08 · Gérer et surveiller l'accès aux applications avec Microsoft Defender for Cloud Apps

Version : 1.1 · Date : 2026-10-21 · Domaine 3 de l'examen : Plan and implement workload identities (20 à 25 %)

En une phrase : Microsoft Defender for Cloud Apps est le CASB (Cloud Access Security Broker) de Microsoft. Il découvre les apps utilisées (Cloud Discovery), se connecte aux apps connues par leur API (App connectors), contrôle en temps réel les sessions navigateur (Conditional Access App Control) et gouverne les OAuth apps consenties par les utilisateurs.

Ce que l'examen demande#

Bloc Manage and monitor app access by using Microsoft Defender for Cloud Apps du guide d'étude SC-300 (compétences du 28/10/2026) :

Les bases de Conditional Access (assignments, grant controls, session controls) sont au chapitre 05 et dans SC-500, chapitre 01. Le consentement OAuth (user consent settings, admin consent workflow) est au chapitre 07 et dans SC-500, chapitre 01. Ce chapitre se concentre sur Defender for Cloud Apps.

1. Les bases à maîtriser#

1.1 Où est Defender for Cloud Apps#

Defender for Cloud Apps fait partie de Microsoft Defender XDR : on l'administre dans le Microsoft Defender portal (security.microsoft.com), menu Cloud Apps, et ses réglages sont sous Settings > Cloud Apps. Les rôles se donnent sous Permissions > Cloud Apps > Roles.

1.2 Licences#

1.3 Rôles d'administration#

Pour connecter Microsoft 365 (et activer la surveillance des fichiers), il faut un compte avec un rôle Entra comme Application Administrator ou Cloud Application Administrator. Les rôles App/instance admin et User group admin ne sont plus proposés pour les nouvelles configurations.

2. Cloud Discovery : découvrir le shadow IT#

2.1 Les sources de données#

Mettre en place un log collector :

1. Settings > Cloud Apps > Cloud Discovery > Automatic log upload > Data sources : un data source par firewall ou proxy (choisir l'appliance dans Source, ou Custom log format), avec un Receiver type (FTP, FTPS, Syslog – UDP, Syslog – TCP, Syslog – TLS).
2. Onglet Log collectors > Add log collector : nom, adresse IP du futur hôte, data sources reliées. Le portail affiche la commande docker run à copier (avec le jeton) et les ports d'écoute (par défaut Syslog 514/UDP…, FTP 21/TCP).
3. Sur l'hôte : installer Docker, coller la commande, vérifier avec docker logs <collector_name> (« Finished successfully! »).
4. Configurer le firewall ou le proxy pour exporter ses logs vers le port Syslog ou le dossier FTP indiqués.

Prérequis de l'hôte : 2 cœurs, 4 Go de RAM, 250 Go de disque. Le collecteur compresse (le trafic sortant vaut environ 10 % des logs reçus) et une alerte est levée si aucune donnée n'arrive pendant 48 heures.

Intégration Defender for Endpoint : dans le portail Defender, Settings > Endpoints > General > Advanced features > Microsoft Defender for Cloud Apps (bascule On, puis Save preferences). Les données peuvent mettre jusqu'à deux heures à apparaître dans Defender for Cloud Apps. Le blocage d'une app Unsanctioned sur les postes prend jusqu'à trois heures (synchronisation, puis Network Protection).

2.2 Analyser les résultats#

• Cloud Discovery dashboard : apps découvertes par catégorie, utilisateurs, IP, appareils, trafic, et risk score de chaque app.
• Rapports : Global report (toutes les sources de logs, sans les données Defender for Endpoint), un rapport par data source, et des continuous reports personnalisés filtrés par User groups, IP address tags ou plages d'IP (limite : 1 Go de données non compressées par rapport personnalisé).
• App discovery policies (Policies > Policy management) : modèles New risky app, New high volume app, New popular app ; une alerte par nouvelle app non vue depuis 90 jours. Action de gouvernance possible : Tag app as unsanctioned (bloque automatiquement si l'intégration de blocage est active).

3. Le Cloud app catalog#

Le Cloud app catalog (Cloud apps > Cloud app catalog) liste plus de 31 000 apps, notées sur plus de 90 risk factors. Le risk score (de 0 à 10) est une moyenne pondérée de quatre catégories : General, Security, Compliance, Legal.

App tags intégrés :

Prérequis du blocage : Settings > Cloud Apps > Cloud Discovery > Microsoft Defender for Endpoint > Enforce app access, Custom network indicators activés dans Defender for Endpoint, et Defender Antivirus avec real-time protection, cloud-delivered protection et network protection en mode block. Sans Defender for Endpoint : block script pour l'appliance réseau, ou blocage par la SWG.

4. Connected apps : les App connectors#

Un app connector utilise l'API de l'éditeur (HTTPS) pour donner à Defender for Cloud Apps : comptes et groupes, audit trail (activités utilisateurs, admins, connexions), gouvernance des comptes (suspend user…), app permissions (OAuth) et, selon les apps, l'analyse des données et la configuration (SSPM, visible dans Secure Score).

Connecter une app : Settings > Cloud Apps > Connected apps > App Connectors > + Connect an app, puis suivre le guide de l'app.

Le connecteur Microsoft 365 alimente aussi la table CloudAppEvents de l'advanced hunting de Defender XDR (voir SC-500, chapitre 11).

5. Application-enforced restrictions#

Le session control Use app enforced restrictions d'une Conditional Access policy demande à Microsoft Entra ID de transmettre l'état de l'appareil (compliant ou hybrid joined) à l'app, qui donne alors une expérience complète (appareil géré) ou limitée (appareil non géré). Il ne fonctionne qu'avec Exchange Online et SharePoint Online (et OneDrive).

SharePoint et OneDrive (au moins SharePoint Administrator) :

• SharePoint admin center > Policies > Access control > Unmanaged devices : Allow full access, Allow limited, web-only access (navigateur seulement, pas de téléchargement, d'impression ni de synchronisation) ou Block access. Le portail crée lui-même la Conditional Access policy correspondante.
• Par site : Set-SPOSite -Identity <url> -ConditionalAccessPolicy AllowLimitedAccess (ou BlockAccess). Un site ne peut pas être plus permissif que le réglage de l'organisation.
• Bloquer aussi les Apps that don't use modern authentication, sinon les anciens clients contournent la restriction.

Exchange Online (Outlook on the web et nouvel Outlook pour Windows) :

# Pièces jointes visibles mais non téléchargeables sur appareil non géré
Set-OwaMailboxPolicy -Identity "OwaMailboxPolicy-Default" -ConditionalAccessPolicy ReadOnly
# Ou : pièces jointes même pas visibles
Set-OwaMailboxPolicy -Identity "OwaMailboxPolicy-Default" -ConditionalAccessPolicy ReadOnlyPlusAttachmentsBlocked

Puis une Conditional Access policy : Target resources = Office 365 Exchange Online, Session = Use app enforced restrictions.

6. Conditional Access App Control#

6.1 Le fonctionnement#

1. L'utilisateur se connecte à une app via Microsoft Entra ID.
2. Une Conditional Access policy avec le session control Use Conditional Access App Control route la session vers Defender for Cloud Apps.
3. Defender for Cloud Apps applique ses access policies et session policies :
   • Microsoft Edge (Edge for Business) : in-browser protection, sans redirection (icône de cadenas dans la barre d'adresse), en préversion ;
   • autres navigateurs : reverse proxy, l'URL prend le suffixe *.mcas.ms (myapp.com devient myapp.com.mcas.ms).

Aucun agent sur l'appareil : idéal pour les appareils non gérés et les partenaires. Le proxy ne stocke pas de données au repos.

6.2 Configurer#

Apps Microsoft Entra ID : elles sont onboardées automatiquement. Il suffit de créer la Conditional Access policy (au moins Conditional Access Administrator) :

1. Entra ID > Conditional Access > Policies > New policy.
2. Users : All users, en excluant les comptes d'urgence.
3. Target resources : les apps à protéger.
4. Session > Use Conditional Access App Control, puis Use custom policy (pour utiliser les policies de Defender for Cloud Apps) ou un réglage prédéfini (Monitor only, Block downloads).
5. Report-only d'abord, puis On.

Apps avec un IdP non Microsoft (Okta, Ping…) : à onboarder manuellement (catalog apps ou custom apps), en configurant l'IdP pour envoyer la session vers Defender for Cloud Apps, puis en ajoutant les domaines de l'app.

Pièges de configuration :

• Defender for Cloud Apps utilise l'enterprise application Microsoft Defender for Cloud Apps - Session Controls. Une Conditional Access policy qui fait Block access sur toutes les apps sans l'exclure casse les sessions contrôlées. L'inclure dans les policies basées sur la localisation.
• Les session controls ne s'appliquent qu'aux sessions navigateur interactives (Edge, Chrome, Firefox, Safari récents). Pas aux clients natifs ni à Teams desktop : bloquer les clients Mobile and desktop par une access policy, sinon on contourne.
• Les policies se posent au niveau de l'app, pas du fichier. Une policy sur Teams ne couvre pas SharePoint (app de ressources) : créer une policy par app.
• TLS 1.2 minimum.
• Par défaut, l'utilisateur est notifié que sa session est surveillée (Settings > Cloud Apps > Conditional Access App Control > User monitoring).

7. Access policies et session policies#

Créer : Cloud Apps > Policies > Policy management > Conditional Access > Create policy > Access policy ou Session policy.

Session control types d'une session policy :

À retenir :

• Inspection du contenu par Microsoft Data Classification Services ou Malware detection (Microsoft Threat Intelligence).
• Protect exige un sensitivity label avec chiffrement dans Microsoft Purview ; formats Office et PDF.
• Plusieurs policies en conflit : la plus restrictive gagne.
• Pour tester : se déconnecter, se reconnecter, vérifier le cadenas Edge ou le suffixe .mcas.ms, puis Cloud apps > Activity log (filtre Source equals Access control).

flowchart TD
    A["Besoin : protéger une app SaaS sur appareil non géré"] --> B{"Exchange Online ou SharePoint ?"}
    B -- Oui --> C{"Accès limité au navigateur suffit ?"}
    C -- Oui --> D["Use app enforced restrictions<br/>Allow limited, web-only access / ReadOnly"]
    C -- Non --> E["Conditional Access App Control"]
    B -- Non --> E
    E --> F{"Tout bloquer ou contrôler la session ?"}
    F -- Bloquer --> G["Access policy : Block<br/>ou grant control Block access dans Entra"]
    F -- Contrôler --> H["Session policy :<br/>Control file download, Block activities, Protect"]

8. OAuth apps et app governance#

Les OAuth apps sont des apps tierces auxquelles des utilisateurs ont consenti des permissions sur leurs données (Microsoft 365, Google Workspace, Salesforce). Defender for Cloud Apps les inventorie et permet d'agir.

8.1 Où les gérer#

• Avec app governance activé (cas courant) : App governance dans le portail Defender (onglets par plateforme : Microsoft Entra, Google, Salesforce).
• Sans app governance : page Cloud Apps > OAuth apps. Elle ne liste que les apps aux delegated permissions.
• Prérequis : un app connector Microsoft 365, Google Workspace ou Salesforce.
• Informations : Authorized by (nombre d'utilisateurs, consentement admin ou non), Permissions level (High, Medium, Low), App state (approved, banned, undetermined), Community use (common, uncommon, rare), Publisher (verified ou non).
• App governance ajoute l'activité Microsoft Graph (services accédés, taux d'erreur), les sensitivity labels accédés et l'hygiène (apps inutilisées, credentials inutilisés ou qui expirent).

8.2 Les policies#

Création : Cloud Apps > Policies > Policy management > Threat detection > Create policy > OAuth app policy, ou App governance > Policies > + Create policy si app governance est actif.

8.3 Agir sur une app#

Les rôles d'app governance sont des rôles Microsoft Entra (pas les rôles propres à Defender for Cloud Apps), sauf pour la table OAuthAppInfo de l'advanced hunting.

Prévenir, puis détecter : la prévention se fait dans Entra ID (user consent settings, permission classifications, admin consent workflow : chapitre 07) ; Defender for Cloud Apps détecte et corrige ce qui est déjà consenti.

9. Activity policies et anomaly detection#

Hors des sept compétences mais utile pour les questions de scénario :

• Activity policies : alerter sur une activité donnée d'un connecteur (modèles Logon from a risky IP address, Mass download by a single user, Potential ransomware activity…), avec des actions de gouvernance (suspend user…).
• Anomaly detection policies (actives par défaut, apprentissage automatique) : Impossible travel, Activity from infrequent country, Activity from anonymous IP addresses, Activity performed by terminated user, Suspicious inbox forwarding, Unusual file deletion / share / download activities, Ransomware detection. Certaines remontent dans Microsoft Entra ID Protection comme détections de risque (chapitre 06).

10. Labs conseillés#

Tenant de test avec une licence d'essai Microsoft 365 E5 (inclut Defender for Cloud Apps et Entra ID P2). Coût : nul pendant l'essai ; supprimer à la fin les policies créées et l'app connector.

1. Snapshot report : exporter les logs de trafic d'un firewall ou d'un proxy de lab (format d'une appliance supportée), créer un snapshot report, ouvrir les apps découvertes et leur risk score. Résultat attendu : apps classées par catégorie.
2. Catalogue et blocage : dans le Cloud app catalog, filtrer Cloud storage avec SOC 2 = Yes ; taguer une app Unsanctioned ; avec un poste Defender for Endpoint de lab et Enforce app access, tenter d'ouvrir l'app après quelques heures. Résultat attendu : page de blocage de Defender Antivirus.
3. App connector Microsoft 365 : connecter Microsoft 365 (audit Purview activé), puis consulter Activity log. Résultat attendu : connexions et activités SharePoint / Exchange visibles.
4. Session policy : Conditional Access policy sur SharePoint Online avec Use Conditional Access App Control > Use custom policy (Report-only puis On, comptes d'urgence exclus) ; session policy Control file download (with inspection) > Block pour les appareils non gérés ; télécharger un fichier depuis un navigateur. Résultat attendu : URL en .mcas.ms (ou cadenas Edge), téléchargement remplacé par un message.
5. App enforced restrictions : régler SharePoint sur Allow limited, web-only access et OWA sur ReadOnly, se connecter depuis un appareil non géré. Résultat attendu : bandeau d'accès limité, pas de téléchargement de pièce jointe.

11. Les pièges d'examen#

12. Scénarios d'entraînement#

1. Contoso veut savoir quelles apps de stockage cloud ses employés utilisent, au bureau comme en télétravail, sans installer d'agent supplémentaire. Tous les postes Windows 11 sont dans Defender for Endpoint.

Activer l'intégration Defender for Endpoint (Advanced features > Microsoft Defender for Cloud Apps). Les signaux réseau des postes alimentent Cloud Discovery, y compris hors du réseau, avec le contexte utilisateur et appareil.

2. Le firewall de l'agence de Lyon ne peut envoyer ses logs qu'en Syslog. Que déployer ?

Un data source (appliance du firewall, receiver Syslog) et un log collector Docker sur un hôte Linux de l'agence. On copie la commande générée par le portail et on pointe le firewall vers le port Syslog indiqué.

3. Une app de partage de fichiers à risque doit être interdite, mais l'équipe Marketing doit garder l'accès 30 jours.

Créer un scoped profile en Exclude pour le device group Marketing, puis taguer l'app Unsanctioned avec ce profil.

4. Fabrikam veut que les consultants externes, sur leurs propres PC, puissent lire les documents SharePoint dans le navigateur sans pouvoir les télécharger. Solution la plus simple ?

Use app enforced restrictions : SharePoint Allow limited, web-only access (ou Set-SPOSite -ConditionalAccessPolicy AllowLimitedAccess sur les sites concernés) avec la Conditional Access policy associée. Pas besoin de Defender for Cloud Apps.

5. Même besoin pour Salesforce, et en plus labelliser « Confidentiel » tout rapport téléchargé depuis un appareil géré.

Conditional Access App Control : Conditional Access policy sur Salesforce avec Use Conditional Access App Control > Use custom policy, puis deux session policies : Control file download > Block pour les appareils non gérés, et Protect avec le sensitivity label (chiffrement) pour les appareils gérés.

6. Les utilisateurs contournent le blocage des téléchargements en utilisant l'app mobile de l'éditeur. Que faire ?

Une access policy avec Client app = Mobile and desktop et l'action Block : seules les sessions navigateur, contrôlables, restent autorisées.

7. Après la création d'une policy « Block access sur toutes les apps sauf liste blanche », les apps protégées par session control ne s'ouvrent plus. Cause ?

La policy bloque aussi l'enterprise application Microsoft Defender for Cloud Apps - Session Controls. Il faut l'exclure des Target resources.

8. Une app OAuth inconnue, publiée par un éditeur non vérifié, a reçu Files.ReadWrite.All de 3 utilisateurs, dont un Global Administrator. Comment détecter ce cas automatiquement et le stopper ?

Une OAuth app policy (ou custom app policy d'app governance) : permission High, Community use = rare, consentie par un membre d'un rôle d'administration, action Disable app. En amont, durcir les user consent settings (chapitre 07).

9. Le SOC veut un rôle qui gère les alertes Defender for Cloud Apps sans pouvoir créer ou modifier de policies ni lancer d'actions de gouvernance.

Security Operator : lecture et gestion des alertes, sans création de policies ni actions de gouvernance. (Security Reader ne peut pas gérer les alertes.)

10. Un responsable sécurité trouve que le score d'une app est injuste parce que l'éditeur a obtenu ISO 27001 le mois dernier.

Request score update (suggestion de mise à jour des données de l'app) ; en attendant, Override app score avec une App note.

13. Pour aller plus loin#

• SaaS Security Posture Management (SSPM) : recommandations de configuration des apps connectées dans Microsoft Secure Score.
• IA générative : le catalogue a des catégories Generative AI, AI – Model Provider et AI – MCP Server ; une app discovery policy peut alerter sur toute nouvelle app d'IA et la taguer Unsanctioned.
• Edge for Business in-browser protection (préversion) : protège sans proxy, plus fiable pour les apps qui supportent mal le reverse proxy.
• Microsoft Sentinel et Defender XDR : les alertes de Defender for Cloud Apps sont corrélées en incidents dans Defender XDR ; les activités alimentent CloudAppEvents (advanced hunting) — voir SC-500, chapitre 11.
• Global Secure Access (Internet Access) recoupe une partie du contrôle des apps web : voir le chapitre 06.

14. Fiche à retenir#

• Defender for Cloud Apps = CASB, dans le Microsoft Defender portal > Cloud Apps ; 4 leviers : Cloud Discovery, App connectors, Conditional Access App Control, app governance.
• Cloud Discovery : snapshot (manuel) ou continuous (log collector Docker Syslog/FTP, Defender for Endpoint, SWG, API).
• Defender for Endpoint = découverte hors réseau et blocage ; tags Unsanctioned (bloque, ≤ 3 h) et Monitored (avertit).
• Cloud app catalog : 31 000+ apps, 90+ risk factors, score 0-10 sur General / Security / Compliance / Legal ; Score metrics, Override app score, Request score update.
• App connectors = API ; Microsoft 365 exige l'audit Purview ; pas de multi-instance pour Microsoft 365 et Azure.
• Use app enforced restrictions = Exchange Online et SharePoint seulement (limited, web-only access ; ReadOnly).
• Use Conditional Access App Control = toute app web ; apps Entra onboardées automatiquement, IdP tiers manuellement ; proxy *.mcas.ms ou Edge.
• Access policy (Audit / Block, filtre Client app) ; session policy (Monitor only, Block activities, Control file download / upload ; Block, Protect, step-up).
• La policy la plus restrictive gagne ; ne pas bloquer Microsoft Defender for Cloud Apps - Session Controls ; navigateur seulement.
• OAuth apps : delegated permissions, Community use, permission level ; Disable app, Revoke OAuth app permission ; anomaly detection Misleading name / Malicious consent.
• Licence : Defender for Cloud Apps (E5) + Entra ID P1 pour Conditional Access App Control ; rôle Cloud App Security Administrator.
• File policies retirées le 06/01/2027 → Microsoft Purview.

Références#

Toutes lues le 21/10/2026 sur Microsoft Learn :

• Study guide for Exam SC-300
• Get started with Microsoft Defender for Cloud Apps
• Cloud app discovery overview
• Configure automatic log upload for continuous reports
• Configure automatic log upload using on-premises Docker on Linux
• Advanced log collector management
• Integrate Microsoft Defender for Endpoint with Defender for Cloud Apps
• Govern discovered apps using Microsoft Defender for Endpoint
• View discovered apps with the Cloud discovery dashboard
• Create cloud discovery policies
• Find your cloud app and calculate risk scores
• Connect apps to get visibility and control
• How Defender for Cloud Apps helps protect your Microsoft 365 environment
• Conditional Access: Session
• SharePoint and OneDrive unmanaged device access controls
• Recommended policies for Microsoft 365 workloads (Zero Trust)
• Set-OwaMailboxPolicy
• Conditional Access app control in Defender for Cloud Apps
• Create access policies
• Create session policies
• Create policies to control OAuth apps
• Manage OAuth apps
• Learn about OAuth app policies (app governance)
• Create and manage OAuth app policies
• Configure admin access in Defender for Cloud Apps
• Microsoft Defender service description (licensing)
• Cloud app visibility and control (Cloud App Discovery, Entra ID P1)