Reconstitution d'une timeline d'attaque Microsoft 365

Feuille de route du corpus — publication programmée

Cette fiche fait partie du corpus DFIR Microsoft 365 Hermes Codex (bloc IX — DFIR methodology). L’analyse technique approfondie, les artefacts de journalisation et la méthodologie d’investigation s’appuient sur les fondations architecturales établies en Phase 1.

Vue d’ensemble & contexte d’investigation

Cette fiche de référence documente les mécanismes techniques, les artefacts de journalisation et la méthodologie médicolégale pour Reconstitution d’une Timeline d’Attaque Microsoft 365.

Lors des interventions de réponse à incident dans un environnement Microsoft 365, l’analyste doit articuler le plan d’identité, la télémétrie des charges applicatives et l’audit unifié en respectant rigoureusement la chaîne de preuve :

Possible → Configuré → Autorisé → Accessible → Utilisé → Observé → Prouvé

---

Références clés & prérequis

01. Fondamentaux DFIR M365 Comprendre l'architecture globale du tenant, les frontières d'identité et les workloads.

02. Plan d'Identité Entra ID Examiner les pipelines d'authentification des utilisateurs, groupes, appareils et service principals.

04. Préparation d'un Tenant pour le DFIR Protocole d'embarquement CSIRT, hygiène des accès et préservation conservatoire.

06. Matrice d'Accès Opérationnelle M365 DFIR Tableau de référence des rôles, licences, portails et rétentions par source de log.