes) mais nécessite en revanche des composants de bonne qualité et un environnement sonore extrêmement calme. Le casque audio USB ou sans-fil est souvent le meilleur investissement, permettant une qualité sonore appréciable dans la plupart des cas. Un téléphone physique relié en USB, sans aucune intelligence embarquée, peut être également mis en place. Dans ces deux derniers cas, l’extinction du PC entraîne bien entendu la désactivation du périphérique audio.

Semblables aux solutions classiques de ToIP, des téléphones IP stand-alone peuvent aussi être utilisés, une fois reliés au même compte Lync que celui auquel est connecté le client PC/Mac. Il est alors toujours possible de recevoir et émettre des appels, même avec un PC éteint. Pour les usages en salle de réunion, les Meeting-Phones (ou “Pieuvres audioconférence”) seront préférées, tandis que les solutions naissantes DECT et téléphones Wi-Fi seront destinées aux usines et aux gardiens, embarquant des fonctions avancées telles que la détection d’homme à terre.

La version mobile, Lync Mobile 2013 permet de retrouver la plupart des fonctionnalités offertes par le client (IM, appels audio/vidéo sur IP, partage de présentation PowerPoint réunions en ligne…) sur smartphone ou tablette iOS, Android ou Windows Phone à travers les applications dédiées. À noter que cette version 2013 permet de réels appels Lync (qui rejoignent le réseau de l’entreprise à travers le serveur Edge et le Reverse Proxy) via Wi-Fi ou 3G/4G.

Du point de vue de l’architecture et du sourcing ?

Au niveau architecture globale, Lync ne diffère pas réellement des solutions que peuvent proposer les autres constructeurs de téléphonie, si ce n’est que l’ensemble des services peut être concentré sur un seul serveur (“Front End”), là où d’autres solutions pourraient nécessiter un serveur par application.

Microsoft a également profité de la montée de version majeure de Lync (2010 à 2013) pour faire ses premiers pas dans le Cloud en proposant non plus un seul modèle d’architecture physique (“Server” ou “On Premise“) mais également une version “Online“, avec la possibilité de mettre en place une architecture “hybride” mixant les deux solutions.

Si la plupart des fonctions de base sont supportées dans les trois versions, seule la version Server permet l’activation de la téléphonie. A l’instar de ses concurrents, Lync permet une connexion au Réseau Téléphonique Commuté (RTC) centralisée ou en local via des passerelles. Sur les sites où la téléphonie a un impact direct sur les métiers (centres d’appels notamment), il est possible d’installer en sus de la passerelle un serveur Lync Standard Edition (SE) ou une Survivable Branch Appliance (SBA) pour conserver l’ensemble de fonctions de téléphonie avancées en cas de perte du WAN (groupes de réponses, conférences,…).

À noter que Microsoft n’est pas fournisseur de ces passerelles, contrairement à Cisco qui fabrique ses propres “Cisco Integrated Services Routers”. L’entreprise de Redmond oriente alors ses clients vers des fournisseurs homologués tels que AudioCodes ou encore Sonus (ex-NET). Il est également important de savoir que l’offre Lync Online (à travers la solution Office 365) ne supporte pas la téléphonie.

Cet article De l’outil collaboratif à la téléphonie, Lync peut-il trouver sa place en entreprise ? est apparu en premier sur RiskInsight.

En 2011, Microsoft avait déjà déboursé $8,5 milliards pour s’emparer de Skype. Si l’on considère que la même année la valeur de la division Smartphones de Nokia était alors évaluée à $30 milliards, 3,79 milliards € semblerait être une bonne affaire pour le groupe.

Les raisons du rachat : vers un modèle vertical pour plus de rentabilité

Le marché du mobile évolue vers un modèle plus vertical, dans lequel le fournisseur de l’OS contrôle de plus en plus les étapes de la fabrication du smartphone. Cette stratégie évite la fragmentation des OS et des spécifications matérielles et permet de garantir que tout téléphone Windows se comportera exactement comme les ingénieurs l’ont voulu.

Même Android, dont  la réussite repose sur le modèle inverse – une plateforme fragmentée entre des centaines de terminaux de marques différentes – doit aujourd’hui produire son propre smartphone « étendard » dont il contrôle la conception et la fabrication (acquisition de la division Consumer de Motorola en 2011, puis sortie du MotoX en 2013).

En 2011, Microsoft avait adopté une stratégie similaire en développant  un partenariat stratégique avec Nokia. Cet accord avec un seul constructeur avait effrayé les autres partenaires de Microsoft, qui ne s’investirent ni ne produisirent jamais réellement en masse les Windows Phones. Microsoft s’était donc retrouvé contraint de travailler avec un seul et unique partenaire, néanmoins fiable, Nokia.

Une plus grande rentabilité par smartphone vendu permettra d’investir  dans la plateforme. Une part importante des bénéfices de chaque vente est aujourd’hui reversée au constructeur du téléphone. Ainsi, Microsoft ne gagne en moyenne que $10 par smartphone Nokia Lumia vendu.

Une meilleure maîtrise de la chaîne de fabrication permet à Microsoft d’espérer un accroissement de sa rentabilité, pour atteindre $40 par smartphone vendu. Cette marge accrue devrait permettre d’investir massivement dans la plateforme (marketing, R&D, soutien aux développeurs). Par cette opération, Microsoft ambitionne de quasiment quadrupler sa part de marché, de 4% à 15% d’ici 2018.

Le rachat permettrait d’évoluer vers une plus grande souplesse opérationnelle pour les deux partenaires. Le partenariat signé en 2011, a pâti d’un grand nombre de frictions. D’une part, les deux entreprises avaient le difficile challenge de faire cohabiter des équipes aux prérogatives similaires, mais aux organisations et modes de travail différents. D’autre part, elles devaient promouvoir et faire vivre 3 marques en parallèle : Microsoft, Nokia et Lumia.

Ainsi, la réunion des activités téléphonie des deux sociétés devrait permettre de dégager une plus grande flexibilité et réactivité pour répondre aux attentes du marché.

Un succès loin d’être garanti

Microsoft n’ayant jamais été un bon fabriquant de hardware, cette acquisition s’avère être un défi pour le groupe. En effet, le Zune, le Kin, la tablette Surface RT sont autant d’initiatives et autant d’échecs de Microsoft dans le hardware. Seule la Xbox rencontra un succès public, sans empêcher toutefois une perte de $3 milliards en 10 ans !

De même, ne comptant que 3,6% de parts de marché, Windows Phone reste très loin derrière Android et Apple, qui se partagent respectivement 69% et 16% des parts de marché mondiales des smartphones.

La capacité d’accroître ses parts sur le marché du mobile est en grande partie dépendante de l’attractivité de la plateforme pour les développeurs. Il faudra par conséquent à Microsoft beaucoup d’énergie pour les convaincre d’investir dans une plateforme représentant aujourd’hui moins de 4% de parts de marché dans le monde.

La troisième plateforme mobile n’est peut-être pas celle que l’on imagine

Microsoft  souhaite se positionner durablement en alternative à Android et Apple, mais sa place pourrait lui être ravie par un acteur particulièrement agressif et immensément riche : Amazon.

Depuis plusieurs années, Amazon prépare en effet un smartphone basé sur une version d’Android  dépourvue de tout service Google. Cette plateforme a de fortes chances d’être une concurrence de poids pour Microsoft, d’autant qu’Amazon ($61 milliards en 2012) n’a pas pour objectif de tirer des bénéfices directement de ses smartphones, mais plutôt de favoriser les achats en ligne de ses marchandises, réelles ou virtuelles, quitte à vendre, à perte, un smartphone de qualité pour un prix très compétitif.

Cet article Pourquoi Microsoft rachète les smartphones Nokia est apparu en premier sur RiskInsight.

Après 9 mois d’existence, force est de constater que Windows 8 peine à convaincre le grand public. Pour les grands comptes, l’arrivée de Windows 8 suscite des réactions diverses.

Pour ceux qui n’ont pas encore fait le pas vers Windows 7, l’éventualité d’un passage vers Windows 8 a été écartée. Les raisons de ce rejet tiennent en deux points majeurs. D’une part, des surcoûts sont induits par la nouvelle interface utilisateur ModernUI, déroutante et nécessitant une conduite du changement renforcée. D’autre part, l’absence de support de la part des éditeurs et la faible visibilité sur sa mise en place génèrent un risque important pour la bonne tenue du planning.

Quant aux Grands Comptes ayant déjà déployé Windows 7 (ou qui sont en train de le faire), la plupart choisissent d’expérimenter Windows 8 auprès de populations nomades, majoritairement des profils commerciaux, en vue de les doter d’un terminal unique couvrant à la fois les usages de type poste de travail et tablettes (matériel dit « transformable »).

En effet, l’intérêt majeur de Windows 8 concerne le développement des usages mobiles et tactiles. Pour autant, si la DSI est enthousiaste à l’idée de gérer son parc de PC et tablettes de façon unifiée, la réaction des utilisateurs est quant à elle plus mitigée : en effet, les tablettes Windows 8 Pro restent encore à l’heure actuelle nettement plus lourdes que des matériels équivalents sous iOS ou Androïd.

Au final, les grands comptes ne se sont pas empressés pour adopter Windows 8. A l’heure où nombre d’entre eux accélèrent leurs chantiers de migration vers Windows 7 pressés par l’échéance de fin de support de Windows XP, seuls quelques-uns envisagent un déploiement tactique de transformables Windows 8 sur des populations ciblées.

Windows 8.1 : trois pas en arrière, un pas en avant

Fort de ce constat, Microsoft revient avec une nouvelle version : Windows 8.1. Cette version est marquée avant tout par une vraie remise en question des choix ergonomiques de Windows 8 : le bouton « Démarrer » est de retour, il est possible de démarrer directement sur le bureau et plus généralement de se passer complètement de l’interface ModernUI ! Il devient ainsi possible de « brider » le terminal pour lui donner une ergonomie beaucoup plus proche de Windows 7.

Les apports fonctionnels sont – quant à eux – plus mesurés. À noter toutefois la fonctionnalité de Workplace Join qui permet à un collaborateur d’intégrer ses devices personnels (smartphone et poste de travail) au SI de l’entreprise. Une fois joint, le device est reconnu en tant que périphérique personnel et peut se voir attribuer des accès aux applications de l’entreprise. De plus, il est possible de  synchroniser du contenu professionnel (Work Folders) directement sur le device personnel. Les données sont marquées comme étant du contenu professionnel, via une gestion des droits numériques (type DRM), et peuvent être effacées à distance par un administrateur.

Avec Windows 8.1, Microsoft cherche donc avant tout à répondre en urgence aux inquiétudes des grandes comptes déroutés par ModernUI. Et en cela Windows 8.1 atteint son but. Reste la problématique du support des applications et le form factor peu avantageux des matériels Windows 8 : sur ces 2 points, éditeurs et constructeurs progressent, et il est raisonnable de penser qu’à horizon d’un an, ces freins auront été levés.

Un nouveau cycle de vie…oui, mais lequel ?

Mais avec Windows 8.1, Microsoft inaugure aussi une nouvelle stratégie de mise à jour de son OS. Finis les services packs : Windows sera désormais revu complètement sur un rythme annuel.

Si l’intention de Microsoft est claire – aligner le rythme d’évolution de Windows sur celui des concurrents (Apple et Google) – la firme de Redmond n’a pour l’instant donné que peu d’éléments concrets permettant d’en appréhender l’impact sur l’organisation des DSI.

Or, cet impact pourrait être majeur. En effet les DSI ont jusqu’à présent fait évoluer leur parc de poste de travail par paliers (migration de Windows 2000 vers XP, de XP vers 7) opérés à l’occasion de migrations majeures tous les 6 à 7 ans et nécessitant des chantiers très lourds de design, d’inventaires, et de mise en compatibilité du parc applicatif.

Les DSI devront-elles demain être capables de conduire ces chantiers en continu ? Et donc pérenniser des activités qui aujourd’hui sont menées en mode projet ? Pourront-elles maîtriser le cycle de vie de leur OS ? Ou seront-elles « forcées » à suivre le nouveau rythme imposé par Microsoft ?

Là encore, les grands comptes s’inquiètent… et attendent de Microsoft des réponses claires avant de s’engager plus loin. Un point c’est tout.

[Article écrit en collaboration avec Arthur Georges, consultant]

Cet article Windows 8.1 : un point c’est tout ? est apparu en premier sur RiskInsight.

 Un outil collaboratif améliorant la productivité et l’efficacité des équipes

L’utilisation de Lync répond en premier lieu à un besoin utilisateur : il leur permet en effet de retrouver les fonctionnalités dont ils disposent dans leur environnement privé. Au-delà de satisfaire ce besoin, l’outil permet une amélioration de la productivité au quotidien.

Cette solution collaborative, qui s’intègre nativement avec l’écosystème Microsoft (Active Directory, Exchange…),  offre des fonctionnalités de messagerie instantanée, de partage d’écran et d’applications, très simples à utiliser, et disponibles via un seul et même outil.

Le chat, au contraire du mail, est un outil synchrone permettant des échanges rapides et adaptés à des situations moins formelles, alors que le statut présentiel permet de visualiser si le contact recherché est disponible à cet instant. Les fonctionnalités de partage d’écran, d’application, ou de tableau blanc rendent plus efficaces les discussions téléphoniques, quand un simple clic permet d’afficher le contenu visualisé par le correspondant, et d’interagir avec lui. Il est également possible pour des collaborateurs à distance de suivre en direct le déroulement d’une présentation menée par l’animateur depuis son poste. Lync Web App permet  au présentateur de réaliser ce partage avec des collaborateurs externes à l’entreprise ou ne disposant de compte ou de client Lync. Avec la version 2013, et le module Office Web Apps, le partage est rendu disponible sur de nombreux appareils mobiles.

Si l’utilisation de ces fonctionnalités est très simple au quotidien, il ne faut toutefois pas négliger la communication et l’accompagnement du changement, qui est une clé essentielle pour obtenir l’adhésion des utilisateurs.

Une solution de communication génératrice d’économies ?

Une partie des entreprises se tournent vers Lync à des fins de réduction de coûts, notamment les frais de déplacements et de téléphonie. En effet, Lync, grâce à la VoIP, permet de réaliser des communications audio et vidéo, avec une ou plusieurs personnes, évitant par exemple à des collaborateurs d’une entreprise internationale de se déplacer.

Toutefois, pour assurer le bon fonctionnement de ce type de communications, le facteur clé est la bande passante qui leur est allouée. Le débit nécessaire est à calculer en fonction des besoins et usages auxquels on souhaite répondre à l’aide d’abaques officiels. Il sera éventuellement nécessaire de procéder à l’augmentation de cette capacité, pouvant donc générer des coûts récurrents supplémentaires. Pour limiter les débits engendrés, il existe une solution de bridage dans la console d’administration, la CAC (Call Admission Control). Il reste recommandé de préférer à son utilisation une augmentation des capacités réseau, sous peine de voir les appels utilisateurs fréquemment refusés, poussant ces derniers à délaisser Lync pour des appels téléphoniques.

Trois solutions d’implémentation de la solution existent : on premise, dans le Cloud, ou de manière hybride (combinaison des deux modes précédents). Certaines sociétés font le choix du Cloud avec Lync Online, afin  de réduire les coûts d’infrastructure. Cette alternative leur apporte une certaine souplesse d’administration, et facilite également les migrations vers des versions supérieures, qui permettent d’intégrer rapidement les innovations. Des calculs de ROI standards existent, mais restent à projeter sur des contextes techniques et contractuels propres à chaque entreprise. Nombre d’entre elles préfèrent néanmoins garder la maîtrise de leur infrastructure.

 La solution collaborative Lync offre donc un large éventail de fonctionnalités répondant à un  besoin utilisateur, et permettant une augmentation de la productivité qui ne se mesure que de manière qualitative, et qui ne garantit pas une réduction des coûts IT. Comparé à d’autres solutions plus traditionnelles de salles de conférence, Lync apporte souplesse d’utilisation et facilité d’intégration. Néanmoins, cette solution implique une conduite du changement et une intégration de ce nouveau service dans un environnement déjà existant, et donc des contraintes d’architecture à ne pas sous-estimer.

Cet article Lync : un levier de productivité et d’économie en entreprise ? est apparu en premier sur RiskInsight.

Cet article L’actualité IT commentée par Laurent Bellefin sur BFM Business est apparu en premier sur RiskInsight.

Dans la guerre qui met en concurrence Google et Microsoft dans le détrônement de l’Ipad, Google a opté pour une tablette low cost pour mettre en avant le contenu. Nous avons lors du premier épisode vu les forces et faiblesses de cette stratégie. Qu’en est-il de notre deuxième géant Microsoft ? Qui de de Google ou de Microsoft saura s’imposer ?

La convergence tablette – PC par Microsoft

Après le succès de la Xbox et l’échec cuisant du Zune, Surface marque le grand retour de Microsoft sur le secteur du matériel. Mais cette fois-ci, sa position est plus délicate puisqu’elle place l’entreprise en concurrence directe avec ses partenaires constructeurs. Même si Microsoft a annoncé que Surface serait avant tout une vitrine de promotion de Windows 8, visant à encourager son adoption au détriment d’Androïd, ses partenaires n’en demeurent pas moins inquiets

Avec Surface, Microsoft s’attaque au marché des tablettes sur deux segments différents. À travers la version ARM tout d’abord, la société espère concurrencer l’iPad auprès du grand public. De format similaire à ce dernier, elle embarque Windows RT et une multitude d’accessoires qui font défaut aux modèles de tablettes numériques actuels : port usb, lecteur de carte et grande capacité de stockage. Mais la nouveauté provient surtout du support intégré et de la TouchCover qui abrite clavier et pad : ainsi, la surface peut aussi bien être utilisée en format “tablette” que “PC”.

C’est ensuite le monde de l’entreprise qui est dans le viseur de Surface, à travers sa version x86. Dotée d’un port USB 3.0, et surtout d’un processeur de PC, elle embarquera Windows 8 Pro : de quoi se substituer à un ordinateur professionnel.

“Surface est un PC. Surface est une tablette” a dit Steve Ballmer, illustrant ce que Surface peut apporter à l’entreprise : la possibilité de fournir à ses utilisateurs un unique terminal bénéficiant des avantages des deux mondes : les applications pro, existantes dans l’entreprise pour l’un, la mobilité, l’image et l’expérience utilisateur pour l’autre. Mais au-delà de cette nouvelle approche, il faudra également compter sur l’écosystème riche de Microsoft, où la convergence peut aller encore plus loin : Pourquoi en effet ne pas envisager de commencer un jeu sur Xbox et de le continuer sur sa tablette ou son PC ?  Ou encore, de basculer l’exécution d’une application pro de son PC vers sa tablette ou son smartphone, le tout grâce aux services cloud SkyDrive ? Ces scénarios pourraient réellement fédérer les utilisateurs et apporter de l’innovation par rapport aux usages actuels.

Hélas, c’est là également que se situe son talon d’Achille, car cet écosystème n’est pas encore équipé d’applications tablettes. Car si Windows 8 Pro permet de conserver ses applications historiques, Windows RT part de zéro : Microsoft devra être persuasifs pour séduire les développeurs et obtenir rapidement du contenu et faire face à un concurrent fort de plus de 250 000 applications pour Ipad.

Autre point faible de la tablette Microsoft, son prix. Une tablette Surface 32 Go coûtera 489 euros TTC, soit 100 euros de moins que son équivalent Apple. A cela, s’ajoute le prix de la « Touch Cover » qui culmine à plus de 100 euros. Avec un tel positionnement tarifaire  il sera difficile pour Microsoft de justifier la pauvreté de services disponibles sur sa tablette Surface en comparaison de ceux disponibles sous iOS ou Androïd.

Microsoft n’a toujours pas divulgué le prix de la version Surface x86. Mais si ce prix se place au-delà des 800€, comme annoncé par certains constructeurs, sur quoi se portera le choix des utilisateurs (et des entreprises !) entre une tablette Surface, un Sony Vaio ou un Mac Book Air haut de gamme ? Vu sous un autre angle, les utilisateurs seront-ils prêts à investir 200 à 400€ de plus pour transformer leur PC en tablette, à performances égales ?

Une actualité à suivre de près…

De nombreuses questions restent donc ouvertes, et les prochaines annonces des constructeurs seront très attendues. Quel sera le positionnement tarifaire des Surfaces x86 ? Quel sera celui de l’iPad 7″, annoncé en octobre, par rapport à la Nexus 7 ?

Si Microsoft mise sur la convergence séduisante entre tablette et PC, qui pourrait être fort appréciée du côté des entreprises, cela reste porté par l’OS. La douce évolution du monde applicatif vers une indépendance vis-à-vis des OS pourrait-il faire pencher la balance du côté de Google, qui mise plutôt sur ses services en ligne ? Il faudra vraisemblablement attendre la fin d’année pour voir quelle stratégie a payé et qui est en mesure de croquer dans la pomme.

Pour lire la première partie, cliquez ici.

Cet article Microsoft Vs Google : qui pour détrôner l’iPad ? (2ème épisode) est apparu en premier sur RiskInsight.

Construit sous l’impulsion d’Apple, le marché des tablettes numériques est aujourd’hui scindé en deux : l’historique Apple et son iPad d’un côté, Google et ses multiples constructeurs de l’autre.

Dans ce duel de titans, quels sont les terrains d’affrontement ? Et surtout, qui aura le dernier mot ?

Un marché bipolaire

L’affrontement qui oppose Apple à ses rivaux ne se joue pas sur le terrain du matériel, où l’iPad règne en maître à près de 50 points devant son premier concurrent.  L’affrontement se joue sur le système d’exploitation, où iOS culmine à 57,6% de parts de marché, contre un Androïd en-dessous de la barre des 40%.

Face à la main mise d’Apple, deux autres géants de l’informatique veulent eux aussi tenter la stratégie du “big Apple” – un contenant maîtrisé et un écosystème solide :

• Google, leader du marché OS sur smartphones avec Androïd et principal concurrent d’Apple sur les tablettes, lance une tablette à son nom, en partenariat avec le constructeur Asus. La Nexus 7, au format novateur de 7″, adresse un nouveau marché avec un prix d’entrée très agressif.
• Microsoft, leader incontesté du marché OS sur PC, lance une tablette de sa propre fabrication. La Surface sera déclinée sous 2 versions : une version ARM tournée vers le grand public, concurrente directe de l’iPad, et une version x86 plutôt tournée vers le monde professionnel.

Une stratégie  low-cost pour permettre à tous l’accès aux services Google

Pour moins de 200$, Google casse les prix du marché, en proposant une tablette aux caractéristiques plutôt « correctes » : processeur Tegra 3, 1 Go de RAM, une résolution de 1280×800 et une autonomie de plus de  9h en lecture vidéo HD. Ses accessoires sont en revanche assez réduits car elle n’intègre pas de caméra au dos, ni de sortie vidéo ou encore de lecteur de carte. Toutefois, la Nexus 7 se distingue par une bonne connectivité avec Wifi, Bluetooth et NFC.

L’objectif annoncé de ce nouveau produit est avant tout de mettre en avant le contenu, les bénéfices de la firme sur la vente de la tablette étant réduits au maximum afin de permettre à toutes les bourses l’accès aux services Google. Son format “livre”, 7 pouces pour 340g, devrait d’ailleurs permettre le lancement du service ebook de la marque dans les meilleures conditions.

À travers la Nexus 7, Google veut donc s’assurer de la mise en avant de ses propres services en ligne et éviter ainsi qu’elle ne soit qu’une passerelle vers internet et les multiples offres concurrentes. Mais au-delà de la promotion de services, la tablette pourrait bien avoir un impact sur les prix du marché, incitant les autres constructeurs à réduire leurs marges pour rester dans la course.

Que serait alors la stratégie d’Apple, qui se positionne sur un marché « haut de gamme et pratique aujourd’hui près de 40% de marge sur ses produits ?

Peut-on s’attendre à voir évoluer le marché des tablettes vers celui du PC : de forts volumes mais de faibles marges unitaires ?

La réponse dépendra fortement du succès rencontré par le nouveau-né de Google. Si la version 16 Go est déjà en rupture de stock, moins d’un mois après sa sortie, c’est à plus long terme qu’il faudra l’étudier, afin de s’affranchir de l’effet d’annonce. Car si les tablettes Androïd sont encore loin derrière l’iPad c’est en partie à cause de leur faiblesse en contenus et applications dédiées disponibles. C’est sur ce point-là que Google sera attendu : hormis la taille de l’écran, il faudra justifier la valeur ajoutée d’une tablette 7″ par rapport à un smartphone, que l’utilisateur possède généralement déjà.

Mais si  Google doit encore faire ses preuves, qu’en est-il de Microsoft ? C’est ce que nous verrons lors du prochain épisode…

Pour lire la suite, cliquez ici.

Cet article Microsoft vs Google : qui pour détrôner l’iPad ? (1er épisode) est apparu en premier sur RiskInsight.

Après l’énorme campagne de communication déployée par Microsoft depuis quelques mois sur la nouvelle version de l’OS (Operating System) le plus répandu au monde, la sortie de la Consumer Preview de Windows 8 (le 19 février dernier) permet d’en apprécier les nouveautés et d’alimenter le débat sur toutes les problématiques posées par cette nouvelle mouture. Un changement stratégique et ergonomique, annoncé comme le plus important depuis l’avènement de Windows 95.

Pour l’utilisateur, les nouveautés sont de taille, et la plus marquante est certainement la coexistence de deux interfaces : le “Bureau”, similaire à Windows 7, et “Metro”, orientée vers un usage tactile, pour le web et les applications. Et c’est l’arrivée de Metro qui aujourd’hui fait débat, par le changement qu’il implique dans la manière d’utiliser son poste.

En effet, la suppression du bouton Windows et la philosophie d’utilisation « tablette » vont certainement surprendre la majorité des utilisateurs et la prise en main risque de prendre un certain temps. Et si cette interface a été pensée pour faciliter la consommation d’informations, usage majeur dans la sphère privée, sera-t-elle pour autant adaptée à la production de contenus en entreprise ? Toujours est-il que, malgré l’aide que pourra apporter la généralisation de l’OS dans le monde grand public, toute apparition de Metro en entreprise nécessitera une importante conduite du changement, dont l’ampleur sera fonction de la politique adoptée par l’entreprise (promotion, autorisation ou blocage de l’interface).

Quels changements pour l’entreprise ?

Outre une nouvelle interface, avec Metro arrive aussi une nouvelle génération d’applications, basées sur un nouveau framework (WinRT) et destinées au monde tactile.

En effet, si les applications compatibles Windows 7 devraient également l’être pour le “Bureau” de Windows 8, il sera nécessaire de les repenser entièrement pour les adapter à l’interface Metro. Et si Microsoft a voulu proposer un OS véloce, c’est au détriment de certaines fonctionnalités, comme le non support d’add-ons sur la version Metro d’internet explorer. Cette adaptation, dans laquelle l’entreprise se trouvera confrontée à l’introduction du HTML 5, pourrait constituer un chantier supplémentaire après la difficile migration des applications de XP vers Windows 7. Concernant les éditeurs, très peu d’éléments ont été rendus publics sur leur stratégie, mais ils vont vraisemblablement devoir s’adapter et proposer une version pour chaque “monde”. Parallèlement, le développement vers Metro est aujourd’hui encore très peu documenté.

Mais au-delà de Metro, on retrouve également une meilleure intégration des solutions de connectivité (Wi-Fi Direct, NFC, USB 3.0…), une gestion native du cloud (Microsoft) et de la virtualisation, ainsi qu’une optimisation des performances permettant notamment un démarrage en 8 secondes. On peut noter quelques innovations comme “Windows To Go”, permettant d’avoir une version personnalisée et exécutable de l’OS sur une clé USB, et une migration annoncée “transparente pour l’utilisateur” depuis Windows 7. Mais la force majeure de Windows 8 est de proposer un OS unique pour PC et tablettes (et très similaire pour smartphones), à l’heure où l’augmentation des tablettes est inéluctable dans le SI des entreprises (forces de vente, commerciaux, relation client…).

De par son approche moderniste et sa présence en standard sur de nombreux matériels neufs, Windows 8 devrait progresser rapidement sur le marché grand public. Le tout est maintenant de savoir ce qu’il va en être de son adoption par les entreprises. Après l’échec de Vista et le succès toujours grandissant de Windows 7, la version 8 va-t-elle respecter la règle de “une version performante sur deux” généralement constatée au sein des grandes entreprises ?

L’approche « user-centric », une grande nouveauté Microsoft

L’objectif de Windows 8 est également de replacer l’utilisateur au centre de l’environnement de travail. Il lui permettra de retrouver son environnement personnalisé et ses données sur n’importe quel poste grâce à SkyDrive[1], et de télécharger ses applications favorites via la boutique en ligne Windows Store. Tout ceci à travers l’utilisation de son compte personnel Windows Live. Une façon de rassembler les services en ligne Microsoft autour de l’utilisateur, et de normaliser leur usage. En d’autres termes, Microsoft réinvente l’Apple world.

Cette approche « user-centric » pourra nécessiter la revue des modalités d’intégration des machines au sein d’un SI d’entreprise, de par la nécessité de s’authentifier avec un compte personnel. Faudrait-il alors considérer les terminaux Windows 8 comme forme de BYOD[2] ?

Une actualité à suivre de près

De nombreuses questions restent donc ouvertes, et vont encore faire débat dans les mois qui viennent au fil des annonces de Microsoft et des autres grands acteurs. Faut-il migrer vers Windows 8 ? Est-il préférable de migrer au fil de l’eau ou de mettre toutes les applis en conformité Metro avant de migrer ?

À l’heure où les annonces et les spéculations vont bon train, il faudra suivre de près les débats publics d’un côté et les réflexions stratégiques des entreprises de l’autre, afin de savoir qui sera dans le wagon de tête pour migrer vers Metro.

Cet article Windows 8 – Metro, boulot, perso ? est apparu en premier sur RiskInsight.