Archive des nouveautés de Defender pour le cloud ?

La page principale des notes de publication Nouveautés de Defender pour le cloud a trait aux mises à jour des six derniers mois, tandis que celle-ci a trait à des mises à jour plus anciennes.

Cette page fournit des informations sur les points suivants :

• Nouvelles fonctionnalités
• Résolution des bogues
• Fonctionnalités dépréciées

September 2023

Date	Update
27 septembre	Tableau de bord de la sécurité des données disponible en préversion publique
21 septembre	Version préliminaire : nouveau processus d’approvisionnement automatique pour SQL Server plan sur les machines
20 septembre	Alertes GitHub Advanced Security pour Azure DevOps dans Defender pour le cloud
11 septembre	Fonctionnalité exemptée désormais disponible pour les recommandations de Defender pour API
11 septembre	Créer des exemples d’alertes pour les détections de Defender pour API
6 septembre	Préversion : L’évaluation des vulnérabilités des conteneurs optimisée par l’agent Gestion des vulnérabilités Microsoft Defender prend désormais en charge l’analyse lors de l’extraction
6 septembre	Format de nommage des normes de Center for Internet Security (CIS) en matière de conformité réglementaire mis à jour
5 septembre	Découverte de données sensibles pour les bases de données PaaS (préversion)
1er septembre	Disponibilité générale (General Availability/GA) : analyse des programmes malveillants dans Defender pour le stockage

Tableau de bord de la sécurité des données disponible en préversion publique

27 septembre 2023

Le tableau de bord de la sécurité des données est désormais disponible en préversion publique dans le cadre du plan CSPM Defender. Le tableau de bord de la sécurité des données est un tableau de bord interactif centré sur les données qui met en lumière les risques importants pour les données sensibles, en hiérarchisant les alertes et les chemins d’attaque éventuels pour les données sur les charges de travail cloud hybrides. Découvrez plus d’informations sur le tableau de bord de la sécurité des données.

Version préliminaire : nouveau processus d’approvisionnement automatique pour SQL Server plan sur les machines

21 septembre 2023

Microsoft Monitoring Agent (MMA) sera déprécié en août 2024. Defender pour le cloud a mis à jour sa stratégie en remplaçant MMA par la publication d’un processus d’approvisionnement automatique de l’agent de surveillance Azure SQL Server ciblé.

Pendant la préversion, les clients qui utilisent le processus de provisionnement automatique MMA avec l’option Agent Azure Monitor (préversion) sont priés de migrer vers le nouveau processus de provisionnement automatique Azure Monitoring Agent pour SQL Server sur des machines (préversion). Le processus de migration est transparent et fournit une protection continue pour toutes les machines.

Pour plus d’informations, consultez Migrer vers le processus de provisionnement automatique Azure Monitoring Agent ciblé sur SQL Server.

Alertes GitHub Advanced Security pour Azure DevOps dans Defender pour le cloud

20 septembre 2023

Vous pouvez maintenant afficher GitHub Advanced Security pour les alertes Azure DevOps (GHAzDO) relatives à CodeQL, aux secrets et aux dépendances dans Defender pour le cloud. Les résultats sont affichés sur la page DevOps et dans Recommandations. Pour voir ces résultats, intégrez vos dépôts avec GHAzDO à Defender pour le cloud.

En savoir plus sur GitHub Advanced Security pour Azure DevOps.

Fonctionnalité exemptée désormais disponible pour les recommandations de Defender pour API

11 septembre 2023

Vous pouvez désormais exempter les recommandations pour les recommandations de sécurité Defender pour API suivantes.

Recommandation	Description et stratégie associée	Niveau de gravité
(Préversion) Les points de terminaison d’API inutilisés doivent être désactivés et supprimés du service Gestion des API Azure	Comme bonne pratique de sécurité, les points de terminaison d’API qui n’ont pas reçu de trafic depuis 30 jours sont considérés comme inutilisés et doivent être supprimés du service Gestion des API Azure. La conservation des points de terminaison d’API inutilisés peut présenter un risque de sécurité. Il s’agit peut-être d’API qui auraient dû être dépréciées du service Gestion des API Azure, mais qui ont été laissées actives par erreur. Ces API ne bénéficient généralement pas de la couverture de sécurité la plus récente.	Faible
(Préversion) Les points de terminaison d’API dans Gestion des API Azure doivent être authentifiés	Les points de terminaison d’API publiés dans Gestion des API Azure doivent appliquer l’authentification pour faciliter la réduction des risques de sécurité. Les mécanismes d’authentification sont parfois implémentés de manière incorrecte ou sont manquants. Cela permet aux attaquants d’exploiter les failles d’implémentation et d’accéder aux données. Pour les API publiées dans Gestion des API Azure, cette recommandation évalue l’exécution de l’authentification par le biais des clés d’abonnement, du jeton JWT et du certificat client configurés dans Gestion des API Azure. Si aucun de ces mécanismes d’authentification n’est exécuté pendant l’appel d’API, l’API reçoit cette recommandation.	Élevée

En savoir plus sur les recommandations d’exemption dans Defender pour le cloud.

Créer des exemples d’alertes pour les détections de Defender pour API

11 septembre 2023

Vous pouvez maintenant générer des exemples d’alertes pour les détections de sécurité qui ont été publiées dans le cadre de la préversion publique de Defender pour API. Découvrez plus d’informations sur la génération d’exemples d’alertes dans Defender pour le cloud.

Préversion : l’évaluation des vulnérabilités des conteneurs optimisée par l’agent Gestion des vulnérabilités Microsoft Defender prend désormais en charge l’analyse lors de l’extraction

6 septembre 2023

L’évaluation des vulnérabilités des conteneurs optimisée par l’agent Gestion des vulnérabilités Microsoft Defender (MDVM) prend désormais en charge un déclencheur supplémentaire pour l’analyse des images extraites d’un ACR. Ce déclencheur nouvellement ajouté fournit une couverture supplémentaire pour les images actives en plus des déclencheurs existants qui analysent les images envoyées à un ACR au cours des 90 derniers jours et les images en cours d’exécution dans AKS.

Ce nouveau déclencheur commencera à être déployé aujourd’hui et devrait être disponible pour tous les clients d’ici la fin du mois de septembre.

Pour plus d’informations, consultez L’évaluation des vulnérabilités des conteneurs optimisée par MDVM

Format de nommage des normes de Center for Internet Security (CIS) en matière de conformité réglementaire mis à jour

6 septembre 2023

Le format de nommage des benchmarks de base CIS (Center for Internet Security) dans le tableau de bord de conformité passe de [Cloud] CIS [version number] à CIS [Cloud] Foundations v[version number]. Reportez-vous au tableau suivant :

Nom actuel	Nouveau nom
Azure CIS 1.1.0	CIS Azure Foundations v1.1.0
Azure CIS 1.3.0	CIS Azure Foundations v1.3.0
Azure CIS 1.4.0	CIS Azure Foundations v1.4.0
AWS CIS 1.2.0	CIS AWS Foundations v1.2.0
AWS CIS 1.5.0	CIS AWS Foundations v1.5.0
GCP CIS 1.1.0	CIS GCP Foundations v1.1.0
GCP CIS 1.2.0	CIS GCP Foundations v1.2.0

Découvrez comment améliorer votre conformité réglementaire.

Découverte de données sensibles pour les bases de données PaaS (préversion)

5 septembre 2023

Les fonctionnalités de la posture de sécurité sensible aux données pour la découverte de données sensibles sans friction pour les bases de données PaaS (bases de données Azure SQL et instances Amazon RDS de tout type) sont désormais en préversion publique. Cette préversion publique vous permet de créer une carte de vos données critiques où qu’elles se trouvent et du type des données qui se trouvent dans ces bases de données.

La découverte de données sensibles pour les bases de données Azure et AWS ajoute à la taxonomie et à la configuration partagées, qui sont déjà disponibles publiquement pour les ressources de stockage d’objets cloud (Stockage Blob Azure, compartiments AWS S3 et compartiments de stockage GCP) et fournit une expérience de configuration et d’activation unique.

Les bases de données sont analysées chaque semaine. Si vous activez sensitive data discovery, la découverte s’exécute dans les 24 heures. Les résultats peuvent être affichés dans le Cloud Security Explorer ou en examinant les nouveaux chemins d’attaque pour les bases de données managées comprenant des données sensibles.

La posture de sécurité sensible aux données pour les bases de données est disponible via le plan Defender CSPM et est automatiquement activée sur les abonnements où l’option sensitive data discovery est activée.

Pour en savoir plus sur la posture de sécurité sensible aux données, consultez les articles suivants :

• Prise en charge et conditions préalables pour la posture de sécurité prenant en charge les données
• Activer la posture de sécurité sensible aux données
• Explorer les risques concernant les données sensibles

Disponibilité générale (GA) : analyse des programmes malveillants dans Defender pour le stockage

1 septembre 2023

L’analyse des programmes malveillants est désormais en disponibilité générale (GA) en tant que module complémentaire de Defender pour le stockage. L'analyse des malwares dans Defender pour le stockage permet de protéger vos comptes de stockage contre les contenus malveillants en effectuant une analyse complète des programmes malveillants sur les contenus téléchargés en temps quasi réel, grâce aux fonctionnalités de Microsoft Defender Antivirus. Il est conçu pour aider à répondre aux exigences de sécurité et de conformité en matière de traitement des contenus non fiables. La fonctionnalité d’analyse des programmes malveillants est une solution SaaS sans agent qui permet une configuration à grande échelle et prend en charge l’automatisation de la réponse à grande échelle.

En savoir plus sur l’analyse des programmes malveillants dans Defender pour le stockage.

L’analyse des programmes malveillants est facturée en fonction de votre utilisation des données et du budget. La facturation commence le 3 septembre 2023. Pour plus d’informations, consultez la page de tarification.

Si vous utilisez le plan précédent (désormais renommé « Defender pour le stockage (classique) »), vous devez migrer vers le nouveau plan de manière proactive afin d’activer l’analyse des programmes malveillants.

Lire le billet de blog de l’annonce de Microsoft Defender pour le cloud.

Août 2023

Les mises à jour en août sont les suivantes :

Date	Update
30 août	Defender pour conteneurs :découverte sans agent pour Kubernetes
22 août	Publication de recommandation : Microsoft Defender pour le stockage doit être activé avec l’analyse des programmes malveillants et la détection des menaces de données sensibles
17 août	Les propriétés étendues dans les alertes de sécurité Defender pour le cloud sont masquées dans les journaux d’activité
15 août	Préversion de la prise en charge de GCP dans Defender CSPM
7 août	Nouvelles alertes de sécurité dans Defender pour serveurs Plan 2 : détection des attaques potentielles qui abusent des extensions de machines virtuelles Azure
1 août	Mises à jour du modèle d’entreprise et des tarifs pour les plans Defender pour le cloud

Defender pour conteneurs :découverte sans agent pour Kubernetes

30 août 2023

Nous sommes ravis de présenter Defender pour conteneurs :découverte sans agent pour Kubernetes. Cette version marque une étape importante en matière de sécurité des conteneurs, vous permettant d’obtenir des insights avancés et des fonctionnalités d’inventaire complètes pour les environnements Kubernetes. La nouvelle offre de conteneur est optimisée par le graphique de sécurité contextuelle Defender pour le cloud. Voici ce que vous pouvez attendre de cette dernière mise à jour :

• Découverte sans agent pour Kubernetes
• Fonctionnalités d’inventaire complètes
• Insights de sécurité spécifiques à Kubernetes
• Meilleure chasse aux risques avec Cloud Security Explorer

La découverte sans agent pour Kubernetes est désormais disponible pour tous les clients Defender pour conteneurs. Vous pouvez commencer à utiliser ces fonctionnalités avancées dès aujourd’hui. Nous vous encourageons à mettre à jour vos abonnements pour que l’ensemble complet d’extensions soit activé et tirer parti des derniers ajouts et fonctionnalités. Visitez le volet Environnement et paramètres de votre abonnement Defender pour conteneurs pour activer l’extension.

Remarque

L’activation des derniers ajouts n’entraîne pas de nouveaux coûts pour les clients Defender pour conteneurs actifs.

Pour plus d’informations, consultez Présentation de la sécurité de conteneur de Microsoft Defender pour les conteneurs.

Publication de recommandation : Microsoft Defender pour le stockage doit être activé avec l’analyse des programmes malveillants et la détection des menaces de données sensibles

22 août 2023

Une nouvelle recommandation dans Defender pour le stockage a été publiée. Cette recommandation garantit que Defender pour stockage est activé au niveau de l’abonnement avec des fonctionnalités d’analyse des programmes malveillants et de détection des menaces de données sensibles.

Recommandation

Description

Microsoft Defender pour le stockage doit être activé avec l’analyse des programmes malveillants et la détection des menaces de données sensibles

Microsoft Defender pour le stockage détecte les menaces potentielles pour vos comptes de stockage. Il permet d’éviter les trois impacts majeurs sur vos données et votre charge de travail : les chargements de fichiers malveillants, l’exfiltration de données sensibles et l’altération des données. Le nouveau plan Defender pour le stockage inclut l’analyse des programmes malveillants et la détection des menaces de données sensibles. Ce plan fournit également une structure tarifaire prévisible (par compte de stockage) pour contrôler la couverture et les coûts. Avec une configuration simple sans agent à grande échelle, lorsqu’il est activé au niveau de l’abonnement, tous les comptes de stockage existants et nouvellement créés sous cet abonnement sont automatiquement protégés. Vous pouvez également exclure des comptes de stockage spécifiques des abonnements protégés.

Cette nouvelle recommandation remplace la recommandation actuelle Microsoft Defender for Storage should be enabled (clé d’évaluation 1be22853-8ed1-4005-9907-ddad64cb1417). Toutefois, cette recommandation sera toujours disponible dans les clouds de gouvernement Azure.

En savoir plus sur Microsoft Defender pour stockage.

Les propriétés étendues dans les alertes de sécurité Defender pour le cloud sont masquées dans les journaux d’activité

17 août 2023

Nous avons récemment modifié la façon dont les alertes de sécurité et les journaux d’activité sont intégrés. Pour mieux protéger les informations sensibles sur les clients, nous n’incluons plus ces informations dans les journaux d’activité. Au lieu de cela, nous le masquons avec des astérisque. Toutefois, ces informations sont toujours disponibles via l’API alertes, l’exportation continue et le portail Defender pour le cloud.

Les clients qui s’appuient sur les journaux d’activité pour exporter des alertes vers leurs solutions SIEM doivent envisager d’utiliser une autre solution, car ce n’est pas la méthode recommandée pour exporter les alertes de sécurité Defender pour le cloud.

Pour obtenir des instructions sur l’exportation des alertes de sécurité Defender pour le cloud vers SIEM, SOAR et d’autres applications tierces, consultez Diffuser des alertes vers une solution SIEM, SOAR ou le management des services IT.

Préversion de la prise en charge de GCP dans Defender CSPM

15 août 2023

Nous annonçons la préversion du graphique contextuel de sécurité cloud et de l’analyse du chemin d’attaque de Defender CSPM avec prise en charge des ressources GCP. Vous pouvez appliquer la puissance de Defender CSPM pour une visibilité complète et une sécurité cloud intelligente sur les ressources GCP.

Les principales fonctionnalités de notre prise en charge GCP sont les suivantes :

• Analyse du chemin d’attaque : comprendre les itinéraires potentiels que les attaquants peuvent emprunter.
• Explorateur de sécurité cloud : identifiez de manière proactive les risques de sécurité en exécutant des requêtes basées sur des graphiques sur le graphique de sécurité.
• Analyse sans agent : analysez les serveurs et identifiez les secrets et les vulnérabilités sans installer d’agent.
• Posture de sécurité prenant en compte les données : découvrez et corrigez les risques pour les données sensibles dans les compartiments de stockage Google Cloud.

En savoir plus sur les options de plan Defender CSPM.

Nouvelles alertes de sécurité dans Defender pour serveurs Plan 2 : détection des attaques potentielles qui abusent des extensions de machines virtuelles Azure

7 août 2023

Cette nouvelle série d’alertes se concentre sur la détection des activités suspectes des extensions de machine virtuelle Azure et fournit des insights sur les tentatives d’attaquants de compromettre et d’effectuer des activités malveillantes sur vos machines virtuelles.

Microsoft Defender pour serveurs peut désormais détecter l’activité suspecte des extensions de machine virtuelle, ce qui vous permet d’obtenir une meilleure couverture de la sécurité des charges de travail.

Les extensions de machine virtuelle Azure sont de petites applications qui exécutent un post-déploiement sur des machines virtuelles et fournissent des fonctionnalités telles que la configuration, l’automatisation, la surveillance, la sécurité, etc. Bien que les extensions soient un outil puissant, elles peuvent être utilisées par les acteurs des menaces pour diverses intentions malveillantes, par exemple :

• Collecte et surveillance des données
• Déploiement de l’exécution et de la configuration du code avec des privilèges élevés
• Réinitialisation des informations d’identification et création d’utilisateurs administratifs
• Chiffrement des disques

Voici un tableau des nouvelles alertes.

Alerte (type d’alerte)	Description	Tactiques MITRE	Gravité
Échec suspect lors de l’installation de l’extension GPU dans votre abonnement (préversion) (VM_GPUExtensionSuspiciousFailure)	Intention suspecte d’installer une extension GPU sur des machines virtuelles non prises en charge. Cette extension doit être installée sur les machines virtuelles équipées d’un processeur graphique et, dans ce cas, les machines virtuelles ne sont pas équipées de ce type. Ces échecs peuvent être vus lorsque des adversaires malveillants exécutent plusieurs installations de cette extension à des fins de crypto-exploration.	Impact	Moyenne
Une installation suspecte d’une extension GPU a été détectée sur votre machine virtuelle (préversion) (VM_GPUDriverExtensionUnusualExecution) Cette alerte a été publiée en juillet 2023.	L’analyse des opérations Azure Resource Manager dans votre abonnement a détecté dans votre machine virtuelle l’installation suspecte d’une extension GPU. Les attaquants peuvent utiliser l’extension de pilote GPU pour installer des pilotes GPU sur votre machine virtuelle via Azure Resource Manager pour effectuer le cryptojacking. Cette activité est considérée comme suspecte, car le comportement du principal s’écarte de ses modèles habituels.	Impact	Faible
Run Command avec un script suspect a été détecté sur votre machine virtuelle (préversion) (VM_RunCommandSuspiciousScript)	Une Run Command avec un script suspect a été détectée sur votre machine virtuelle en analysant les opérations Azure Resource Manager dans votre abonnement. Des attaquants peuvent utiliser une Run Command pour exécuter un code malveillant sur votre machine virtuelle via Azure Resource Manager. Le script est considéré comme suspect, car certaines parties ont été identifiées comme potentiellement malveillantes.	Exécution	Élevé
Une utilisation suspecte non autorisée de Run Command a été détectée sur votre machine virtuelle (préversion) (VM_RunCommandSuspiciousFailure)	L’utilisation suspecte non autorisée de Run Command a échoué et a été détectée sur votre machine virtuelle en analysant les opérations Azure Resource Manager dans votre abonnement. Les attaquants peuvent tenter d’utiliser Run Command pour exécuter du code malveillant avec des privilèges élevés sur vos machines virtuelles via le Resource Manager Azure. Cette activité est considérée comme suspecte, car elle n’a pas été couramment observée auparavant.	Exécution	Moyenne
Une utilisation suspecte de Run Command a été détectée sur votre machine virtuelle (préversion) (VM_RunCommandSuspiciousUsage)	Une utilisation suspecte de Run Command a été détectée sur votre machine virtuelle en analysant les opérations Azure Resource Manager dans votre abonnement. Des attaquants peuvent utiliser une Run Command pour exécuter un code malveillant sur vos machines virtuelles via Azure Resource Manager. Cette activité est considérée comme suspecte, car elle n’a pas été couramment observée auparavant.	Exécution	Faible
Une utilisation suspecte de plusieurs extensions de surveillance ou de collecte de données a été détectée sur vos machines virtuelles (préversion) (VM_SuspiciousMultiExtensionUsage)	L’utilisation suspecte de plusieurs extensions de surveillance ou de collecte de données a été détectée sur vos machines virtuelles en analysant les opérations Azure Resource Manager dans votre abonnement. Les attaquants peuvent abuser de ces extensions pour la collecte de données, la surveillance du trafic réseau, etc. dans votre abonnement. Cet usage est considéré comme suspect, car il n’a pas été couramment observé auparavant.	Reconnaissance	Moyenne
Une installation suspecte d’extensions de chiffrement de disque a été détectée sur vos machines virtuelles (préversion) (VM_DiskEncryptionSuspiciousUsage)	Une installation suspecte d'extensions de chiffrement de disque a été détectée sur vos machines virtuelles en analysant les opérations d'Azure Resource Manager dans votre abonnement. Les attaquants peuvent abuser de l’extension de chiffrement de disque pour déployer des chiffrements de disque complets sur vos machines virtuelles via le Resource Manager Azure dans le but d’effectuer une activité de ransomware. Cette activité est considérée comme suspecte, car elle n’a pas été couramment observée auparavant et en raison du nombre élevé d’installations d’extension.	Impact	Moyenne
Une utilisation suspecte de l’extension d’accès aux machines virtuelles a été détectée sur vos machines virtuelles (préversion) (VM_VMAccessSuspiciousUsage)	Une utilisation suspecte de l’extension d’accès aux machines virtuelles a été détectée sur vos machines virtuelles. Les attaquants peuvent abuser de l’extension d’accès aux machines virtuelles pour accéder à et compromettre vos machines virtuelles disposant de privilèges élevés en réinitialisant l’accès ou en gérant les utilisateurs administratifs. Cette activité est considérée comme suspecte, car le comportement du principal s’écarte de ses modèles habituels et en raison du nombre élevé d’installations d’extension.	Persistance	Moyenne
Desired State Configuration extension (DSC) avec un script suspect a été détecté sur votre machine virtuelle (préversion) (VM_DSCExtensionSuspiciousScript)	L’extension Desired State Configuration (DSC) avec un script suspect a été détectée sur votre machine virtuelle en analysant les opérations Azure Resource Manager dans votre abonnement. Les attaquants peuvent utiliser l’extension Desired State Configuration (DSC) pour déployer des configurations malveillantes, telles que des mécanismes de persistance, des scripts malveillants, etc., avec des privilèges élevés, sur vos machines virtuelles. Le script est considéré comme suspect, car certaines parties ont été identifiées comme potentiellement malveillantes.	Exécution	Élevé
Une utilisation suspecte d’une extension Desired State Configuration (DSC) a été détectée sur vos machines virtuelles (préversion) (VM_DSCExtensionSuspiciousUsage)	L’utilisation suspecte de plusieurs extensions Desired State Configuration (DSC) a été détectée sur vos machines virtuelles en analysant les opérations Azure Resource Manager dans votre abonnement. Les attaquants peuvent utiliser l’extension Desired State Configuration (DSC) pour déployer des configurations malveillantes, telles que des mécanismes de persistance, des scripts malveillants, etc., avec des privilèges élevés, sur vos machines virtuelles. Cette activité est considérée comme suspecte, car le comportement du principal s’écarte de ses modèles habituels et en raison du nombre élevé d’installations d’extension.	Impact	Faible
L’extension de script personnalisé avec un script suspect a été détectée sur votre machine virtuelle (préversion) (VM_CustomScriptExtensionSuspiciousCmd) (Cette alerte existe déjà et a été améliorée avec des méthodes de logique et de détection améliorées.)	Une extension de script personnalisée avec un script suspect a été détectée sur votre machine virtuelle en analysant les opérations Azure Resource Manager dans votre abonnement. Les attaquants peuvent utiliser l'extension de script personnalisé pour exécuter un code malveillant avec des privilèges élevés sur votre machine virtuelle via Azure Resource Manager. Le script est considéré comme suspect, car certaines parties ont été identifiées comme potentiellement malveillantes.	Exécution	Élevé

Consultez les alertes basées sur les extensions dans Defender pour serveurs.

Pour obtenir la liste complète des alertes, consultez le tableau de référence pour toutes les alertes de sécurité dans Microsoft Defender pour le cloud.

Mises à jour du modèle d’entreprise et des tarifs pour les plans Defender pour le cloud

1er août 2023

Microsoft Defender pour le cloud possède trois plans qui offrent une protection de la couche de service :

• Defender pour Key Vault

• Defender pour Resource Manager

• Defender pour DNS

Ces plans sont passés à un nouveau modèle d’entreprise avec des prix et des emballages différents pour répondre aux commentaires des clients concernant la prévisibilité des dépenses et la simplification de la structure de coût globale.

Résumé des modifications de modèle d’entreprise et de tarification :

Les clients existants de Defender pour Key-Vault, Defender pour Resource Manager et Defender pour DNS conservent leur modèle d’entreprise et leur tarification actuels, sauf s’ils choisissent activement de basculer vers le nouveau modèle d’entreprise et la nouvelle tarification.

• Defender pour Resource Manager : ce plan a un prix fixe par abonnement et par mois. Les clients peuvent passer au nouveau modèle commercial en sélectionnant le nouveau modèle d’abonnement de Defender pour Resource Manager.

Les clients existants de Defender pour Key-Vault, Defender pour Resource Manager et Defender pour DNS conservent leur modèle d’entreprise et leur tarification actuels, sauf s’ils choisissent activement de basculer vers le nouveau modèle d’entreprise et la nouvelle tarification.

• Defender pour Resource Manager : ce plan a un prix fixe par abonnement et par mois. Les clients peuvent passer au nouveau modèle commercial en sélectionnant le nouveau modèle d’abonnement de Defender pour Resource Manager.
• Defender pour Key Vault : ce plan a un prix fixe par coffre et par mois, sans frais de dépassement. Les clients peuvent passer au nouveau modèle commercial en sélectionnant le nouveau modèle par chambre forte de Defender for Key Vault
• Defender pour DNS : les clients de Defender pour serveurs Plan 2 ont accès à la valeur Defender pour DNS dans le cadre de Defender pour serveurs Plan 2 sans frais supplémentaires. Les clients qui ont à la fois Defender pour serveur Plan 2 et Defender pour DNS ne sont plus facturés pour Defender pour DNS. Defender pour DNS n’est plus disponible en tant que plan autonome.

Pour en savoir plus sur la tarification de ces plans, consultez la page de tarification de Defender pour le cloud.

Juillet 2023

Les mises à jour du mois de juillet incluent :

Date	Update
31 juillet	Version préliminaire de l’évaluation des vulnérabilités des conteneurs avec Gestion des vulnérabilités de Microsoft Defender (MDVM) dans Defender pour les conteneurs et Defender pour les registres de conteneurs
30 juillet	La posture de conteneur sans agent dans CSPM Defender est désormais en disponibilité générale
20 juillet	Gestion des mises à jour automatiques de Defender pour point de terminaison pour Linux
18 juillet	Analyse des secrets sans agent pour les machines virtuelles dans Defender pour serveurs P2 &GPSI Defender
12 juillet	Nouvelle alerte de sécurité dans Defender pour serveurs plan 2 : détection d’attaques potentielles à l’aide des extensions de pilotes GPU de machine virtuelle Azure
9 juillet	Prise en charge de la désactivation des résultats de vulnérabilité spécifiques
1er juillet	La posture de sécurité prenant en charge les données est désormais en disponibilité générale

Version préliminaire de l’évaluation des vulnérabilités des conteneurs avec Gestion des vulnérabilités de Microsoft Defender (MDVM) dans Defender pour les conteneurs et Defender pour les registres de conteneurs

31 juillet 2023

Nous annonçons la publication de l’évaluation des vulnérabilités (VA) pour des images de conteneurs Linux dans des registres de conteneurs Azure avec Gestion des vulnérabilités de Microsoft Defender (MDVM) dans Defender pour les conteneurs et Defender pour les registres de conteneurs. La nouvelle offre VA de conteneurs sera fournie parallèlement à notre offre VA de conteneurs existante avec Qualys dans Defender pour les conteneurs et Defender pour les registres de conteneurs, et inclura des réanalyses quotidiennes des images de conteneurs, des informations d’exploitabilité, une prise en charge du système d’exploitation et des langages de programmation (SCA) et bien plus encore.

Cette nouvelle offre commencera à être déployée aujourd'hui et devrait être disponible pour tous les clients d'ici le 7 août.

Si vous souhaitez obtenir plus d’informations, consultez Évaluation des vulnérabilités des conteneur optimisée par MDVM et Gestion des vulnérabilités de Microsoft Defender (MDVM).

La posture de conteneur sans agent dans CSPM Defender est désormais en disponibilité générale

30 juillet 2023

Les fonctionnalités de posture de conteneur sans agent sont désormais en disponibilité générale dans le cadre du plan Defender CSPM (Cloud Security Posture Management).

En savoir plus sur la posture de conteneur sans agent dans CSPM Defender.

Gestion des mises à jour automatiques de Defender pour point de terminaison pour Linux

20 juillet 2023

Par défaut, Defender pour le cloud tente de mettre à jour vos agents Defender pour point de terminaison pour Linux intégrés à l’extension MDE.Linux. Avec cette version, vous pouvez gérer ce paramètre et désactiver la configuration par défaut pour gérer manuellement vos cycles de mise à jour.

Découvrez comment gérer la configuration des mises à jour automatiques pour Linux.

Analyse des secrets sans agent pour les machines virtuelles dans Defender pour serveurs P2 &GPSI Defender

18 juillet 2023

L’analyse des secrets est désormais disponible dans le cadre de l’analyse sans agent dans Defender pour serveurs P2 et Defender CSPM. Cette fonctionnalité permet de détecter les secrets non managés et non sécurisés enregistrés sur des machines virtuelles, dans des ressources Azure ou AWS, qui peuvent être utilisés à des fins de mouvement latéral dans le réseau. En cas de détection de secrets, Defender pour le cloud peut vous aider à établir des priorités et à prendre des mesures correctives exploitables en vue de réduire le risque de mouvement latéral, tout cela sans nuire aux performances de votre machine.

Pour plus d’informations sur la protection de vos secrets avec l’analyse des secrets, consultez Gérer les secrets avec l’analyse des secrets sans agent.

Nouvelle alerte de sécurité dans Defender pour serveurs plan 2 : détection des attaques potentielles à l’aide des extensions de pilotes GPU de machine virtuelle Azure

12 juillet 2023

Cette alerte se concentre sur l’identification des activités suspectes à l’aide des extensions de pilote GPU de machine virtuelle Azure et fournit des insights sur les tentatives de compromission de vos machines virtuelles par des attaquants. L’alerte cible les déploiements suspects d’extensions de pilotes GPU. Ces extensions sont souvent utilisées par les acteurs de menace pour utiliser toute la puissance de la carte graphique et effectuer un cryptojacking.

Nom d’affichage de l’alerte (Type d’alerte)	Description	Gravité	Tactique MITRE
Installation suspecte de l’extension GPU sur votre machine virtuelle (préversion) (VM_GPUDriverExtensionUnusualExecution)	L’analyse des opérations Azure Resource Manager dans votre abonnement a détecté l’installation suspecte d’une extension GPU dans votre machine virtuelle. Les attaquants peuvent utiliser l’extension de pilote GPU pour installer des pilotes GPU sur votre machine virtuelle via Azure Resource Manager pour effectuer le cryptojacking.	Faible	Impact

Pour obtenir la liste complète des alertes, consultez le tableau de référence pour toutes les alertes de sécurité dans Microsoft Defender pour le cloud.

Prise en charge de la désactivation des résultats de vulnérabilité spécifiques

9 juillet 2023

Publication de la prise en charge pour désactiver les résultats des vulnérabilités pour vos images de registre de conteneurs ou pour l’exécution d’images dans le cadre d’une posture de conteneur sans agent. Si votre organisation a besoin d’ignorer un résultat de vulnérabilité sur votre image de registre de conteneurs plutôt que de le corriger, vous pouvez désactiver cette fonction. Les résultats désactivés n’ont pas d’effet sur votre degré de sécurisation, et ne génèrent aucun bruit indésirable.

Découvrez comment désactiver les résultats d’évaluation des vulnérabilités sur les images du registre de conteneurs.

La posture de sécurité prenant en charge les données est désormais en disponibilité générale

1er juillet 2023

La posture de sécurité prenant en charge les données dans Microsoft Defender pour le cloud est désormais en disponibilité générale. Elle aide les clients à réduire les risques liés aux données et à réagir aux violations de données. À l’aide de la posture de sécurité prenant en compte les données, vous pouvez :

• Découvrez automatiquement les ressources de données sensibles dans Azure et AWS.
• Évaluer la sensibilité des données, l’exposition des données et la façon dont les données circulent entre les organisations.
• Découvrir de manière proactive et continue les risques susceptibles d’entraîner des violations de données.
• Détectez des activités suspectes pouvant indiquer des menaces continues pour des ressources de données sensibles

Pour plus d’informations, consultez Posture de sécurité prenant en charge les données dans Microsoft Defender pour le cloud.

Juin 2023

Les mises à jour du mois de juin incluent :

Date	Update
26 juin	Intégration simplifiée de comptes multiclouds grâce à des paramètres améliorés
25 juin	Prise en charge des points de terminaison privés pour l’analyse des programmes malveillants dans Defender pour le stockage
15 juin	Des mises à jour de contrôle ont été apportées aux normes NIST 800-53 en matière de conformité réglementaire
11 juin	La planification de la migration cloud, avec une analyse de rentabilité Azure Migrate, comprend désormais Defender pour le cloud
7 juin	La configuration Express pour les évaluations des vulnérabilités dans Defender pour SQL est désormais en disponibilité générale
6 juin	Étendues supplémentaires ajoutées aux connecteurs Azure DevOps existants
4 juin	Remplacement de la détection basée sur un agent par la détection sans agent pour des fonctionnalités de conteneurs dans CSPM Defender

Intégration simplifiée de comptes multiclouds grâce à des paramètres améliorés

26 juin 2023

Defender pour le cloud a amélioré l’expérience d’intégration pour inclure une nouvelle interface utilisateur simplifiée et des instructions en plus de nouvelles fonctionnalités qui vous permettent d’intégrer vos environnements AWS et GCP tout en fournissant un accès à des fonctionnalités d’intégration avancées.

Pour les organisations ayant adopté Hashicorp Terraform pour l’automatisation, Defender pour le cloud offre désormais la possibilité d’utiliser Terraform comme méthode de déploiement avec AWS CloudFormation ou GCP Cloud Shell. Vous pouvez désormais personnaliser les noms de rôles requis lors de la création de l’intégration. Vous pouvez également choisir entre les options suivantes :

• Accès par défaut : permet à Defender pour le cloud d’analyser vos ressources et d’inclure automatiquement de futures fonctionnalités.

• Accès avec des privilèges minimum : accorde à Defender pour le cloud l’accès aux autorisations actuelles nécessaires pour les plans sélectionnés uniquement.

Si vous sélectionnez les autorisations avec des privilèges minimum, vous recevez uniquement des notifications relatives à de nouveaux rôles et autorisations nécessaires pour que l’intégrité du connecteur soit complètement opérationnelle.

Defender pour le cloud vous permet de différencier vos comptes cloud par leur nom natif des fournisseurs cloud. Par exemple, des alias de compte AWS et des noms de projet GCP.

Prise en charge des points de terminaison privés pour l’analyse des programmes malveillants dans Defender pour le stockage

25 juin 2023

La prise en charge des points de terminaison privés est désormais disponible dans le cadre de la préversion publique de l’analyse des programmes malveillants dans Defender pour le stockage. Cette fonctionnalité permet d’activer l’analyse des programmes malveillants sur des comptes de stockage utilisant des points de terminaison privés. Aucune configuration supplémentaire n’est nécessaire.

L’analyse des programmes malveillants (Préversion) dans Defender pour le stockage permet de protéger vos comptes de stockage contre du contenu malveillant en effectuant une analyse complète de ce dernier sur du contenu téléchargé en quasi-temps réel, grâce aux fonctionnalités de Microsoft Defender Antivirus. Il est conçu pour aider à répondre aux exigences de sécurité et de conformité en matière de traitement des contenus non fiables. Il s’agit d’une solution SaaS sans agent qui permet une configuration simple à grande échelle, sans aucune maintenance, et prend en charge l’automatisation de la réponse à grande échelle.

Les points de terminaison privés fournissent une connectivité sécurisée à vos services Stockage Azure, éliminant efficacement l’exposition à Internet public, et sont considérés comme une meilleure pratique en matière de sécurité.

Pour les comptes de stockage avec des points de terminaison privés pour lesquels l’analyse des programmes malveillants est déjà activée, vous devez désactiver et activer le plan avec l’analyse des programmes malveillants pour que celle-ci fonctionne.

Si vous souhaitez obtenir plus d’informations sur l’utilisation des points de terminaison privés dans Defender pour le stockage et mieux protéger vos services de stockage.

Recommandation de version pour la préversion : Les découvertes des vulnérabilités (fournies par Gestion des vulnérabilités Microsoft Defender) doivent être résolues sur les images de conteneur en cours d’exécution

21 juin 2023

Une nouvelle recommandation de conteneur dans CSPM Defender fournie par MDVM est publiée pour la préversion :

Recommandation	Description	Clé d’évaluation
Les découvertes des vulnérabilités (fournies par Gestion des vulnérabilités Microsoft Defender) (préversion) doivent être résolues sur les images de conteneur en cours d’exécution	L’évaluation des vulnérabilités des images conteneur analyse votre registre à la recherche de vulnérabilités connues et fournit un rapport de vulnérabilité détaillé pour chaque image. Cette recommandation fournit une visibilité sur les images vulnérables en cours d’exécution dans vos clusters Kubernetes. La correction des vulnérabilités dans les images conteneur en cours d’exécution est essentielle pour améliorer votre posture de sécurité, ce qui réduit considérablement la surface d’attaque de vos charges de travail conteneurisées.	c609cf0f-71ab-41e9-a3c6-9a1f7fe1b8d5

Cette nouvelle recommandation remplace la recommandation actuelle du même nom, fournie par Qualys, seulement dans CSPM Defender (remplaçant la clé d’évaluation 41503391-efa5-47ee-9282-4eff6131462c).

Des mises à jour de contrôle ont été apportées aux normes NIST 800-53 en matière de conformité réglementaire

15 juin 2023

Les normes NIST 800-53 (à la fois R4 et R5) ont récemment été mises à jour avec des modifications de contrôle apportées à la conformité réglementaire dans Microsoft Defender pour le cloud. Les contrôles gérés par Microsoft ont été supprimés de la norme et les informations sur l’implémentation de la responsabilité Microsoft (dans le cadre du modèle de responsabilité partagée du cloud) sont désormais disponibles uniquement dans le volet d’informations du contrôle sous Actions Microsoft.

Ces contrôles étaient auparavant calculés en tant que contrôles réussis. Vous pourriez donc constater une baisse significative de votre score de conformité pour des normes NIST entre avril 2023 et mai 2023.

Si vous souhaitez obtenir plus d’informations sur les contrôles de conformité, consultez Tutoriel : Améliorer votre conformité aux normes – Microsoft Defender pour le cloud.

La planification de la migration cloud, avec une analyse de rentabilité Azure Migrate, comprend désormais Defender pour le cloud

11 juin 2023

Vous pouvez désormais découvrir les économies éventuelles à réaliser en matière de sécurité en appliquant Defender pour le cloud dans le contexte d’une analyse de rentabilité Azure Migrate.

La configuration Express pour les évaluations des vulnérabilités dans Defender pour SQL est désormais en disponibilité générale

7 juin 2023

La configuration Express pour les évaluations des vulnérabilités dans Defender pour SQL est désormais en disponibilité générale. La configuration Express offre une expérience d’intégration simplifiée pour les évaluations des vulnérabilités SQL à l’aide d’une configuration en un clic (ou d’un appel d’API). Aucun paramètre ou dépendance supplémentaire n’est nécessaire sur les comptes de stockage managé.

Consultez ce blog pour en savoir plus sur la configuration Express.

Vous pouvez découvrir les différences entre la configuration express et la configuration classique.

Étendues supplémentaires ajoutées aux connecteurs Azure DevOps existants

6 juin 2023

Defender pour DevOps a ajouté les étendues supplémentaires suivantes à l’application Azure DevOps (ADO) :

• Gestion avancée de la sécurité: vso.advsec_manage. Qui est nécessaire pour vous permettre d’activer, de désactiver et de gérer GitHub Advanced Security pour ADO.

• Mappage de conteneurs : vso.extension_manage, vso.gallery_manager; Qui est nécessaire pour vous permettre de partager l’extension de décorateur avec l’organisation ADO.

Seuls les nouveaux clients de Defender pour DevOps qui tentent d’intégrer des ressources ADO à Microsoft Defender pour le cloud sont concernés par ce changement.

L’intégration directe (sans Azure Arc) à Defender pour serveurs est désormais en disponibilité générale

5 juin 2023

Auparavant, Azure Arc devait intégrer des serveurs non Azure à Defender pour serveurs. Toutefois, avec la dernière version, vous pouvez également intégrer vos serveurs locaux à Defender pour les serveurs en utilisant uniquement l’agent Microsoft Defender for Endpoint.

Cette nouvelle méthode simplifie le processus d’intégration pour des clients axés sur la protection des points de terminaison de base et vous permet de tirer parti de la facturation basée sur la consommation de Defender pour serveurs pour les ressources cloud et non cloud. L’option d’intégration directe via Defender for Endpoint est désormais disponible, avec la facturation des machines intégrées à compter du 1er juillet.

Si vous souhaitez obtenir plus d’informations, consultez Connecter vos machines non-Azure à Microsoft Defender pour le cloud avec Defender for Endpoint.

Remplacement de la détection basée sur un agent par la détection sans agent pour des fonctionnalités de conteneurs dans la gestion de la posture de sécurité cloud (CSPM) Defender

4 juin 2023

Avec les fonctionnalités de la posture de conteneur sans agent disponibles dans la gestion de la posture de sécurité cloud (CSPM) Defender, les fonctionnalités de détection basées sur un agent sont désormais mises hors service. Si vous utilisez actuellement des fonctionnalités de conteneur dans la gestion de la posture de sécurité cloud (CSPM) Defender, vérifiez que les extensions appropriées sont activées pour continuer bénéficier de la valeur liée au conteneur des nouvelles fonctionnalités sans agent, comme les chemins d’attaque liés aux conteneurs, les insights et les inventaires. (L’activation des extensions peut prendre jusqu’à 24 heures).

Si vous souhaitez obtenir plus d’informations, consultez Posture de conteneur sans agent.

Mai 2023

Les mises à jour du mois de mars incluent :

• Nouvelle alerte pour Defender pour Key Vault
• L’analyse sans agent prend désormais en charge les disques chiffrés dans AWS
• Conventions d’affectation de noms des règles JIT (juste-à-temps) révisées dans Defender pour le cloud
• Intégrer des régions AWS sélectionnées
• Changements multiples apportés aux recommandations sur l’identité
• Dépréciation des normes héritées dans le tableau de bord de conformité
• Deux recommandations Defender pour DevOps incluent désormais les résultats de l’analyse Azure DevOps
• Nouveau paramètre par défaut pour la solution d’évaluation des vulnérabilités Defender pour serveurs
• Télécharger un rapport CSV des résultats de votre requête de l’Explorateur de sécurité cloud (préversion)
• Publication de l’évaluation des vulnérabilités des conteneurs optimisée par l’agent Gestion des vulnérabilités Microsoft Defender (MDVM) dans CSPM Defender
• Renommer les recommandations de conteneur optimisées par Qualys
• Mise à jour de l’application GitHub Defender pour DevOps
• Les annotations de demande de tirage (pull request) Defender pour DevOps dans des référentiels Azure DevOps incluent désormais des configurations incorrectes de l’infrastructure en tant que code

Nouvelle alerte dans Defender pour Key Vault

Alerte (type d’alerte)	Description	Tactiques MITRE	severity
Accès inhabituel au coffre de clés à partir d’une adresse IP suspecte (non Microsoft ou externe) (KV_UnusualAccessSuspiciousIP)	Un utilisateur ou un principal de service a tenté d’accéder de manière inhabituelle à des coffres de clés à partir d’une adresse IP non Microsoft au cours des dernières 24 heures. Ce modèle d’accès anormal peut être une activité légitime. Il peut s’agir d’une tentative possible d’accès au coffre de clés et aux secrets qu’il contient. Nous vous recommandons de faire des investigations supplémentaires.	Accès aux informations d’identification	Moyenne

Pour toutes les alertes disponibles, consultez Alertes pour Azure Key Vault.

L’analyse sans agent prend désormais en charge les disques chiffrés dans AWS

L’analyse sans agent pour les machines virtuelles prend désormais en charge le traitement des instances avec des disques chiffrés dans AWS, à l’aide de CMK et de PMK.

Cette prise en charge étendue augmente la couverture et la visibilité de votre patrimoine cloud sans impacter vos charges de travail en cours d’exécution. La prise en charge des disques chiffrés conserve la même méthode sans impact sur les instances en cours d’exécution.

• Pour les nouveaux clients qui activent l’analyse sans agent dans AWS, la couverture des disques chiffrés est intégrée et prise en charge par défaut.
• Pour les clients existants qui ont déjà un connecteur AWS dont l’analyse sans agent est activée, vous devez réappliquer la pile CloudFormation à vos comptes AWS intégrés pour mettre à jour et ajouter les nouvelles autorisations requises pour traiter les disques chiffrés. Le modèle CloudFormation mis à jour inclut de nouvelles affectations qui permettent à Defender pour le cloud de traiter des disques chiffrés.

Vous pouvez en savoir plus sur les autorisations utilisées pour analyser les instances AWS.

Pour réappliquer votre pile CloudFormation :

1. Accédez aux paramètres d’environnement Defender pour le cloud et ouvrez votre connecteur AWS.
2. Accédez à l’onglet Configurer l’accès.
3. Sélectionnez Cliquez pour télécharger le modèle CloudFormation.
4. Accédez à votre environnement AWS et appliquez le modèle mis à jour.

En savoir plus sur l’analyse sans agent et sur l’activation de l’analyse sans agent dans AWS.

Conventions d’affectation de noms des règles JIT (juste-à-temps) révisées dans Defender pour le cloud

Nous avons révisé les règles JIT (juste-à-temps) pour qu’elles s’alignent sur la marque Microsoft Defender pour le cloud. Nous avons modifié les conventions d’affectation de noms pour les règles Pare-feu Azure et NSG (groupe de sécurité réseau).

Les modifications sont répertoriées ci-dessous :

Description	Ancien nom	Nouveau nom
Noms de règles JIT (autoriser et refuser) dans NSG (groupe de sécurité réseau)	SecurityCenter-JITRule	MicrosoftDefenderForCloud-JITRule
Descriptions des règles JIT dans NSG	Règle d’accès réseau JIT ASC	Règle d’accès réseau JIT MDC
Noms des collections de règles de pare-feu JIT	ASC-JIT	MDC-JIT
Noms des règles de pare-feu JIT	ASC-JIT	MDC-JIT

Découvrez comment sécuriser vos ports de gestion avec un accès juste-à-temps.

Intégrer des régions AWS sélectionnées

Pour vous aider à gérer vos coûts AWS CloudTrail et vos besoins en matière de conformité, vous pouvez désormais sélectionner les régions AWS à analyser quand vous ajoutez ou modifiez un connecteur cloud. Vous pouvez à présent analyser des régions AWS sélectionnées ou toutes les régions disponibles (par défaut) quand vous intégrez vos comptes AWS à Defender pour le cloud. Pour en savoir plus, consultez l’article Connecter vos comptes AWS à Microsoft Defender pour le cloud.

Changements multiples apportés aux recommandations sur l’identité

Les recommandations suivantes sont désormais publiées en disponibilité générale et remplacent les recommandations V1 qui sont désormais déconseillées.

Version en disponibilité générale (GA) des recommandations d’identité V2

La version V2 des recommandations relatives aux identités introduit les améliorations suivantes :

• L’étendue de l’analyse a été agrandie pour inclure toutes les ressources Azure, pas seulement les abonnements. Cela permet aux administrateurs de sécurité d’afficher les attributions de rôles par compte.
• Des comptes spécifiques peuvent désormais être exemptés de l’évaluation. Les comptes tels que les comptes de secours ou de service peuvent être exclus par les administrateurs de sécurité.
• La fréquence d’analyse a été augmentée de 24 heures à 12 heures pour garantir une meilleure actualisation et une plus grande précision des recommandations d’identité.

Les recommandations de sécurité suivantes sont proposées en disponibilité générale et remplacent les recommandations V1 :

Recommandation	Clé d’évaluation
Les comptes disposant d’autorisations de propriétaire sur les ressources Azure doivent être compatibles avec l’authentification multifacteur	6240402e-f77c-46fa-9060-a7ce53997754
Les comptes disposant d’autorisations en écriture sur les ressources Azure doivent être compatibles avec l’authentification multifacteur	c0cb17b2-0607-48a7-b0e0-903ed22de39b
Les comptes disposant d’autorisations en lecture sur les ressources Azure doivent être compatibles avec l’authentification multifacteur	dabc9bc4-b8a8-45bd-9a5a-43000df8aa1c
Les comptes invités disposant d’autorisations de propriétaire sur les ressources Azure doivent être supprimés	20606e75-05c4-48c0-9d97-add6daa2109a
Les comptes invités disposant d’autorisations en écriture sur les ressources Azure doivent être supprimés	0354476c-a12a-4fcc-a79d-f0ab7ffffdbb
Les comptes invités disposant d’autorisations en lecture sur les ressources Azure doivent être supprimés	fde1c0c9-0fd2-4ecc-87b5-98956cbc1095
Les comptes bloqués disposant d’autorisations de propriétaire sur les ressources Azure doivent être supprimés	050ac097-3dda-4d24-ab6d-82568e7a50cf
Les comptes bloqués disposant d’autorisations en lecture et en écriture sur les ressources Azure doivent être supprimés	1ff0b4c9-ed56-4de6-be9c-d7ab39645926

Dépréciation des recommandations d’identité V1

Les recommandations de sécurité suivantes sont désormais déconseillées :

Recommandation	Clé d’évaluation
L’authentification multifacteur doit être activée sur les comptes disposant d’autorisations de propriétaire sur les abonnements	94290b00-4d0c-d7b4-7cea-064a9554e681
L’authentification multifacteur doit être activée sur les comptes disposant d’autorisations d’accès en écriture sur les abonnements	57e98606-6b1e-6193-0e3d-fe621387c16b
L’authentification multifacteur doit être activée sur les comptes disposant d’autorisations d’accès en lecture les abonnements	151e82c5-5341-a74b-1eb0-bc38d2c84bb5
Les comptes externes disposant d’autorisations de propriétaire doivent être supprimés des abonnements	c3b6ae71-f1f0-31b4-e6c1-d5951285d03d
Les comptes externes disposant d’autorisations d’accès en écriture doivent être supprimés des abonnements	04e7147b-0deb-9796-2e5c-0336343ceb3d
Les comptes externes disposant d’autorisations d’accès en lecture doivent être supprimés des abonnements	a8c6a4ad-d51e-88fe-2979-d3ee3c864f8b
Les comptes déconseillés disposant d’autorisations de propriétaire doivent être supprimés des abonnements	e52064aa-6853-e252-a11e-dffc675689c2
Les comptes déconseillés doivent être supprimés des abonnements	00c6d40b-e990-6acf-d4f3-471e747a27c4

Nous vous recommandons de mettre à jour vos scripts personnalisés, workflows et règles de gouvernance afin qu’ils correspondent aux recommandations V2.

Dépréciation des normes héritées dans le tableau de bord de conformité

PCI DSS v3.2.1 et SOC TSP hérités ont été entièrement déconseillés dans le tableau de bord de conformité Defender pour le cloud et remplacés par l’initiative SOC 2 Type 2 et les normes de conformité basées sur une initiative PCI DSS v4. Nous avons totalement déprécié la prise en charge de la norme/initiative PCI DSS dans Microsoft Azure exploité par 21Vianet.

Découvrez comment personnaliser l’ensemble de normes dans votre tableau de bord de conformité réglementaire.

Deux recommandations Defender pour DevOps incluent désormais les résultats de l’analyse Azure DevOps

Defender pour DevOps Code et IaC a étendu sa couverture de recommandations dans Microsoft Defender pour le cloud afin d’inclure les résultats de sécurité Azure DevOps pour les deux recommandations suivantes :

• Code repositories should have code scanning findings resolved

• Code repositories should have infrastructure as code scanning findings resolved

Auparavant, la couverture de l’analyse de sécurité Azure DevOps ne comprenait que la recommandation relative aux secrets.

Apprenez-en davantage sur Defender pour DevOps.

Nouveau paramètre par défaut pour la solution d’évaluation des vulnérabilités Defender pour serveurs

Les solutions d’évaluation des vulnérabilités sont essentielles pour protéger les ordinateurs contre les cyberattaques et les violations de données.

Gestion des vulnérabilités Microsoft Defender (MDVM) est désormais activé en tant que solution intégrée par défaut pour tous les abonnements protégés par Defender pour les serveurs qui n’ont pas encore de solution VA sélectionnée.

Si une solution d’évaluation des vulnérabilités est activée pour un abonnement sur l’une de ses machines virtuelles, aucune modification n’est apportée et MDVM n’est pas activé par défaut sur les machines virtuelles restantes de cet abonnement. Vous pouvez choisir d’activer une solution d’évaluation des vulnérabilités sur les machines virtuelles restantes de vos abonnements.

Découvrez comment rechercher les vulnérabilités et collecter l’inventaire logiciel avec une analyse sans agent (préversion).

Télécharger un rapport CSV des résultats de votre requête de l’Explorateur de sécurité cloud (préversion)

Defender pour le cloud a ajouté la possibilité de télécharger un rapport CSV des résultats de votre requête de l’Explorateur de sécurité cloud.

Après avoir exécuté une recherche d’une requête, vous pouvez sélectionner le bouton Télécharger le rapport CSV (préversion) dans la page Explorateur de Sécurité cloud de Defender pour le cloud.

Découvrez comment créer des requêtes avec l’explorateur de sécurité du cloud

Publication de l’évaluation des vulnérabilités des conteneurs optimisée par l’agent Gestion des vulnérabilités Microsoft Defender (MDVM) dans CSPM Defender

Nous annonçons la publication de l’évaluation des vulnérabilités pour les images Linux dans les registres de conteneurs Azure optimisés par l’agent Gestion des vulnérabilités Microsoft Defender (MDVM) dans CSPM Defender. Cette version inclut l’analyse quotidienne des images. Les résultats utilisés dans les chemins de l’Explorateur de sécurité et des attaques s’appuient sur l’évaluation des vulnérabilités MDVM au lieu de l’analyseur Qualys.

La recommandation Container registry images should have vulnerability findings resolved existante est remplacée par une nouvelle recommandation avec MDVM :

Recommandation	Description	Clé d’évaluation
Les images de registre de conteneurs doivent avoir des résultats de vulnérabilité résolus (optimisé par l’agent Gestion des vulnérabilités Microsoft Defender)	L’évaluation des vulnérabilités des images conteneur analyse votre registre à la recherche de vulnérabilités connues et fournit un rapport de vulnérabilité détaillé pour chaque image. Cette recommandation fournit une visibilité sur les images vulnérables en cours d’exécution dans vos clusters Kubernetes. La correction des vulnérabilités dans les images conteneur en cours d’exécution est essentielle pour améliorer votre posture de sécurité, ce qui réduit considérablement la surface d’attaque de vos charges de travail conteneurisées.	dbd0cb49-b563-45e7-9724-889e799fa648 est remplacé par c0b7cfc6-3172-465a-b378-53c7ff2cc0d5

En savoir plus sur la posture des conteneurs sans agent dans CSPM Defender.

En savoir plus sur l’agent Gestion des vulnérabilités de Microsoft Defender (MDVM).

Renommer les recommandations de conteneur optimisées par Qualys

Les recommandations de conteneur actuelles dans Defender pour les conteneurs seront renommées comme suit :

Recommandation	Description	Clé d’évaluation
Les images de registre de conteneurs doivent avoir des résultats de vulnérabilité résolus (avec Qualys)	L’évaluation des vulnérabilités des images conteneur analyse votre registre à la recherche de failles de sécurité et présente des résultats détaillés pour chaque image. La résolution des vulnérabilités peut améliorer significativement la sécurité de vos conteneurs et les protéger contre les attaques.	dbd0cb49-b563-45e7-9724-889e799fa648
Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs (optimisé par Qualys)	L’évaluation des vulnérabilités des images conteneur analyse les images conteneur exécutées sur vos clusters Kubernetes à la recherche de vulnérabilités de sécurité et expose les résultats détaillés pour chaque image. La résolution des vulnérabilités peut améliorer significativement la sécurité de vos conteneurs et les protéger contre les attaques.	41503391-efa5-47ee-9282-4eff6131462c

Mise à jour de l’application GitHub Defender pour DevOps

Microsoft Defender pour DevOps apporte constamment des modifications et des mises à jour qui demandent aux clients Defender pour DevOps ayant intégré leurs environnements GitHub à Defender pour le cloud de fournir des autorisations dans le cadre de l’application déployée dans leur organisation GitHub. Ces autorisations sont nécessaires pour garantir un comportement optimal de toutes les fonctionnalités de sécurité de Defender pour DevOps.

Nous vous suggérons de mettre à jour les autorisations dès que possible pour garantir un accès continu à toutes les fonctionnalités disponibles de Defender pour DevOps.

Vous pouvez accorder les autorisations de deux manières différentes :

• Dans votre organisation, sélectionnez Applications GitHub. Recherchez votre organisation, puis sélectionnez Examiner la demande.

• Vous recevrez un e-mail automatisé du support GitHub. Dans l’e-mail, sélectionnez Examiner la demande d’autorisation pour accepter ou rejeter cette modification.

Une fois que vous avez suivi l’une de ces options, vous accédez à l’écran de révision où vous devez examiner la demande. Sélectionnez Accepter de nouvelles autorisations pour approuver la demande.

Si vous avez besoin d’aide pour mettre à jour des autorisations, vous pouvez créer une demande de support Azure.

Vous pouvez également en savoir plus sur Defender pour DevOps. Si une solution d’évaluation des vulnérabilités est activée pour un abonnement sur l’une de ses machines virtuelles, aucune modification n’est apportée et MDVM n’est pas activé par défaut sur les machines virtuelles restantes de cet abonnement. Vous pouvez choisir d’activer une solution d’évaluation des vulnérabilités sur les machines virtuelles restantes de vos abonnements.

Découvrez comment rechercher les vulnérabilités et collecter l’inventaire logiciel avec une analyse sans agent (préversion).

Les annotations de demande de tirage (pull request) Defender pour DevOps dans des référentiels Azure DevOps incluent désormais des configurations incorrectes de l’infrastructure en tant que code

Defender pour DevOps a étendu sa couverture d’annotations de demande de tirage (PR) dans Azure DevOps pour inclure les configurations incorrectes de l’infrastructure en tant que code (IaC) détectées dans des modèles Azure Resource Manager et Bicep.

Les développeurs peuvent désormais voir des annotations pour les configurations incorrectes IaC directement dans leurs demandes de tirage. Les développeurs peuvent également corriger des problèmes de sécurité critiques avant que l’infrastructure ne soit approvisionnée dans des charges de travail cloud. Pour simplifier la correction, les développeurs reçoivent un niveau de gravité, une description de configuration incorrecte et des instructions de correction dans chaque annotation.

Auparavant, la couverture des annotations de demande de tirage Defender pour DevOps dans Azure DevOps incluait uniquement des secrets.

Apprenez-en davantage sur Defender pour DevOps et les Annotations de demande de tirage.

Avril 2023

Les mises à jour du mois d’avril incluent :

• Posture de conteneur sans agent dans Defender CSPM (préversion)
• Nouvelle recommandation de préversion pour le chiffrement de disque unifié
• Modifications apportées à la recommandation Les machines doivent être configurées en toute sécurité
• Dépréciation des stratégies de surveillance de langages App Service
• Nouvelle alerte dans Defender pour Resource Manager
• Trois alertes du plan Defender pour Azure Resource Manager ont été dépréciées
• L’exportation automatique des alertes vers l’espace de travail Log Analytics a été dépréciée
• Dépréciation et amélioration des alertes sélectionnées pour les serveurs Windows et Linux
• Nouvelles recommandations relatives à l’authentification Azure Active Directory pour Azure Data Services
• Deux recommandations relatives aux mises à jour manquantes du système d’exploitation ont été publiées en disponibilité générale
• Defender pour les API (préversion)

Posture de conteneur sans agent dans Defender CSPM (préversion)

Les nouvelles fonctionnalités de posture de conteneur sans agent (préversion) sont disponibles dans le cadre du plan Defender CSPM (Cloud Security Posture Management).

La posture de conteneur sans agent permet aux équipes de sécurité d’identifier les risques liés à la sécurité dans des conteneurs et des domaines Kubernetes. Une approche sans agent permet aux équipes de sécurité d’avoir une meilleure visibilité de leurs registres Kubernetes et conteneurs au cours de la SDLC et de l’exécution, éliminant les frictions et l’empreinte des charges de travail.

La posture de conteneur sans agent offre des évaluations de la vulnérabilité d’un conteneur qui, combinées à l’analyse du chemin d’attaque, permettent aux équipes de sécurité de hiérarchiser et de zoomer sur des vulnérabilités d’un conteneur spécifique. Vous pouvez également utiliser l’explorateur de sécurité cloud pour déceler les risques et rechercher des insights de la posture de conteneur, telles que la découverte d’applications exécutant des images vulnérables ou exposées à Internet.

Pour plus d’informations, consultez Posture de conteneur sans agent (préversion).

Recommandation de chiffrement de disque unifié (préversion)

Nous avons introduit une recommandation de chiffrement de disque unifié en préversion publique, Windows virtual machines should enable Azure Disk Encryption or EncryptionAtHost et Linux virtual machines should enable Azure Disk Encryption or EncryptionAtHost.

Ces recommandations remplacent Virtual machines should encrypt temp disks, caches, and data flows between Compute and Storage resources, qui a détecté Azure Disk Encryption et la stratégie Virtual machines and virtual machine scale sets should have encryption at host enabled, qui a détecté EncryptionAtHost. ADE et EncryptionAtHost offrent une couverture de chiffrement au repos comparable, et nous vous recommandons d’activer l’une de ces deux options sur chaque machine virtuelle. Les nouvelles recommandations détectent si ADE ou EncryptionAtHost sont activés et avertissent uniquement si ni l’un ni l’autre n’est activé. Nous avertissons également si ADE est activé sur certains disques, mais pas sur tous les disques d’une machine virtuelle (cette condition ne s’applique pas à EncryptionAtHost).

Les nouvelles recommandations nécessitent Azure Automanage Machine Configuration.

Ces recommandations sont basées sur les stratégies suivantes :

• (Préversion) Les machines virtuelles Windows doivent activer Azure Disk Encryption ou EncryptionAtHost
• (Préversion) Les machines virtuelles Linux doivent activer Azure Disk Encryption ou EncryptionAtHost

Découvrez ADE et EncryptionAtHost, et comment activer l’un d’entre eux.

Modifications apportées à la recommandation Les machines doivent être configurées en toute sécurité

La recommandation Machines should be configured securelya été annulée. La mise à jour améliore les performances et la stabilité de la suggestion et aligne son expérience sur le comportement générique des recommandations de Defender pour le cloud.

Dans le cadre de cette mise à jour, l’ID de recommandation181ac480-f7c4-544b-9865-11b8ffe87f47 a été remplacé par c476dc48-8110-4139-91af-c8d940896b98.

Aucune action n’est requise côté client et aucun effet n’est attendu sur le degré de sécurisation.

Dépréciation des stratégies de surveillance de langages App Service

Les stratégies d’analyse langage App Service suivantes ont été dépréciées en raison de leur aptitude à générer des faux négatifs et parce qu’elles n’offrent pas nécessairement une meilleure sécurité. Vous devez toujours vous assurer d’utiliser une version de langage sans vulnérabilités connues.

Nom de stratégie	ID de stratégie
Les applications App Service qui utilisent Java doivent utiliser la dernière « version Java »	496223c3-ad65-4ecd-878a-bae78737e9ed
Les applications App Service qui utilisent Python doivent utiliser la dernière « version Python »	7008174a-fd10-4ef0-817e-fc820a951d73
Les applications de fonctions qui utilisent Java doivent utiliser la dernière « version Java »	9d0b6ea4-93e2-4578-bf2f-6bb17d22b4bc
Les applications de fonctions qui utilisent Python doivent utiliser la dernière « version Python »	7238174a-fd10-4ef0-817e-fc820a951d73
Les applications App Service qui utilisent PHP doivent utiliser la dernière « version PHP »	7261b898-8a84-4db8-9e04-18527132abb3

Les clients peuvent utiliser d’autres stratégies intégrées pour surveiller n’importe quelle version de langage spécifiée pour leurs services App Services.

Ces stratégies ne seront plus disponibles dans les recommandations intégrées de Defender pour le cloud. Vous pouvez les ajouter en tant que recommandations personnalisées pour que Defender pour le cloud les analyse.

Nouvelle alerte dans Defender pour Resource Manager

Defender pour Resource Manager dispose de la nouvelle alerte suivante :

Alerte (type d’alerte)	Description	Tactiques MITRE	severity
PRÉVERSION - Création suspecte de ressources de calcul détectée (ARM_SuspiciousComputeCreation)	Microsoft Defender pour Resource Manager a identifié une création suspecte de ressources de calcul dans votre abonnement utilisant Machines Virtuelles/Azure Scale Set. Les opérations identifiées sont conçues pour permettre aux administrateurs de gérer efficacement leurs environnements en déployant de nouvelles ressources si besoin. Bien que cette activité puisse être légitime, il est possible qu’un acteur malveillant exploite ces opérations pour réaliser une exploration cryptographique. L’activité est considérée comme suspecte, car l’échelle des ressources de calcul est plus élevée que celle observée précédemment dans l’abonnement. Cela peut indiquer que le principal est compromis et qu’il est utilisé dans une intention malveillante.	Impact	Moyenne

Vous pouvez voir une liste de toutes les alertes disponibles pour Resource Manager.

Trois alertes du plan Defender pour Azure Resource Manager ont été dépréciées

Les trois alertes du plan Defender pour Azure Resource Manager suivantes ont été dépréciées :

• Activity from a risky IP address (ARM.MCAS_ActivityFromAnonymousIPAddresses)
• Activity from infrequent country (ARM.MCAS_ActivityFromInfrequentCountry)
• Impossible travel activity (ARM.MCAS_ImpossibleTravelActivity)

Dans un scénario où une activité provenant d’une adresse IP suspecte est détectée, l’une des alertes du plan Defender pour Azure Resource Manager Azure Resource Manager operation from suspicious IP address ou Azure Resource Manager operation from suspicious proxy IP address suivantes est présente.

L’exportation automatique des alertes vers l’espace de travail Log Analytics a été dépréciée

Les alertes de sécurité de Defender pour le cloud sont automatiquement exportées vers un espace de travail Log Analytics par défaut au niveau de la ressource. Cela entraîne un comportement indéterminé et, par conséquent, cette fonctionnalité a été dépréciée.

Vous pouvez plutôt exporter vos alertes de sécurité vers un espace de travail Log Analytics dédié avec Exportation continue.

Si vous avez déjà configuré l’exportation continue de vos alertes vers un espace de travail Log Analytics, aucune autre action n’est nécessaire.

Dépréciation et amélioration des alertes sélectionnées pour les serveurs Windows et Linux

Le processus d’amélioration de la qualité des alertes de sécurité pour Defender pour serveurs inclut la dépréciation de certaines alertes pour les serveurs Windows et Linux. Les alertes dépréciées proviennent désormais des alertes de menace Defender pour point de terminaison et sont couvertes par celles-ci.

Si l’intégration de Defender for Endpoint est déjà activée, aucune action supplémentaire n’est requise. Vous pourriez constater une diminution du volume de vos alertes en avril 2023.

Si l’intégration de Defender for Endpoint n’est pas activée dans Defender pour serveurs, vous devez activer l’intégration de Defender for Endpoint afin de maintenir et d’améliorer votre couverture des alertes.

Tous les clients Defender pour serveurs bénéficient d’un accès complet à l’intégration de Defender for Endpoint dans le cadre du plan Defender pour serveurs.

Vous pouvez en apprendre davantage sur les options d’intégration de Microsoft Defender for Endpoint.

Vous pouvez également consulter la liste complète des alertes qui seront dépréciées.

Lisez le Blog Microsoft Defender pour le cloud.

Nouvelles recommandations relatives à l’authentification Azure Active Directory pour Azure Data Services

Nous avons ajouté de nouvelles recommandations relatives à l’authentification Azure Active Directory pour Azure Data Services.

Nom de la recommandation	Description de la recommandation	Stratégie
Le mode d’authentification Azure SQL Managed Instance doit être Azure Active Directory uniquement	La désactivation des méthodes d’authentification locales et l’autorisation de l’authentification Azure Active Directory seule améliorent la sécurité en garantissant que les instances managées Azure SQL sont accessibles exclusivement par les identités Azure Active Directory.	Azure SQL Managed Instance doit avoir uniquement l’authentification Azure Active Directory activée
Le mode d’authentification de l’espace de travail Azure Synapse doit être Azure Active Directory uniquement	Les seules méthodes d’authentification Azure Active Directory améliorent la sécurité en veillant à ce que les espaces de travail Synapse exigent exclusivement des identités Azure AD pour l’authentification. Plus d’informations	Les espaces de travail Synapse doivent utiliser uniquement des identités Azure Active Directory pour l’authentification
Un administrateur Azure Active Directory doit être approvisionné pour Azure Database pour MySQL	Approvisionnez un administrateur Azure AD pour votre Azure Database pour MySQL afin d’activer l’authentification Azure AD. L’authentification Azure AD permet une gestion simplifiée des autorisations et une gestion centralisée des utilisateurs de bases de données et d’autres services Microsoft	Un administrateur Azure Active Directory doit être provisionné pour les serveurs MySQL
Azure Database pour PostgreSQL doit avoir un administrateur Azure Active Directory approvisionné	Approvisionnez un administrateur Azure AD pour votre Azure Database pour PostgreSQL afin d’activer l’authentification Azure AD. L’authentification Azure AD permet une gestion simplifiée des autorisations et une gestion centralisée des utilisateurs de bases de données et d’autres services Microsoft	Un administrateur Azure Active Directory doit être provisionné pour les serveurs PostgreSQL

Deux recommandations relatives aux mises à jour manquantes du système d’exploitation ont été publiées en disponibilité générale

Les recommandations System updates should be installed on your machines (powered by Azure Update Manager) et Machines should be configured to periodically check for missing system updates ont été publiées pour la disponibilité générale.

Pour utiliser la nouvelle recommandation, vous devez :

• Connectez vos machines non Azure à Arc.
• Activez la propriété d’évaluation périodique. Vous pouvez utiliser le bouton Corriger. dans la nouvelle recommandation Machines should be configured to periodically check for missing system updates pour corriger la recommandation.

Après avoir effectué ces étapes, vous pouvez supprimer l’ancienne recommandation System updates should be installed on your machines en la désactivant de l’initiative intégrée de Defender pour le cloud dans la stratégie Azure.

Les deux versions des recommandations :

• System updates should be installed on your machines
• System updates should be installed on your machines (powered by Azure Update Manager)

seront toutes deux disponibles jusqu’à ce que l’agent Log Analytics soit déprécié le 31 août 2024, c’est-à-dire lorsque l’ancienne version (System updates should be installed on your machines) de la recommandation sera également dépréciée. Les deux recommandations retournent les mêmes résultats et sont disponibles sous le même contrôle Apply system updates.

La nouvelle recommandation System updates should be installed on your machines (powered by Azure Update Manager) a un flux de correction disponible via le bouton Corriger, qui peut être utilisé pour corriger tous les résultats via le Gestionnaire des mises à jour (préversion). Ce processus de correction est toujours en préversion.

La nouvelle recommandation System updates should be installed on your machines (powered by Azure Update Manager) ne devrait pas affecter votre degré de sécurisation, car elle a les mêmes résultats que l’ancienne recommandation System updates should be installed on your machines.

La recommandation de prérequis (Activer la propriété d’évaluation périodique) a un effet négatif sur votre degré de sécurisation. Vous pouvez corriger l’effet à l’aide du bouton Corriger disponible.

Defender pour les API (préversion)

Defender pour le cloud de Microsoft annonce que le nouveau Defender pour les API est disponible en préversion.

Defender pour les API offre une couverture complète de protection, détection et réponse du cycle de vie pour des API.

Defender pour les API vous permet d’obtenir une visibilité sur des API vitales pour l’entreprise. Vous pouvez examiner et améliorer votre posture de sécurité des API, hiérarchiser des correctifs de vulnérabilité et détecter rapidement des menaces actives en temps réel.

Si vous souhaitez en savoir plus sur Defender pour les API.

Mars 2023

Les mises à jour du mois de mars incluent :

• Un nouveau plan Defender pour le stockage est disponible, comprenant l’analyse des programmes malveillants en quasi-temps réel et la détection des menaces de données sensibles
• Posture de sécurité sensible aux données (préversion)
• Expérience améliorée pour la gestion des stratégies de sécurité Azure par défaut
• Defender CSPM (Cloud Security Posture Management, gestion de la posture de sécurité cloud) est désormais en disponibilité générale (GA)
• Option permettant de créer des recommandations personnalisées et des normes de sécurité dans Microsoft Defender pour le cloud
• La version 1.0 du Benchmark de la sécurité Microsoft Cloud (MCSB) est désormais en disponibilité générale (GA)
• Certaines normes de conformité réglementaire sont désormais disponibles dans les clouds gouvernementaux
• Nouvelle recommandation de préversion pour les serveurs Azure SQL Server
• Nouvelle alerte pour Defender pour Key Vault

Un nouveau plan Defender pour le stockage est disponible, comprenant l’analyse des programmes malveillants en quasi-temps réel et la détection des menaces de données sensibles

Le stockage cloud joue un rôle clé dans l’organisation et stocke de grands volumes de données précieuses et sensibles. Nous annonçons aujourd’hui un nouveau plan Defender pour le Stockage. Si vous utilisez le plan précédent (désormais renommé « Defender pour le stockage (classique) »), vous devez migrer vers le nouveau plan de manière proactive afin d’utiliser les nouvelles fonctionnalités et avantages.

Le nouveau plan inclut des fonctionnalités de sécurité avancées pour vous protéger contre les chargements de fichiers malveillants, l’exfiltration de données sensibles et l’altération des données. Ce plan fournit également une structure tarifaire plus prévisible et plus souple pour un meilleur contrôle de la couverture et des coûts.

Les nouvelles fonctionnalités de ce nouveau plan sont désormais disponibles en préversion publique :

• Détection des événements d’exposition et d’exfiltration de données sensibles

• Analyse en quasi-temps réel des programmes malveillants d’objets blob lors du chargement sur tous les types de fichiers

• Détection d’entités sans identité à l’aide de jetons SAP

Ces fonctionnalités améliorent la capacité existante de surveillance des activités, basée sur l’analyse des journaux de contrôle et de plan de données et sur la modélisation comportementale pour identifier les premiers signes d’une violation.

Toutes ces fonctionnalités sont disponibles dans le cadre d’un nouveau plan tarifaire prévisible et souple qui permet un contrôle granulaire de la protection des données au niveau de l’abonnement et des ressources.

Pour en savoir plus, consultez Vue d’ensemble de Microsoft Defender pour le stockage.

Posture de sécurité sensible aux données (préversion)

Microsoft Defender pour le cloud aide les équipes de sécurité à être plus productives pour réduire les risques et répondre aux violations de données dans le cloud. La solution leur permet de faire la part des choses grâce au contexte des données et de classer par ordre de priorité les risques de sécurité les plus critiques, afin d’éviter une violation de données coûteuse.

• Découvrez automatiquement les ressources de données dans le domaine cloud et évaluez leur accessibilité, leur sensibilité aux données et leurs flux de données configurés. -Découvrez en permanence les risques de violations de ressources de données sensibles, d’exposition ou des chemins d’attaque qui pourraient conduire à une ressource de données à l’aide d’une technique de déplacement latéral.
• Détectez les activités suspectes qui pourraient indiquer une menace en cours pour les ressources de données sensibles.

En savoir plus à propos de la posture de sécurité sensible aux données.

Expérience améliorée pour la gestion des stratégies de sécurité Azure par défaut

Nous introduisons une expérience améliorée de gestion des stratégies de sécurité Azure pour les recommandations intégrées qui simplifie la façon dont les clients Defender pour le cloud affinent leurs exigences en matière de sécurité. Cette nouvelle expérience inclut les nouvelles fonctionnalités suivantes :

• Une interface simple permet une performance et expérience meilleure lors de la gestion des stratégies de sécurité par défaut dans Defender pour le Cloud.
• Un affichage unique de toutes les recommandations de sécurité intégrées proposées par le Benchmark de sécurité Microsoft Cloud (anciennement le point de référence de sécurité Azure). Les recommandations sont organisées en groupes logiques, ce qui facilite la compréhension des types de ressources couvertes, ainsi que la relation entre les paramètres et les recommandations.
• De nouvelles fonctionnalités telles que les filtres et la recherche ont été ajoutées.

Découvrez comment gérer les stratégies de sécurité.

Lisez le Blog Microsoft Defender pour le cloud.

Defender CSPM (Cloud Security Posture Management, gestion de la posture de sécurité cloud) est désormais en disponibilité générale (GA)

Nous vous annonçons que Defender CSPM est désormais en disponibilité générale (GA). Defender pour CSPM offre tous les services disponibles dans le cadre des fonctionnalités CSPM de base et ajoute les avantages suivants :

• Analyse du chemin d’attaque et API ARG – L’analyse du chemin d’attaque utilise un algorithme basé sur le graphique qui analyse le graphique de sécurité du cloud pour exposer les chemins d’attaque et suggère des recommandations sur la meilleure façon de remédier aux problèmes qui permettent de rompre le chemin d’attaque et d’empêcher une violation effective. Vous pouvez également consommer des chemins d’attaque par programmation en interrogeant l’API Azure Resource Graph (ARG). Découvrez comment utiliser l’analyse du chemin d’attaque
• Explorateur de sécurité du cloud – Utilisez Cloud Security Explorer pour exécuter des requêtes basées sur le graphique de sécurité du cloud, afin d’identifier de manière proactive les risques de sécurité dans vos environnements multiclouds. En savoir plus sur l’explorateur de sécurité du cloud.

En savoir plus sur Defender CSPM.

Option permettant de créer des recommandations personnalisées et des normes de sécurité dans Microsoft Defender pour le cloud

Microsoft Defender pour le cloud offre la possibilité de créer des suggestions et des normes personnalisées pour AWS et GCP à l’aide de requêtes KQL. Vous pouvez utiliser un éditeur de requêtes pour générer et tester des requêtes sur vos données. Cette fonctionnalité fait partie du plan Defender CSPM (Cloud Security Posture Management, gestion de la posture de sécurité cloud). Découvrez comment créer des recommandations et des normes personnalisées.

La version 1.0 du Benchmark de la sécurité Microsoft Cloud (MCSB) est désormais en disponibilité générale (GA)

Microsoft Defender pour le cloud annonce que la version 1.0 du Benchmark de sécurité Microsoft Cloud (MCSB) est désormais en disponibilité générale (GA).

La version 1.0 de MCSB remplace la version 3 du benchmark de sécurité Azure (ASB) en tant que stratégie de sécurité par défaut de Defender pour le cloud. La version 1.0 du MCSB apparaît comme la norme de conformité par défaut dans le tableau de bord de conformité et est activée par défaut pour tous les clients Defender pour le cloud.

Vous pouvez également découvrir comment le Benchmark de sécurité Microsoft Cloud (MCSB) vous aide à réussir votre parcours de sécurité cloud.

En savoir plus sur MCSB.

Certaines normes de conformité réglementaire sont désormais disponibles dans les clouds gouvernementaux

Nous mettons à jour ces normes pour les clients dans Azure Government et Microsoft Azure gérés par 21Vianet.

Azure Government :

• PCI DSS v4
• SOC 2 Type 2
• ISO 27001:2013

Microsoft Azure exploité par 21Vianet :

• SOC 2 Type 2
• ISO 27001:2013

Apprenez comment Personnaliser l’ensemble de normes de votre tableau de bord de conformité réglementaire.

Nouvelle recommandation de préversion pour les serveurs Azure SQL Server

Nous avons ajouté une nouvelle recommandation pour les serveurs Azure SQL Server, Azure SQL Server authentication mode should be Azure Active Directory Only (Preview).

La recommandation est basée sur la stratégie existante Azure SQL Database should have Azure Active Directory Only Authentication enabled

Cette recommandation désactive les méthodes d’authentification locales et autorise uniquement l’authentification Azure Active Directory qui améliore la sécurité en garantissant que les bases de données Azure SQL Database sont exclusivement accessibles par des identités Azure Active Directory.

Découvrez comment créer des serveur avec l’authentification Azure AD uniquement activée dans Azure SQL.

Nouvelle alerte dans Defender pour Key Vault

Defender pour Key Vault a la nouvelle alerte suivante :

Alerte (type d’alerte)	Description	Tactiques MITRE	Gravité
Accès refusé depuis une adresse IP suspecte à un coffre de clés (KV_SuspiciousIPAccessDenied)	Un accès réussi au coffre de clés a été essayé par une adresse IP identifiée par Microsoft Threat Intelligence comme adresse IP suspecte. Malgré l’échec de cette tentative, elle indique que votre infrastructure a peut-être été compromise. Nous vous recommandons de faire des investigations supplémentaires.	Accès aux informations d’identification	Faible

Vous pouvez voir la liste de toutes les alertes disponibles pour Key Vault.

Février 2023

Les mises à jour de février sont les suivantes :

• Amélioration de Cloud Security Explorer
• Les analyses de vulnérabilité de Defender pour les conteneurs d’images Linux en cours d’exécution sont désormais en disponibilité générale
• Annonce de la prise en charge de la norme de conformité AWS CIS 1.5.0
• Microsoft Defender pour DevOps (préversion) est désormais disponible dans d’autres régions
• La stratégie intégrée [préversion] : Le point de terminaison privé doit être configuré pour que Key Vault soit déprécié

Amélioration de Cloud Security Explorer

Cette version améliorée de Cloud Security Explorer propose une expérience utilisateur actualisée qui supprime considérablement les frictions de requêtes et ajoute la possibilité d’exécuter des requêtes multiclouds et multiressources, ainsi qu’une documentation incorporée pour chaque option de requête.

Cloud Security Explorer vous permet désormais d’exécuter des requêtes issues du cloud sur les ressources. Vous pouvez utiliser les modèles de requête prédéfinis ou la recherche personnalisée pour appliquer des filtres et créer votre requête. Découvrez comment gérer Cloud Security Explorer.

Les analyses de vulnérabilité de Defender pour les conteneurs d’images Linux en cours d’exécution sont désormais en disponibilité générale

Defender pour les conteneurs détecte les vulnérabilités des conteneurs en cours d’exécution. Les conteneurs Windows et Linux sont pris en charge.

En août 2022, cette fonctionnalité a été publiée en préversion pour Windows et Linux. Nous la publions désormais en disponibilité générale pour Linux.

Lorsque des vulnérabilités sont détectées, Defender pour le cloud génère la recommandation de sécurité suivante répertoriant les résultats de l’analyse : Les résultats de l’analyse de vulnérabilité doivent être résolus pour exécuter des images conteneurs.

En savoir plus sur l’affichage des vulnérabilités pour l’exécution d’images.

Annonce de la prise en charge de la norme de conformité AWS CIS 1.5.0

Defender pour le cloud prend désormais en charge la norme de conformité CIS Amazon Web Services Foundations v1.5.0. La norme peut être ajoutée à votre tableau de bord conformité réglementaire et s’appuie sur les offres existantes de MDC pour les recommandations et normes multicloud.

Cette nouvelle norme inclut des recommandations existantes et nouvelles qui étendent la couverture de Defender pour le cloud aux nouveaux services et ressources AWS.

Découvrez comment gérer les évaluations et les standards AWS.

Microsoft Defender pour DevOps (préversion) est désormais disponible dans d’autres régions

Microsoft Defender pour DevOps a étendu sa préversion et est désormais disponible dans les régions Europe Ouest et Australie Est, quand vous intégrez vos ressources Azure DevOps et GitHub.

Découvrez-en plus sur Microsoft Defender pour DevOps.

La stratégie intégrée [préversion] : Le point de terminaison privé doit être configuré pour que Key Vault soit déprécié

La stratégie intégrée [Preview]: Private endpoint should be configured for Key Vault est déconseillée et remplacée par la stratégie [Preview]: Azure Key Vaults should use private link.

En savoir plus sur l’intégration d’Azure Key Vault à Azure Policy.

Janvier 2023

Les mises à jour de janvier sont les suivantes :

• Le composant Endpoint Protection (Microsoft Defender for Endpoint) est désormais accessible dans la page Paramètres et surveillance
• Nouvelle version de la recommandation pour rechercher les mises à jour système manquantes (préversion)
• Nettoyage des machines Azure Arc supprimées dans les comptes AWS et GCP connectés
• Autoriser l’exportation continue vers Event Hubs derrière un pare-feu
• Le nom du contrôle de niveau de sécurité Protéger vos applications avec des solutions réseau avancées Azure a changé
• Les paramètres d’évaluation des vulnérabilités de SQL Server doivent contenir une adresse e-mail pour recevoir les rapports d’analyse est déconseillé
• La recommandation concernant l’activation des journaux de diagnostic pour les groupes de machines virtuelles identiques est déconseillée

Le composant Endpoint Protection (Microsoft Defender for Endpoint) est désormais accessible dans la page Paramètres et surveillance

Pour accéder à Endpoint Protection, sélectionnez Paramètres d’environnement>Plans Defender>Paramètres et surveillance. À partir de là, vous pouvez définir Endpoint Protection sur Activé. Vous pouvez également voir les autres composants gérés.

En savoir plus sur l’activation de Microsoft Defender for Endpoint sur vos serveurs avec Defender pour serveurs.

Nouvelle version de la recommandation pour rechercher les mises à jour système manquantes (préversion)

Vous n’avez plus besoin d’un agent sur vos machines virtuelles Azure et vos machines Azure Arc pour vous assurer que les machines disposent de toutes les dernières mises à jour de sécurité ou de système critiques.

La nouvelle recommandation des mises à jour système, System updates should be installed on your machines (powered by Azure Update Manager) dans le contrôle Apply system updates, est basée sur le Gestionnaire des mises à jour (préversion). La recommandation s’appuie sur un agent natif incorporé dans chaque machine virtuelle Azure et machines Azure Arc au lieu d’un agent installé. Le correctif rapide dans la nouvelle recommandation vous conduit à une installation ponctuelle des mises à jour manquantes dans le portail du Gestionnaire des mises à jour.

Pour utiliser la nouvelle recommandation, vous devez :

• Connecter vos machines non Azure à Arc
• Activer la propriété d’évaluation périodique. Vous pouvez utiliser le correctif rapide dans la nouvelle recommandation Machines should be configured to periodically check for missing system updates pour corriger la recommandation.

La recommandation existante « Les mises à jour système doivent être installées sur vos machines », qui s’appuie sur l’agent Log Analytics, est toujours disponible sous le même contrôle.

Nettoyage des machines Azure Arc supprimées dans les comptes AWS et GCP connectés

Une machine connectée à un compte AWS et GCP couvert par Defender pour serveurs ou Defender pour SQL sur des machines est représentée dans Defender pour le cloud en tant que machine Azure Arc. Jusqu’à présent, cette machine n’était pas supprimée de l’inventaire lorsque la machine a été supprimée du compte AWS ou GCP. Conduisant à des ressources Azure Arc inutiles laissées dans Defender pour le cloud qui représentent des machines supprimées.

Defender pour le cloud supprime désormais automatiquement les machines Azure Arc lorsque ces machines sont supprimées dans un compte AWS ou GCP connecté.

Autoriser l’exportation continue vers Event Hubs derrière un pare-feu

Vous pouvez maintenant activer l’exportation continue d’alertes et de recommandations, en tant que service approuvé vers Event Hubs protégés par un pare-feu Azure.

Vous pouvez activer l’exportation continue à mesure que les alertes ou recommandations sont générées. Vous pouvez également définir un calendrier pour envoyer des instantanés périodiques de toutes les nouvelles données.

Découvrez comment activer l’exportation continue vers un Event Hubs derrière un pare-feu Azure.

Le nom du contrôle de niveau de sécurité Protéger vos applications avec des solutions réseau avancées Azure est changé

Le contrôle Protect your applications with Azure advanced networking solutions de niveau de sécurité est remplacé par Protect applications against DDoS attacks.

Le nom mis à jour est reflété dans Azure Resource Graph (ARG), l’API des contrôles de niveau de sécurité et le Download CSV report.

Les paramètres d’évaluation des vulnérabilités de SQL Server doivent contenir une adresse e-mail pour recevoir les rapports d’analyse est déconseillé

Cette stratégie Vulnerability Assessment settings for SQL server should contain an email address to receive scan reports est déconseillée.

Le rapport d’e-mail d’évaluation des vulnérabilités de Defender pour SQL est toujours disponible et les configurations de messagerie existantes n’ont pas changé.

La recommandation concernant l’activation des journaux de diagnostic pour les groupes de machines virtuelles identiques est déconseillée

La recommandation Diagnostic logs in Virtual Machine Scale Sets should be enabled est déconseillée.

La définition de stratégie associée a également été dépréciée par toutes les normes affichées dans le tableau de bord de conformité réglementaire.

Recommandation	Description	Gravité
Les journaux de diagnostic dans les groupes identiques de machines virtuelles doivent être activés	Activez les journaux et conservez-les pendant un an maximum, ce qui vous permet de recréer les pistes d’activité à des fins d’investigation quand un incident de sécurité se produit ou que votre réseau est compromis.	Faible

Décembre 2022

Les mises à jour en décembre sont les suivantes :

• Annonce de la configuration rapide pour l’évaluation des vulnérabilités dans Defender pour SQL

Annonce de la configuration rapide pour l’évaluation des vulnérabilités dans Defender pour SQL

La configuration rapide pour l’évaluation des vulnérabilités dans Microsoft Defender pour SQL fournit aux équipes de sécurité une expérience de configuration simplifiée sur les bases de données Azure SQL et les pools SQL dédiés en dehors des espaces de travail Synapse.

Avec l’expérience de configuration rapide pour les évaluations des vulnérabilités, les équipes de sécurité peuvent :

• Effectuez la configuration de l’évaluation des vulnérabilités dans la configuration de sécurité de la ressource SQL, sans paramètres ou dépendances en plus sur les comptes de stockage gérés par le client.
• Ajoutez immédiatement les résultats de l’analyse aux lignes de base afin que l’état de la recherche passe de Non sain à Sain sans réanalyser une base de données.
• Ajoutez plusieurs règles aux lignes de référence à la fois et utilisez les derniers résultats d’analyse.
• Activez l’évaluation des vulnérabilités pour tous les serveurs Azure SQL lorsque vous activez Microsoft Defender pour les bases de données au niveau de l’abonnement.

En savoir plus sur l’Évaluation des vulnérabilités de Defender pour SQL.

Novembre 2022

Les mises à jour en novembre sont les suivantes :

• Protéger les conteneurs dans votre organisation GCP avec Defender pour les conteneurs
• Valider les protections Defender pour les conteneurs avec des exemples d’alertes
• Règles de gouvernance à grande échelle (préversion)
• La création d’évaluations personnalisées dans AWS et GCP (préversion) est déconseillée
• La recommandation concernant la configuration de files d’attente de lettres mortes pour les fonctions Lambda est déconseillée

Protéger les conteneurs dans votre organisation GCP avec Defender pour les conteneurs

Vous pouvez maintenant activer Defender pour les conteneurs pour votre environnement GCP afin de protéger les clusters GKE standard dans l’ensemble d’une organisation GCP. Créez simplement un connecteur GCP avec Defender pour les conteneurs activé ou activez Defender pour les conteneurs sur un connecteur GCP existant au niveau de l’organisation.

Découvrez-en plus sur la connexion de projets et d’organisations GCP à Defender pour le cloud.

Valider les protections Defender pour les conteneurs avec des exemples d’alertes

Vous pouvez maintenant créer des exemples d’alertes également pour le plan Defender pour les conteneurs. Les nouveaux exemples d’alertes sont présentés comme provenant d’AKS, de clusters connectés à Arc, de ressources EKS et GKE avec différents niveaux de gravité et de tactiques MITRE. Vous pouvez utiliser les exemples d’alertes pour valider les configurations d’alerte de sécurité, telles que les intégrations SIEM, l’automatisation du workflow et les notifications par e-mail.

Découvrez-en plus sur les validation d’alertes.

Règles de gouvernance à grande échelle (préversion)

Nous sommes heureux d’annoncer la nouvelle possibilité d’appliquer des règles de gouvernance à grande échelle (préversion) dans Defender pour le cloud.

Avec cette nouvelle expérience, les équipes de sécurité sont en mesure de définir des règles de gouvernance en bloc pour différentes étendues (abonnements et connecteurs). Les équipes de sécurité peuvent accomplir cette tâche en utilisant des étendues de gestion telles que des groupes d’administration Azure, des comptes de niveau supérieur AWS ou des organisations GCP.

En outre, la page Règles de gouvernance (préversion) présente toutes les règles de gouvernance disponibles qui sont efficaces dans les environnements de l’organisation.

Découvrez-en plus sur les nouvelles règles de gouvernance à grande échelle.

Notes

À compter du 1er janvier 2023, pour bénéficier des fonctionnalités offertes par la gouvernance, vous devez activer le plan Defender CSPM sur votre abonnement ou connecteur.

La création d’évaluations personnalisées dans AWS et GCP (préversion) est déconseillée

La possibilité de créer des évaluations personnalisées pour les comptes AWS et les projets GCP, qui était une fonctionnalité en préversion est déconseillée.

La recommandation concernant la configuration de files d’attente de lettres mortes pour les fonctions Lambda est déconseillée

La recommandation Lambda functions should have a dead-letter queue configured est déconseillée.

Recommandation	Description	Gravité
Une file d’attente de lettres mortes doit être configurée pour les fonctions Lambda	Ce contrôle vérifie si une fonction Lambda est configurée avec une file d’attente de lettres mortes. Le contrôle échoue si la fonction Lambda n’est pas configurée avec une file d’attente de lettres mortes. En guise d’alternative à une destination en cas d’échec, vous pouvez configurer votre fonction avec une file d’attente de lettres mortes pour sauvegarder les événements ignorés en vue d’un traitement ultérieur. Une file d’attente de lettres mortes agit de la même manière qu’une destination en cas d’échec. Elle est utilisée lorsqu’un événement échoue à toutes les tentatives de traitement ou expire sans avoir été traité. Une file d’attente de lettres mortes vous permet de revenir sur les erreurs ou les requêtes adressées à votre fonction Lambda ayant échoué pour déboguer ou identifier un comportement inhabituel. Du point de vue de la sécurité, il est important de comprendre la raison pour laquelle votre fonction a échoué et de vous assurer que votre fonction ne supprime pas de données ni ne compromet la sécurité des données en conséquence. Par exemple, si votre fonction ne peut pas communiquer avec une ressource sous-jacente, cela peut être le symptôme d’une attaque par déni de service (DoS) ailleurs sur le réseau.	Medium

Octobre 2022

Les mises à jour d’octobre sont les suivantes :

• Annonce du point de référence de sécurité Microsoft Cloud
• Fonctionnalités d’Analyse du chemin d’attaque et de sécurité contextuelle dans Defender pour le cloud (préversion)
• Analyse sans agent des machines Azure et AWS (préversion)
• Defender pour DevOps (préversion)
• Le Tableau de bord de conformité réglementaire prend désormais en charge la gestion manuelle des contrôles et des informations détaillées sur l’état de conformité de Microsoft
• Le provisionnement automatique est renommé en Paramètres et analyse et a une expérience mise à jour
• Gestion de la posture de sécurité cloud (CSPM) Defender (préversion)
• Le mappage d’infrastructure MITRE ATT&CK est désormais disponible également pour les recommandations de sécurité AWS et GCP
• Defender pour les conteneurs prend désormais en charge l’évaluation des vulnérabilités pour Elastic Container Registry (préversion)

Annonce du point de référence de sécurité Microsoft Cloud

Le point de référence de sécurité Microsoft Cloud (MCSB) est une nouvelle infrastructure qui définit des principes de sécurité cloud fondamentaux basés sur des normes sectorielles courantes et des infrastructures de conformité. Avec des conseils techniques détaillés pour l’implémentation de ces meilleures pratiques sur les plateformes cloud. MCSB remplace Azure Security Benchmark. MCSB fournit des détails prescriptifs pour l’implémentation de ses recommandations de sécurité indépendante du cloud sur plusieurs plateformes de services cloud, couvrant initialement Azure et AWS.

Vous pouvez désormais surveiller votre posture de conformité à la sécurité du cloud, par cloud, dans un tableau de bord intégré. Vous pouvez considérer MCSB comme la norme de conformité par défaut lorsque vous accédez au tableau de bord de conformité réglementaire de Defender pour le cloud.

Le point de référence de sécurité Microsoft Cloud est automatiquement affecté à vos abonnements Azure et comptes AWS lorsque vous intégrez Defender pour le cloud.

Apprenez-en davantage sur le point de référence de sécurité Microsoft Cloud.

Fonctionnalités d’Analyse du chemin d’attaque et de sécurité contextuelle dans Defender pour le cloud (préversion)

Les nouvelles fonctionnalités de Graphique de sécurité du cloud, d’Analyse du chemin d’attaque et de sécurité du cloud contextuelle sont désormais disponibles dans Defender pour le cloud en préversion.

L’un des principaux défis auxquels les équipes de sécurité sont confrontées aujourd’hui est le nombre de problèmes de sécurité rencontrés quotidiennement. Il y a de nombreux problèmes de sécurité à résoudre et jamais assez de ressources pour les traiter tous.

Les nouvelles fonctionnalités de Graphique de sécurité du cloud et d’Analyse du chemin d’attaque de Defender pour le cloud permettent aux équipes de sécurité d’évaluer le risque derrière chaque problème de sécurité. Les équipes de sécurité peuvent également identifier les problèmes présentant les risques les plus élevés qui doivent être résolus le plus rapidement. Defender pour le cloud travaille avec les équipes de sécurité pour réduire le risque d'une violation affectant leur environnement de la manière la plus efficace.

Pour en savoir plus, consultez Graphique de sécurité du cloud, Analyse du chemin d’attaque et Explorateur de sécurité du cloud.

Analyse sans agent des machines Azure et AWS (préversion)

Jusqu’à présent, Defender pour le cloud basait ses évaluations de posture pour les machines virtuelles sur des solutions basées sur un agent. Pour aider les clients à optimiser la couverture et à réduire les frictions d’intégration et de gestion, nous publions l’analyse sans agent pour les machines virtuelles en préversion.

Grâce à l’analyse sans agent pour les machines virtuelles, vous bénéficiez d’une large visibilité sur les logiciels installés et les CVC logiciels. Vous bénéficiez de la visibilité sans les difficultés liées à l'installation et à la maintenance des agents, aux exigences de connectivité du réseau et à l'impact sur les performances de vos charges de travail. L’analyse est alimentée par Gestion des vulnérabilités Microsoft Defender.

L’analyse des vulnérabilités sans agent est disponible dans Gestion de la posture de sécurité cloud (CSPM) Defender et dans Defender pour serveurs P2, avec prise en charge native des machines virtuelles AWS et Azure.

• Apprenez-en davantage sur l’Analyse sans agent.
• Découvrez comment activer l’évaluation des vulnérabilités sans agent.

Defender pour DevOps (préversion)

Microsoft Defender pour le cloud offre une visibilité complète, la gestion de la posture et la protection contre les menaces dans les environnements multiclouds et hybrides, y compris Azure, AWS, Google et les ressources locales.

Le nouveau plan Defender pour DevOps intègre maintenant des systèmes de gestion de code source, tels que GitHub et Azure DevOps, dans Defender pour le cloud. Grâce à cette nouvelle intégration, les équipes de sécurité pourront mieux protéger leurs ressources du code vers le cloud.

Defender pour DevOps vous offre une meilleure visibilité et gestion de vos environnements de développement connectés et de vos ressources de code. Actuellement, vous pouvez connecter des systèmes Azure DevOps et GitHub à Defender pour le cloud, et intégrer des référentiels DevOps à l’inventaire et à la nouvelle page Sécurité DevOps. Il fournit aux équipes de sécurité une vue d’ensemble des problèmes de sécurité découverts, dans une page de Sécurité DevOps unifiée.

Vous pouvez configurer des annotations sur des demandes d’extraction pour aider les développeurs à résoudre les résultats de l’analyse des secrets dans Azure DevOps directement sur leurs demandes de tirage.

Vous pouvez configurer les outils Microsoft Security DevOps sur Azure Pipelines et les workflows GitHub pour activer les analyses de sécurité suivantes :

Nom	Langage	Licence
Bandit	Python	Licence Apache 2.0
BinSkim	Binary--Windows, ELF	Licence MIT
ESlint	JavaScript	Licence MIT
CredScan (Azure DevOps uniquement)	Credential Scanner (aussi connu sous le nom CredScan) est un outil développé et géré par Microsoft pour identifier des fuites d’informations d’identification telles que celles contenues dans des types courants de fichiers de code source et de configuration : mots de passe par défaut, chaînes de connexion SQL, Certificats avec clés privées	Non open source
Analyse de modèle	Modèle ARM, fichier Bicep	Licence MIT
Terrascan	Terraform (HCL2), Kubernetes (JSON/YAML), Helm v3, Kustomize, Dockerfiles, Cloud Formation	Licence Apache 2.0
Trivy	Images conteneur, systèmes de fichiers, dépôts Git	Licence Apache 2.0

Les nouvelles recommandations suivantes sont désormais disponibles pour DevOps :

Recommandation	Description	Gravité
(Préversion) Les référentiels de code doivent avoir les résultats de l’analyse du code résolus	Defender pour DevOps a découvert des vulnérabilités dans les dépôts de code. Pour améliorer la posture de sécurité des dépôts, il est vivement recommandé de corriger ces vulnérabilités. (Aucune stratégie associée)	Moyenne
(Préversion) Les référentiels de code doivent avoir les résultats de l’analyse des secrets résolus	Defender pour DevOps a trouvé un secret dans les dépôts de code.  Cela doit être corrigé immédiatement pour éviter une violation de la sécurité.  Les secrets détectés dans les dépôts peuvent être divulgués ou découverts par des adversaires, ce qui peut compromettre une application ou d’un service. Pour Azure DevOps, l’outil Microsoft Security DevOps CredScan analyse uniquement les builds sur lesquelles il est configuré pour s’exécuter. Par conséquent, les résultats peuvent ne pas refléter l’état complet des secrets dans vos dépôts. (Aucune stratégie associée)	Élevé
(Préversion) Les référentiels de code doivent avoir les résultats de l’analyse Dependabot résolus	Defender pour DevOps a découvert des vulnérabilités dans les dépôts de code. Pour améliorer la posture de sécurité des dépôts, il est vivement recommandé de corriger ces vulnérabilités. (Aucune stratégie associée)	Moyenne
(Préversion) Les référentiels de code doivent avoir les résultats de l’analyse de l’infrastructure en tant que code résolus	(Préversion) Les référentiels de code doivent avoir les résultats de l’analyse de l’infrastructure en tant que code résolus	Moyenne
(Préversion) L’analyse du code doit être activée dans les référentiels GitHub	GitHub utilise l’analyse du code pour analyser le code afin de rechercher les failles de sécurité et les erreurs dans le code. L’analyse du code peut être utilisée pour rechercher, trier et hiérarchiser les correctifs pour les problèmes existants dans votre code. L’analyse du code peut également empêcher les développeurs d’introduire de nouveaux problèmes. Des analyses peuvent être planifiées pour des jours et heures spécifiques, ou être déclenchées lorsqu’un événement spécifique se produit dans le dépôt, tel qu’un envoi (push). Si l’analyse du code détecte une vulnérabilité ou une erreur potentielle dans le code, GitHub affiche une alerte dans le dépôt. Une vulnérabilité est un problème dans le code d’un projet qui pourrait être exploité pour endommager la confidentialité, l’intégrité ou la disponibilité du projet. (Aucune stratégie associée)	Moyenne
(Préversion) L’analyse des secrets doit être activée dans les référentiels GitHub	GitHub analyse les dépôts à la recherche de types connus de secrets, afin d’empêcher toute utilisation frauduleuse de secrets qui ont été accidentellement validés dans des dépôts. L’analyse des secrets analyse l’intégralité de l’historique Git sur toutes les branches présentes dans le dépôt GitHub à la recherche de secrets. Les jetons et les clés privées qu’un fournisseur de services peut émettre pour l’authentification sont des exemples de secrets. Si un secret est archivé dans un dépôt, toute personne disposant d’un accès en lecture au dépôt peut utiliser le secret pour accéder au service externe avec ces privilèges. Les secrets doivent être stockés dans un emplacement dédié et sécurisé en dehors du dépôt du projet. (Aucune stratégie associée)	Élevé
(Préversion) L’analyse Dependabot doit être activée dans les référentiels GitHub	GitHub envoie des alertes Dependabot lorsqu’il détecte des vulnérabilités dans les dépendances de code qui affectent les dépôts. Une vulnérabilité est un problème dans le code d’un projet qui pourrait être exploité pour altérer la confidentialité, l’intégrité ou la disponibilité du projet ou d’autres projets qui utilisent son code. Les vulnérabilités varient en fonction du type, de la gravité et de la méthode d’attaque. Quand le code dépend d’un package qui présente une faille de sécurité, cette dépendance vulnérable peut entraîner une série de problèmes. (Aucune stratégie associée)	Moyenne

Les recommandations Defender pour DevOps remplacent l’analyseur de vulnérabilité déprécié pour les workflows CI/CD qui était inclus dans Defender pour les conteneurs.

Apprenez-en davantage sur Defender pour DevOps.

Le Tableau de bord de conformité réglementaire prend désormais en charge la gestion manuelle des contrôles et des informations détaillées sur l’état de conformité de Microsoft

Le tableau de bord de conformité dans Defender pour le cloud est un outil clé pour les clients, qui les aide à comprendre et à suivre leur état de conformité. Les clients peuvent surveiller en permanence les environnements conformément aux exigences de nombreuses normes et réglementations.

Désormais, vous pouvez gérer entièrement votre posture de conformité en attestant manuellement des contrôles opérationnels ainsi que d’autres contrôles. Vous pouvez fournir des preuves de conformité pour des contrôles non automatisés. Avec les évaluations automatisées, vous pouvez générer un rapport complet de conformité dans une étendue sélectionnée, en traitant l’ensemble des contrôles d’une norme donnée.

En outre, avec des informations de contrôle plus riches, ainsi que des détails et preuves approfondis concernant l’état de conformité de Microsoft, vous disposez à portée de main toutes les informations requises pour les audits.

Voici certains des nouveaux avantages offerts :

• Les actions manuelles des clients fournissent un mécanisme permettant d’attester manuellement la conformité avec des contrôles non automatisés. Y compris la possibilité de lier des preuves, ainsi que de définir une date de conformité et une date d’expiration.

• Détails de contrôle plus riches pour les normes prises en charge qui montrant les actions de Microsoft et les actions manuelles des clients en plus des actions client automatisées existantes.

• Les actions de Microsoft apportent de la transparence à l’état de conformité de Microsoft, au travers de procédures d’évaluation d’audit, de résultats des tests et de réponses Microsoft à des écarts.

• Les offres de conformité fournissent un emplacement central pour vérifier les produits Azure, Dynamics 365 et Power Platform, ainsi que leurs certifications de conformité réglementaire respectives.

Apprenez-en davantage sur la manière d’améliorer votre conformité réglementaire à l’aide de Defender pour le cloud.

Le provisionnement automatique est renommé en Paramètres et analyse et a une expérience mise à jour

Nous avons renommé la page de provisionnement automatique en Paramètres & surveillance.

Le provisionnement automatique a été conçu pour permettre l’activation à grande échelle de prérequis dont ont besoin les fonctionnalités et capacités avancées de Defender pour le cloud. Pour mieux prendre en charge nos capacités étendues, nous allons lancer une nouvelle expérience avec les modifications suivantes :

La page des plans Defender pour le cloud inclut désormais les éléments suivants :

• Quand vous activez un plan Defender qui nécessite des composants de supervision, ces composants sont activés pour le provisionnement automatique avec les paramètres par défaut. Ces paramètres peuvent être modifiés à tout moment.
• Vous pouvez accéder aux paramètres du composant de surveillance pour chaque plan Defender à partir de la page de celui-ci.
• La page des plans Defender indique clairement si tous les composants de surveillance sont en place pour chaque plan Defender ou si votre couverture de surveillance est incomplète.

Page de surveillance Paramètres > :

• Chaque composant de supervision indique les plans Defender auxquels il a trait.

Apprenez-en davantage sur la gestion de vos paramètres de surveillance.

Gestion de la posture de sécurité cloud Defender (CSPM)

L’un des piliers de Microsoft Defender pour le cloud en lien avec la sécurité du cloud est la Gestion de la posture de sécurité cloud (CSPM). La CSPM fournit des conseils de renforcement qui vous aident à améliorer efficacement et effectivement votre sécurité. La CSPM vous donne également une visibilité de votre situation de sécurité actuelle.

Nous annonçons un nouveau plan Defender : Defender CSPM. Ce plan améliore les fonctionnalités de sécurité de Defender pour le cloud et inclut les fonctionnalités nouvelles et étendues suivantes :

• Évaluation continue de la configuration de sécurité de vos ressources cloud
• Recommandations de sécurité pour corriger les erreurs de configuration et les faiblesses
• Degré de sécurisation
• Gouvernance
• Conformité aux normes
• Graphique de sécurité du cloud
• Analyse du chemin d’attaque
• Analyse sans agent des machines

Découvrez-en plus sur le plan Defender CSPM.

Le mappage d’infrastructure MITRE ATT&CK est désormais disponible également pour les recommandations de sécurité AWS et GCP

Pour les analystes de sécurité, il est essentiel d’identifier les risques potentiels associés aux recommandations de sécurité et de comprendre les vecteurs d’attaque, afin de pouvoir hiérarchiser efficacement leurs tâches.

Defender pour le cloud facilite la hiérarchisation en mappant les recommandations de sécurité Azure, AWS et GCP à l’infrastructure MITRE ATT&CK. Le framework MITRE ATT&CK est une base de connaissances mondialement accessible des tactiques et techniques adversaires basées sur des observations réelles, ce qui permet aux clients de renforcer la configuration sécurisée de leurs environnements.

Le framework MITRE ATT&CK est intégré de trois façons :

• Recommandations mapper aux tactiques et techniques MITRE ATT&CK.
• Interrogez les tactiques et techniques MITRE ATT&CK sur les recommandations à l’aide d’Azure Resource Graph.

Defender pour les conteneurs prend désormais en charge l’évaluation des vulnérabilités pour Elastic Container Registry (préversion)

Microsoft Defender pour les conteneurs fournit désormais une analyse des vulnérabilités sans agent pour ELASTIC Container Registry (ERC) dans Amazon AWS. Extension de la couverture des environnements multicloud, dans le prolongement de la publication, plus tôt cette année, d’une protection contre les menaces avancées et d’un renforcement de l’environnement Kubernetes pour AWS et Google GCP. Le modèle sans agent crée des ressources AWS dans vos comptes pour analyser vos images sans extraire d’images de vos comptes AWS et sans empreinte sur votre charge de travail.

L’analyse d’évaluation des vulnérabilités sans agent pour les images dans les référentiels ERC permet de réduire la surface d’attaque de vos ressources conteneurisées en analysant en continu les images afin d’identifier et gérer les vulnérabilités des conteneurs. Avec cette nouvelle version, Defender pour le cloud analyse les images conteneur envoyées au dépôt et réévalue continuellement les images conteneur DEC dans le Registre. Les résultats sont disponibles dans Microsoft Defender pour le cloud en tant que recommandations, et vous pouvez utiliser des flux de travail automatisés intégrés de Defender pour le cloud afin de prendre des mesures en fonction des résultats, comme l’ouverture d’un ticket pour corriger une vulnérabilité de gravité élevée dans une image.

Apprenez-en davantage sur l’évaluation des vulnérabilités des images Amazon ECR.

Septembre 2022

Les mises à jour en septembre sont les suivantes :

• Supprimer les alertes basées sur des entités Container et Kubernetes
• Prise en charge par Defender pour serveurs du monitoring de l’intégrité des fichiers avec l’agent Azure Monitor
• Dépréciation des API d’évaluations héritées
• Recommandations supplémentaires ajoutées à l’identité
• Alertes de sécurité supprimées pour les machines signalant les alertes à des espaces de travail Log Analytics multilocataires

Supprimer les alertes basées sur des entités Container et Kubernetes

• Kubernetes Namespace
• Kubernetes Pod
• Kubernetes Secret
• Kubernetes ServiceAccount
• Kubernetes ReplicaSet
• StatefulSet Kubernetes
• Kubernetes DaemonSet
• Kubernetes Job
• Kubernetes CronJob

Découvrez-en plus sur les règles de suppression des alertes.

Prise en charge par Defender pour serveurs du monitoring de l’intégrité des fichiers avec l’agent Azure Monitor

Le monitoring de l’intégrité des fichiers permet d’examiner les fichiers du système d’exploitation et les registres pour déterminer s’ils contiennent des modifications susceptibles d’indiquer une attaque.

FIM est désormais disponible dans une nouvelle version basée sur l’agent Azure Monitor (AMA, Azure Monitor Agent), que vous pouvez déployer par le biais de Defender pour le cloud.

Pour plus d’informations, consultez Monitoring de l’intégrité des fichiers avec l’agent Azure Monitor.

Dépréciation des API d’évaluations héritées

Les API suivantes sont déconseillées :

• Tâches de sécurité
• états de sécurité
• Synthèses de sécurité

Ces trois API exposaient d’anciens formats d’évaluations et sont remplacées par les API d’évaluations et les API de sous-évaluations. Toutes les données exposées par ces API héritées sont également disponibles dans les nouvelles API.

Recommandations supplémentaires ajoutées à l’identité

Recommandations de Defender pour le cloud permettant d’améliorer la gestion des utilisateurs et des comptes.

Nouvelles recommandations

La nouvelle version inclut les fonctionnalités suivantes :

• Étendue d’évaluation étendue : amélioration de la couverture des comptes d’identité sans authentification multi-facteur et comptes externes sur les ressources Azure (au lieu des abonnements uniquement) permettant aux administrateurs de sécurité d’afficher les attributions de rôles par compte.

• Intervalle d’actualisation amélioré : les recommandations sur l’identité ont désormais un intervalle d’actualisation de 12 heures.

• Fonctionnalité d’exemption de compte : Defender pour le cloud dispose de nombreuses fonctionnalités qui permettent de personnaliser l’expérience utilisateur et de vérifier que le niveau de sécurité reflète les priorités de sécurité de votre organisation. Par exemple, vous pouvez exempter les ressources et les recommandations de votre score de sécurité.

  Cette mise à jour vous permet d’exempter des comptes spécifiques de l’évaluation avec les six recommandations listées dans le tableau suivant.

  En règle générale, vous exemptez les comptes « de secours » d’urgence des recommandations relatives à l’authentification MFA, car ces comptes sont souvent délibérément exclus des obligations d’authentification MFA d’une organisation. Vous pouvez également disposer de comptes externes auxquels vous souhaitez autoriser l’accès, pour lesquels l’authentification MFA n’est pas activée.

  Conseil

  Quand vous exemptez un compte, il n’est pas affiché comme étant non sain. Il n’indique pas non plus qu’un abonnement n’est pas sain.

  Recommandation	Clé d’évaluation
  Les comptes disposant d’autorisations de propriétaire sur les ressources Azure doivent être compatibles avec l’authentification multifacteur	6240402e-f77c-46fa-9060-a7ce53997754
  Les comptes disposant d’autorisations en écriture sur les ressources Azure doivent être compatibles avec l’authentification multifacteur	c0cb17b2-0607-48a7-b0e0-903ed22de39b
  Les comptes disposant d’autorisations en lecture sur les ressources Azure doivent être compatibles avec l’authentification multifacteur	dabc9bc4-b8a8-45bd-9a5a-43000df8aa1c
  Les comptes invités disposant d’autorisations de propriétaire sur les ressources Azure doivent être supprimés	20606e75-05c4-48c0-9d97-add6daa2109a
  Les comptes invités disposant d’autorisations en écriture sur les ressources Azure doivent être supprimés	0354476c-a12a-4fcc-a79d-f0ab7ffffdbb
  Les comptes invités disposant d’autorisations en lecture sur les ressources Azure doivent être supprimés	fde1c0c9-0fd2-4ecc-87b5-98956cbc1095
  Les comptes bloqués disposant d’autorisations de propriétaire sur les ressources Azure doivent être supprimés	050ac097-3dda-4d24-ab6d-82568e7a50cf
  Les comptes bloqués disposant d’autorisations en lecture et en écriture sur les ressources Azure doivent être supprimés	1ff0b4c9-ed56-4de6-be9c-d7ab39645926

Les recommandations, bien qu’en préversion, s’affichent en regard des recommandations actuellement en disponibilité générale.

Alertes de sécurité supprimées pour les machines signalant les alertes à des espaces de travail Log Analytics multilocataires

Auparavant, Defender pour le cloud vous permettait de choisir l’espace de travail auquel vos agents Log Analytics signalaient leurs alertes. Quand une machine appartenait à un locataire (« Locataire A ») mais que son agent Log Analytics signalait les alertes à un espace de travail dans un autre locataire (« Locataire B »), les alertes de sécurité concernant la machine étaient signalées au premier locataire (« Locataire A »).

Avec cette modification, les alertes à propos des machines connectées à un espace de travail Log Analytics dans un autre locataire n’apparaissent plus dans Defender pour le cloud.

Si vous souhaitez continuer à recevoir les alertes dans Defender pour le cloud, connectez l’agent Log Analytics des machines concernées à l’espace de travail dans le même locataire que la machine.

Découvrez-en plus sur les alertes de sécurité.

Août 2022

Les mises à jour en août sont les suivantes :

• Les vulnérabilités pour les images en cours d’exécution sont désormais visibles avec Defender pour les conteneurs sur vos conteneurs Windows
• Intégration d’Azure Monitor Agent maintenant en préversion
• Alertes de machine virtuelle dépréciées concernant les activités suspectes liées à un cluster Kubernetes

Les vulnérabilités pour les images en cours d’exécution sont désormais visibles avec Defender pour les conteneurs sur vos conteneurs Windows

Defender pour les conteneurs affiche désormais les vulnérabilités pour l’exécution de conteneurs Windows.

Lorsque des vulnérabilités sont détectées, Defender pour le cloud génère la recommandation de sécurité suivante répertoriant les problèmes détectés : Les résultats de l’analyse des vulnérabilités doivent être résolus pour exécuter des images conteneurs.

En savoir plus sur l’affichage des vulnérabilités pour l’exécution d’images.

Intégration d’Azure Monitor Agent maintenant en préversion

Defender pour le cloud inclut désormais la prise en charge de la préversion d’Azure Monitor Agent Azure Monitor (AMA). AMA est destiné à remplacer l’agent Log Analytics hérité (également appelé Microsoft Monitoring Agent (MMA)), qui est en voie de dépréciation. AMA offre ne nombreux avantages par rapport aux agents hérités.

Dans Defender pour le cloud, lorsque vous activez l’approvisionnement automatique pour AMA, l’agent est déployé sur des machines virtuelles existantes et nouvelles et sur les machines avec Azure Arc détectées dans vos abonnements. Si des plans Defender pour le cloud sont activés, AMA collecte des informations de configuration et des journaux des événements à partir des machines virtuelles Azure et Azure Arc. L’intégration d’AMA est en préversion. Nous vous recommandons donc de l’utiliser dans les environnements de test plutôt que dans les environnements de production.

Alertes de machine virtuelle dépréciées concernant les activités suspectes liées à un cluster Kubernetes

Le tableau suivant liste les alertes qui ont été dépréciées :

Nom de l’alerte	Description	Tactique	Gravité
Détection d’une opération de création Docker sur un nœud Kubernetes (VM_ImageBuildOnNode)	Les journaux de la machine indiquent une opération de génération d’une image conteneur sur un nœud Kubernetes. Bien que ce comportement puisse être légitime, des attaquants peuvent générer leurs images malveillantes localement pour éviter d’être détectés.	Évasion de défense	Faible
Demande suspecte à l’API Kubernetes (VM_KubernetesAPI)	Les journaux de la machine indiquent qu’une demande suspecte a été adressée à l’API Kubernetes. La demande a été envoyée à partir d’un nœud Kubernetes, éventuellement à partir de l’un des conteneurs en cours d’exécution dans le nœud. Bien que ce comportement puisse être intentionnel, il peut indiquer que le nœud exécute un conteneur compromis.	LateralMovement	Moyenne
Le serveur SSH s’exécute à l’intérieur d’un conteneur (VM_ContainerSSH)	Les journaux de la machine indiquent qu’un serveur SSH est en cours d’exécution dans un conteneur Docker. Bien que ce comportement puisse être intentionnel, il indique fréquemment qu’un conteneur est mal configuré ou a subi une violation.	Exécution	Moyenne

Ces alertes sont utilisées pour avertir un utilisateur de l’activité suspecte liée à un cluster Kubernetes. Les alertes seront remplacées par des alertes correspondantes qui font partie des alertes de conteneur Microsoft Defender pour le cloud (K8S.NODE_ImageBuildOnNode, K8S.NODE_ KubernetesAPI et K8S.NODE_ ContainerSSH) qui garantiront une meilleure fidélité et un contexte complet pour examiner et agir sur les alertes. En savoir plus sur les alertes pour les Clusters Kubernetes.

Les vulnérabilités de conteneur incluent désormais des informations détaillées sur les packages

L’évaluation des vulnérabilités de Defender pour les conteneurs inclut maintenant des informations détaillées sur les packages pour chaque résultat, notamment le nom du package, le type de package, le chemin, la version installée et la version corrigée. Ces informations sur les packages vous permettent d’identifier les packages vulnérables pour que vous puissiez ensuite corriger la vulnérabilité ou supprimer le package.

Ces informations détaillées sur les packages sont disponibles pour les nouvelles analyses d’images.

Juillet 2022

Les mises à jour du mois de juillet incluent :

• Disponibilité générale de l’agent de sécurité natif cloud pour la protection du runtime Kubernetes
• L’évaluation des vulnérabilités de Defender pour les conteneurs ajoute la prise en charge de la détection des packages spécifiques à la langue (préversion)
• Protection contre la vulnérabilité CVE-2022-29149 de l’infrastructure Operations Management
• Intégration à Entra Permissions Management
• Les recommandations Key Vault ont changé en « audit »
• Déconseiller l’utilisation des stratégies d’application API pour App Service

Disponibilité générale de l’agent de sécurité natif cloud pour la protection du runtime Kubernetes

Nous sommes heureux d’annoncer que l’agent de sécurité natif cloud pour la protection du runtime Kubernetes est désormais disponible en disponibilité générale !

Les déploiements de production de clusters Kubernetes continuent de croître à mesure que les clients continuent à conteneuriser leurs applications. Pour faciliter cette croissance, l’équipe Defender pour les conteneurs a développé un agent de sécurité natif cloud orienté Kubernetes.

Le nouvel agent de sécurité est un DaemonSet Kubernetes, basé sur la technologie eBPF et entièrement intégré aux clusters AKS dans le cadre du profil de sécurité AKS.

L’activation de l’agent de sécurité est disponible via l’approvisionnement automatique, le flux de recommandations, AKS RP ou à grande échelle à l’aide de Azure Policy.

Vous pouvez déployer l'agent Defender dès aujourd'hui sur vos clusters AKS.

Avec cette annonce, la protection du runtime/la détection des menaces (charge de travail) est désormais également en disponibilité générale.

En savoir plus sur la disponibilité des fonctionnalités de Defender pour les conteneurs.

Vous pouvez également passer en revue toutes les alertes disponibles.

Notez que si vous utilisez la version préliminaire, l’indicateur de fonctionnalité AKS-AzureDefender n’est plus nécessaire.

L’évaluation des vulnérabilités de Defender pour les conteneurs ajoute la prise en charge de la détection des packages spécifiques à la langue (préversion)

L’évaluation des vulnérabilités de Defender pour les conteneurs est en mesure de détecter les vulnérabilités dans les packages de système d’exploitation déployés via le gestionnaire de package du système d’exploitation. Nous avons maintenant étendu ces capacités d’évaluation des vulnérabilités pour détecter les vulnérabilités incluses dans des packages spécifiques à la langue.

Cette fonctionnalité est disponible en préversion et uniquement pour les images Linux.

Pour afficher tous les packages spécifiques à la langue inclus qui ont été ajoutés, consultez la liste complète des fonctionnalités de Defender pour les conteneurs et de leur disponibilité.

Protection contre la vulnérabilité CVE-2022-29149 de l’infrastructure Operations Management

L’infrastructure Operations Management (OMI) est un regroupement de services informatiques destinés à gérer vos environnements locaux et de cloud depuis une interface unique. Plutôt que de déployer et de gérer des ressources locales, les composants OMI sont entièrement hébergés dans Azure.

Log Analytics intégré à Azure HDInsight exécutant OMI version 13 nécessite un correctif pour corriger la vulnérabilité CVE-2022-29149. Passez en revue le rapport sur cette vulnérabilité dans le guide des correctifs de sécurité Microsoft pour plus d’informations sur l’identification des ressources affectées par cette vulnérabilité et les étapes de correction.

Si Defender pour les serveurs est activé avec l’évaluation des vulnérabilités, vous pouvez utiliser ce classeur pour identifier les ressources affectées.

Intégration à Entra Permissions Management

Defender pour le cloud intègre Microsoft Entra Permissions Management, une solution CIEM (Cloud Infrastructure Entitlement Management) qui offre une visibilité et un contrôle complets des autorisations pour toutes les identités et toutes les ressources dans Azure, AWS et GCP.

Chaque abonnement Azure, compte AWS et projet GCP que vous intégrez affiche désormais une vue de votre index PCI (Permission Creep Index).

En savoir plus sur Entra Permission Management (anciennement Cloudknox)

Les recommandations Key Vault ont changé en « audit »

L’effet des recommandations Key Vault répertoriées ici a été remplacé par « audit » :

Nom de la recommandation	ID de recommandation
La période de validité des certificats stockés dans Azure Key Vault ne doit pas dépasser 12 mois	fc84abc0-eee6-4758-8372-a7681965ca44
Les secrets Key Vault doivent avoir une date d’expiration	14257785-9437-97fa-11ae-898cfb24302b
Les clés Key Vault doivent avoir une date d’expiration	1aabfa0d-7585-f9f5-1d92-ecb40291d9f2

Déconseiller l’utilisation des stratégies d’application API pour App Service

Nous déconseillons l’utilisation des stratégies suivantes avec les stratégies correspondantes qui existent déjà pour inclure des applications API :

Fonctionnalité destinée à être déconseillée	Modification en
Ensure API app has 'Client Certificates (Incoming client certificates)' set to 'On'	App Service apps should have 'Client Certificates (Incoming client certificates)' enabled
Ensure that 'Python version' is the latest, if used as a part of the API app	App Service apps that use Python should use the latest Python version'
CORS should not allow every resource to access your API App	App Service apps should not have CORS configured to allow every resource to access your apps
Managed identity should be used in your API App	App Service apps should use managed identity
Remote debugging should be turned off for API Apps	App Service apps should have remote debugging turned off
Ensure that 'PHP version' is the latest, if used as a part of the API app	App Service apps that use PHP should use the latest 'PHP version'
FTPS only should be required in your API App	App Service apps should require FTPS only
Ensure that 'Java version' is the latest, if used as a part of the API app	App Service apps that use Java should use the latest 'Java version'
Latest TLS version should be used in your API App	App Service apps should use the latest TLS version

Juin 2022

Les mises à jour du mois de juin incluent :

• Disponibilité générale pour Microsoft Defender pour Azure Cosmos DB
• Disponibilité générale de Defender pour SQL sur les machines pour les environnements AWS et GCP
• Favoriser l’implémentation des recommandations de sécurité pour améliorer votre posture de sécurité
• Filtrer les alertes de sécurité par adresse IP
• Alertes par groupe de ressources
• Approvisionnement automatique de solution unifiée Microsoft Defender pour point de terminaison
• Déprécier la stratégie « L'application API doit uniquement être accessible via HTTPS »
• Nouvelles alertes de Key Vault

Disponibilité générale pour Microsoft Defender pour Azure Cosmos DB

Microsoft Defender pour Azure Cosmos DB est désormais en disponibilité générale (GA) et prend en charge les types de comptes d’API SQL (Core).

Cette nouvelle version en disponibilité générale fait partie de la suite de protection des bases de données Microsoft Defender pour le cloud, qui inclut différents types de bases de données SQL et MariaDB. Microsoft Defender pour Azure Cosmos DB est une couche de sécurité native Azure qui détecte les tentatives d’exploitation des bases de données dans vos comptes Azure Cosmos DB.

En activant ce plan, vous serez alerté des injections SQL potentielles, des mauvais acteurs connus, des schémas d’accès suspects et des explorations potentielles de votre base de données par des identités compromises ou des insiders malveillants.

Quand des activités potentiellement malveillantes sont détectées, des alertes de sécurité sont générées. Ces alertes fournissent les détails de l’activité suspecte, ainsi que les étapes d’investigation, les actions correctives et les recommandations de sécurité correspondantes.

Microsoft Defender pour Azure Cosmos DB analyse en continu le flux de télémétrie généré par les services Azure Cosmos DB et les croise avec Microsoft Threat Intelligence et les modèles comportementaux pour détecter toute activité suspecte. Defender pour Azure Cosmos DB n’accède pas aux données du compte Azure Cosmos DB et n’a aucun impact sur les performances de votre base de données.

En savoir sur Microsoft Defender pour Azure Cosmos DB.

Grâce à l’ajout de la prise en charge d’Azure Cosmos DB, Defender pour le cloud fournit désormais l’une des offres de protection des charges de travail les plus complètes pour les bases de données cloud. Les équipes de sécurité et les propriétaires de base de données peuvent désormais avoir une expérience centralisée pour gérer leur sécurité de base de données de leurs environnements.

Découvrez comment activer des protections pour vos bases de données.

Disponibilité générale de Defender pour SQL sur les machines pour les environnements AWS et GCP

Les fonctionnalités de protection de base de données fournies par Microsoft Defender pour le cloud ont ajouté la prise en charge de vos serveurs SQL hébergés dans des environnements AWS ou GCP.

À l’aide de Defender pour SQL, les entreprises peuvent désormais protéger l’ensemble de leurs bases de données, qu’elles soient hébergées sur Azure, AWS, GCP ou sur des machines locales.

Microsoft Defender pour SQL offre une expérience multicloud unifiée permettant d’afficher les recommandations de sécurité, les alertes de sécurité et les résultats de l’évaluation des vulnérabilités pour le serveur SQL et le système d’exploitation Windows sous-jacent.

À l’aide de l’expérience d’intégration multicloud, vous pouvez activer et appliquer la protection des bases de données pour les serveurs SQL s’exécutant sur AWS EC2, RDS Custom pour SQL Server et le moteur de calcul GCP. Une fois que vous avez activé l’un de ces plans, toutes les ressources prises en charge qui existent au sein de l’abonnement sont protégées. Les ressources futures créées sur le même abonnement seront également protégées.

Découvrez comment protéger et connecter votre environnement AWS et votre organisation GCP avec Microsoft Defender pour le cloud.

Favoriser l’implémentation des recommandations de sécurité pour améliorer votre posture de sécurité

Aujourd’hui, les menaces croissantes pour les organisations étendent les limites du personnel de sécurité pour protéger leurs charges de travail en expansion. Les équipes de sécurité sont mises en œuvre pour implémenter les protections définies dans leurs stratégies de sécurité.

À présent, avec l’expérience de gouvernance en préversion, les équipes de sécurité peuvent affecter la correction des recommandations de sécurité aux propriétaires de ressources et exiger une planification de correction. Elles peuvent avoir une transparence totale sur la progression de la correction et être averties lorsque les tâches sont en retard.

En savoir plus sur l’expérience de gouvernance dans Aider votre organisation à corriger les problèmes de sécurité liés à la gouvernance des recommandations.

Filtrer les alertes de sécurité par adresse IP

Dans de nombreux cas d’attaques, vous souhaitez suivre les alertes en fonction de l’adresse IP de l’entité impliquée dans l’attaque. Jusqu’à présent, l’adresse IP apparaissait uniquement dans la section « Entités associées » dans le panneau d’alerte unique. À présent, vous pouvez filtrer les alertes dans la page des alertes de sécurité pour afficher les alertes liées à l’adresse IP, et vous pouvez rechercher une adresse IP spécifique.

Alertes par groupe de ressources

La possibilité de filtrer, trier et regrouper par groupe de ressources est ajoutée à la page Alertes de sécurité.

Une colonne de groupe de ressources est ajoutée à la grille des alertes.

Un nouveau filtre est ajouté, ce qui vous permet d’afficher toutes les alertes pour des groupes de ressources spécifiques.

Vous pouvez désormais également regrouper vos alertes par groupe de ressources pour afficher toutes vos alertes pour chacun de vos groupes de ressources.

Approvisionnement automatique de solution unifiée Microsoft Defender pour point de terminaison

Jusqu’à présent, l’intégration à Microsoft Defender pour point de terminaison (MDE) inclut l’installation automatique de la nouvelle solution unifiée MDE pour les machines (abonnements Azure et connecteurs multiclouds) avec Defender pour serveurs Plan 1 activé et pour les connecteurs multiclouds avec Defender pour serveurs Plan 2 activé. Le plan 2 pour les abonnements Azure a activé la solution unifiée pour les machines Linux et les serveurs Windows 2019 et 2022 uniquement. Les serveurs Windows 2012R2 et 2016 utilisaient l’ancienne solution MDE dépendant de l’agent Log Analytics.

Maintenant, la nouvelle solution unifiée est disponible pour toutes les machines dans les deux plans, pour les abonnements Azure et les connecteurs multiclouds. Pour les abonnements Azure avec le plan 2 Serveurs qui ont activé l’intégration MDE après le 20 juin 2022, la solution unifiée activée par défaut pour toutes les machines Azure avec le Plan 2 Defender pour serveurs activé avec l’intégration MDE avant le 20 juin 2022 peut désormais activer l’installation de solution unifiée pour les serveurs Windows 2012R2 et 2016 via le bouton dédié dans la page Intégrations :

En savoir plus sur l’intégration de MDE dans Defender pour les serveurs.

Déconseiller la stratégie « L'application API doit uniquement être accessible via HTTPS »

La stratégie API App should only be accessible over HTTPS est déconseillée. Cette stratégie est remplacée par la stratégie Web Application should only be accessible over HTTPS, qui est renommée en App Service apps should only be accessible over HTTPS.

Pour en savoir plus sur les définitions de stratégie pour Azure App Service, consultez Définitions intégrées d’Azure Policy pour Azure App Service .

Nouvelles alertes de Key Vault

Pour développer les protections contre les menaces fournies par Microsoft Defender pour Key Vault, nous avons ajouté deux nouvelles alertes.

Ces alertes vous informent d’un accès inhabituel refusé détecté pour l’un de vos coffres de clés.

Alerte (type d’alerte)	Description	Tactiques MITRE	severity
Accès inhabituel refusé - Utilisateur accédant à un volume élevé de coffres de clés refusé (KV_DeniedAccountVolumeAnomaly)	Un utilisateur ou un principal de service a tenté d’accéder à un volume anormalement élevé de coffres de clés au cours des dernières 24 heures. Ce modèle d’accès anormal peut être une activité légitime. Bien que cette tentative échoue, il peut s’agir d’une tentative possible d’accès au coffre de clés et aux secrets qu’il contient. Nous vous recommandons de faire des investigations supplémentaires.	Découverte	Faible
Accès inhabituel refusé - Accès inhabituel refusé à l’utilisateur accédant au coffre de clés (KV_UserAccessDeniedAnomaly)	Un accès au coffre de clés a été tenté par un utilisateur qui n’y accède pas normalement, ce modèle d’accès anormal peut être une activité légitime. Bien que cette tentative échoue, il peut s’agir d’une tentative possible d’accès au coffre de clés et aux secrets qu’il contient.	Accès initial, découverte	Faible

Mai 2022

Les mises à jour du mois de mai incluent :

• Les paramètres multiclouds du plan Serveurs sont désormais disponibles au niveau du connecteur
• L’accès JIT (juste-à-temps) pour les machines virtuelles est désormais disponible pour les instances AWS EC2 (préversion)
• Ajouter et supprimer le capteur Defender pour les clusters AKS à l’aide de l’interface CLI

Les paramètres multiclouds du plan Serveurs sont désormais disponibles au niveau du connecteur

Il existe à présent des paramètres au niveau du connecteur dédiés à Defender pour serveurs dans le multicloud.

Ces nouveaux paramètres au niveau du connecteur fournissent une granularité pour la tarification et la configuration de l’approvisionnement automatique par connecteur, indépendamment de l’abonnement.

Tous les composants d’approvisionnement automatique disponibles au niveau du connecteur (Azure Arc, MDE et évaluations des vulnérabilités) sont activés par défaut, et la nouvelle configuration prend en charge les niveaux tarifaires Plan 1 et Plan 2.

Les mises à jour de l’interface utilisateur incluent une réflexion sur le niveau tarifaire sélectionné et les composants requis configurés.

Modifications apportées à l’évaluation des vulnérabilités

Defender pour les conteneurs affiche désormais les vulnérabilités qui ont des gravités de niveau moyen et bas non corrigibles.

Dans le cadre de cette mise à jour, les vulnérabilités avec des gravités moyennes et faibles sont désormais affichées, que les correctifs soient disponibles ou non. Cette mise à jour offre une visibilité maximale, tout en vous permettant de filtrer les vulnérabilités non souhaitées à l’aide de la règle de désactivation fournie.

En savoir plus sur Gestion des vulnérabilités

L’accès JIT (juste-à-temps) pour les machines virtuelles est désormais disponible pour les instances AWS EC2 (préversion)

Lorsque vous connectez des comptes AWS, JIT évalue automatiquement la configuration réseau des groupes de sécurité de votre instance et recommande les instances qui ont besoin de protection, car leurs ports de gestion sont exposés. Cela est similaire à la façon dont JIT fonctionne avec Azure. Lorsque vous intégrez des instances EC2 non protégées, JIT bloque l’accès public aux ports de gestion et les ouvre uniquement dans le cadre de requêtes autorisées pour un délai limité.

Découvrez comment JIT protège vos instances AWS EC2

Ajouter et supprimer le capteur Defender pour les clusters AKS à l’aide de l’interface CLI

L’agent Defender est requis pour que Defender pour les conteneurs fournisse les protections du runtime et collecte les signaux des nœuds. Vous pouvez maintenant utiliser Azure CLI pour ajouter et supprimer l’agent Defender pour un cluster AKS.

Remarque

Cette option est incluse dans Azure CLI 3.7 et versions ultérieures.

Avril 2022

Les mises à jour du mois d’avril incluent :

• Nouveaux plans Defender pour les serveurs
• Nouvel emplacement des recommandations personnalisées
• Script PowerShell pour diffuser des alertes vers Splunk et QRadar
• Déprécié la recommandation Azure Cache pour Redis
• Nouvelle variante d’alerte pour Microsoft Defender pour Stockage (préversion) pour détecter l’exposition des données sensibles
• Titre de l’alerte d’analyse de conteneur augmentée avec la réputation de l’adresse IP
• Consultez les journaux d’activité liés à une alerte de sécurité

Nouveaux plans Defender pour les serveurs

Microsoft Defender pour les serveurs est désormais proposé en deux plans incrémentiels :

• Defender pour les serveurs Plan 2, anciennement Defender pour les serveurs
• Defender pour les serveurs Plan 1, comprenant le support pour Microsoft Defender pour les points de terminaison uniquement

Alors que Defender pour les serveurs Plan 2 continue de fournir une protection complète contre les menaces et les vulnérabilités à vos charges de travail cloud et locales, Microsoft Defender pour les serveurs Plan 1 fournit uniquement une protection des points de terminaison, intégrée nativement à Defender pour point de terminaison. En savoir plus sur les plans Defender pour les serveurs.

Si vous avez utilisé Defender pour les serveurs jusqu’à présent, aucune action n’est nécessaire.

En outre, Defender pour le cloud démarre également la prise en charge progressive de l’agent unifié Defender pour les points de terminaison pour Windows Server 2012 R2 et 2016. Defender pour les serveurs Plan 1 déploie le nouvel agent unifié sur les charges de travail Windows Server 2012 R2 et 2016.

Nouvel emplacement des recommandations personnalisées

Les recommandations personnalisées sont celles créées par un utilisateur ; elles n’ont aucun effet sur le niveau de sécurité. Les recommandations personnalisées sont désormais disponibles sous l’onglet Toutes les recommandations.

Utilisez le nouveau filtre « type de recommandation » pour localiser les recommandations personnalisées.

Apprenez-en davantage dans Créer des stratégies et des initiatives de sécurité personnalisées.

Script PowerShell pour diffuser des alertes vers Splunk et QRadar

Nous vous recommandons d’utiliser Event Hubs et un connecteur intégré pour exporter des alertes de sécurité vers Splunk et IBM QRadar. Vous pouvez maintenant utiliser un script PowerShell pour configurer les ressources Azure nécessaires pour exporter des alertes de sécurité pour votre abonnement ou locataire.

Téléchargez et exécutez le script PowerShell. Après avoir fourni quelques détails sur votre environnement, le script configure les ressources pour vous. Le script produit ensuite la sortie que vous utilisez dans la plateforme SIEM pour terminer l’intégration.

Pour plus d’informations, consultez Les alertes Stream à Splunk et QRadar.

Déprécié la recommandation Azure Cache pour Redis

La recommandation Azure Cache for Redis should reside within a virtual network (Préversion) est déconseillée. Nous avons modifié nos conseils pour sécuriser les instances Azure Cache pour Redis. Nous vous recommandons d’utiliser un point de terminaison privé pour restreindre l’accès à votre instance de Azure Cache pour Redis, au lieu d’un réseau virtuel.

Nouvelle variante d’alerte pour Microsoft Defender pour Stockage (préversion) pour détecter l’exposition des données sensibles

Les alertes de Microsoft Defender pour Stockage vous avertissent lorsque les acteurs de la menace tentent d’analyser et d’exposer, correctement ou pas, mal configurés, des conteneurs de stockage ouverts publiquement pour essayer d’exfiltrer les informations sensibles.

Pour accélérer le triage et le temps de réponse, lorsque l’exfiltration de données potentiellement sensibles peut s’être produite, nous avons publié une nouvelle variante de l’alerte Publicly accessible storage containers have been exposed existante.

La nouvelle alerte, Publicly accessible storage containers with potentially sensitive data have been exposed, est déclenchée avec un niveau de gravité High, une fois une découverte réussie d’un ou plusieurs conteneurs de stockage ouverts publiquement avec des noms qui ont été détectés statistiquement à être exposés publiquement, ce qui suggère qu’ils peuvent contenir des informations sensibles.

Alerte (type d’alerte)	Description	Tactique MITRE	severity
PRÉVERSION - Les conteneurs de stockage accessibles publiquement avec des données potentiellement sensibles ont été exposés (Storage.Blob_OpenContainersScanning.SuccessfulDiscovery.Sensitive)	Quelqu’un a analysé votre compte stockage Azure et exposé des conteneurs qui autorisent l’accès public. Un ou plusieurs conteneurs exposés ont des noms qui indiquent qu’ils peuvent contenir des données sensibles. Cela indique généralement la reconnaissance par un acteur de menace qui recherche des conteneurs de stockage accessibles publiquement mal configurés qui peuvent contenir des données sensibles. Une fois qu’un acteur de menace découvre correctement un conteneur, il peut continuer en exfiltrant les données. ✔ Stockage Blob Azure ✖ Azure Files ✖ Azure Data Lake Storage Gen2	Collection	Élevé

Titre de l’alerte d’analyse de conteneur augmentée avec la réputation de l’adresse IP

La réputation d’une adresse IP peut indiquer si l’activité d’analyse provient d’un acteur de menace connu ou d’un acteur qui utilise le réseau Tor pour masquer son identité. Ces deux indicateurs suggèrent qu’il existe une intention malveillante. La réputation de l’adresse IP est fournie par Microsoft Threat Intelligence.

L’ajout de la réputation de l’adresse IP au titre de l’alerte permet d’évaluer rapidement l’intention de l’acteur, et ainsi la gravité de la menace.

Les alertes suivantes incluent ces informations :

• Publicly accessible storage containers have been exposed

• Publicly accessible storage containers with potentially sensitive data have been exposed

• Publicly accessible storage containers have been scanned. No publicly accessible data was discovered

Par exemple, les informations ajoutées au titre de l’alerte Publicly accessible storage containers have been exposed ressemblent à ceci :

• Publicly accessible storage containers have been exposedby a suspicious IP address

• Publicly accessible storage containers have been exposedby a Tor exit node

Toutes les alertes pour Microsoft Defender pour Stockage continueront d’inclure des informations sur les menaces dans l’entité IP dans la section Entités associées de l’alerte.

Consulter les journaux d’activité liés à une alerte de sécurité

Dans le cadre des actions que vous pouvez effectuer pour évaluer une alerte de sécurité, vous pouvez trouver les journaux de plateforme associés dans Inspecter le contexte de la ressource pour obtenir un contexte sur la ressource affectée. Microsoft Defender pour le cloud identifie les journaux de plateforme qui se trouvent à moins d’un jour de l’alerte.

Les journaux de plateforme peuvent vous aider à évaluer la menace de sécurité et à identifier les étapes que vous pouvez effectuer pour atténuer le risque identifié.

Mars 2022

Les mises à jour du mois de mars incluent :

• Disponibilité mondiale du degré de sécurisation pour les environnements AWS et GCP
• Dépréciation des suggestions d’installer l’agent de collecte de données du trafic réseau
• Defender pour les conteneurs peut désormais rechercher les vulnérabilités dans les images Windows (préversion)
• Nouvelle alerte pour Microsoft Defender pour le stockage (préversion)
• Configurer les paramètres de notifications par e-mail à partir d’une alerte
• Alerte en préversion dépréciée : ARM.MCAS_ActivityFromAnonymousIPAddresses
• Déplacement de la recommandation « Les vulnérabilités dans les configurations de la sécurité des conteneurs doivent être corrigées » de Niveau de sécurité vers Bonnes pratiques
• Dépréciation de la recommandation d’utiliser des principaux de service pour protéger vos abonnements
• L’implémentation héritée de la norme ISO 27001 est remplacée par le nouveau projet de norme ISO 27001:2013
• Dépréciation des recommandations relatives aux appareils Microsoft Defender pour IoT
• Dépréciation des alertes relatives aux appareils Microsoft Defender pour IoT
• Gestion de la posture et protection contre les menaces pour AWS et GCP mises à la disposition générale (GA)
• Analyse du registre pour les images Windows dans ACR prend maintenant en charge les clouds nationaux

Disponibilité mondiale du degré de sécurisation pour les environnements AWS et GCP

Les fonctionnalités de gestion de l’état de la sécurité du cloud fournies par Microsoft Defender pour le cloud offrent maintenant la prise en charge de vos environnements AWS et GCP dans votre degré de sécurisation.

Les entreprises peuvent désormais voir leur état de sécurité global, dans différents environnements, comme Azure, AWS et GCP.

La page Degré de sécurisation est remplacée par le tableau de bord Posture de sécurité. Le tableau de bord Posture de sécurité vous permet d’afficher un score global pour tous vos environnements, ou une répartition de votre situation de sécurité en fonction de l’ensemble des environnements que vous choisissez.

La page Recommandations a également été repensée pour fournir de nouvelles fonctionnalités, comme la sélection d’un environnement cloud, des filtres avancés basés sur le contenu (groupe de ressources, compte AWS, projet GCP, etc.), une interface utilisateur améliorée pour les faibles résolutions, la prise en charge des requêtes ouvertes dans le graphe des ressources, et bien plus encore. Vous pouvez en savoir plus sur la posture de sécurité globale et les recommandations de sécurité.

Dépréciation des suggestions d’installer l’agent de collecte de données du trafic réseau

Les modifications apportées à notre feuille de route et à nos priorités ont supprimé le besoin de l’agent de collecte des données du trafic réseau. Les deux recommandations suivantes et leurs stratégies associées ont été dépréciées.

Recommandation	Description	Gravité
L’agent de collecte de données sur le trafic réseau doit être installé sur les machines virtuelles Linux	Defender pour le cloud utilise l’agent Microsoft Dependency pour collecter les données du trafic sur vos machines virtuelles Azure afin d’activer des fonctionnalités avancées de protection réseau : visualisation du trafic sur le plan du réseau, recommandations de renforcement de la sécurité du réseau et menaces réseau spécifiques.	Medium
L’agent de collecte de données sur le trafic réseau doit être installé sur les machines virtuelles Windows	Defender pour le cloud utilise l’agent Microsoft Dependency pour collecter les données du trafic sur vos machines virtuelles Azure afin d’activer des fonctionnalités avancées de protection réseau : visualisation du trafic sur le plan du réseau, recommandations de renforcement de la sécurité et menaces réseau spécifiques.	Moyenne

Defender pour les conteneurs peut désormais rechercher les vulnérabilités dans les images Windows (préversion)

L’analyse d’image Defender pour les conteneurs prend désormais en charge les images Windows hébergées dans Azure Container Registry. Cette fonctionnalité est gratuite en préversion, et elle entraînera un coût lorsqu’elle sera en disponibilité générale.

Apprenez-en davantage dans Analyse des vulnérabilités dans les images avec Microsoft Defender pour les conteneurs.

Nouvelle alerte pour Microsoft Defender pour le stockage (préversion)

Afin de développer les protections contre les menaces fournies par Microsoft Defender pour le stockage, nous avons ajouté une nouvelle alerte en préversion.

Les acteurs des menaces utilisent des applications et des outils pour découvrir et accéder aux comptes de stockage. Microsoft Defender pour le stockage détecte ces applications et outils pour vous permettre de les bloquer et de corriger votre posture.

Cette alerte en préversion se nomme Access from a suspicious application. L’alerte s’applique uniquement à Stockage Blob Azure et à ADLS Gen2.

Alerte (type d’alerte)	Description	Tactique MITRE	Gravité
PRÉVERSION - Accès à partir d’une application suspecte (Storage.Blob_SuspiciousApp)	Indique qu’une application suspecte a réussi à accéder à un conteneur d’un compte de stockage avec authentification. Cela peut indiquer qu’une personne malveillante a obtenu les informations d’identification nécessaires pour accéder au compte, et qu’elle l’exploite. Il peut également s’agir d’une indication d’un test de pénétration effectué dans votre organisation. S’applique à : Stockage Blob Azure, Azure Data Lake Storage Gen2	Accès initial	Moyenne

Configurer les paramètres de notifications par e-mail à partir d’une alerte

Une nouvelle section a été ajoutée à l’interface utilisateur des alertes ; elle vous permet d’afficher et de changer les destinataires des notifications par e-mail pour les alertes déclenchées sur l’abonnement actuel.

Découvrez comment Configurer des notifications par e-mail pour les alertes de sécurité.

Alerte en préversion dépréciée : ARM.MCAS_ActivityFromAnonymousIPAddresses

L’alerte en préversion suivante est déconseillée :

Nom de l’alerte

Description

PRÉVERSION – Activité à partir d’une adresse IP à risque (ARM.MCAS_ActivityFromAnonymousIPAddresses)

Une activité utilisateur depuis une adresse IP qui a été identifiée comme adresse IP de proxy anonyme a été détectée. Ces proxys sont utilisés par des individus souhaitant masquer l’adresse IP de leur appareil et peuvent être utilisés dans un but malveillant. Cette détection utilise un algorithme Machine Learning qui réduit les faux positifs, tels que les adresses IP mal étiquetées qui sont largement utilisées par d’autres utilisateurs de l’organisation. Requiert une licence active Microsoft Defender for Cloud Apps.

Une nouvelle alerte a été créée pour fournir ces informations et s’y ajouter. De plus, les alertes plus récentes (ARM_OperationFromSuspiciousIP, ARM_OperationFromSuspiciousProxyIP) ne demandent pas de licence pour Microsoft Defender pour les applications cloud (anciennement Microsoft Cloud App Security).

Découvrez plus d’alertes pour Resource Manager.

Déplacement de la recommandation « Les vulnérabilités dans les configurations de la sécurité des conteneurs doivent être corrigées » de Niveau de sécurité vers Bonnes pratiques

La recommandation Vulnerabilities in container security configurations should be remediated a été déplacée de la section Niveau de sécurité vers la section Bonnes pratiques.

L’expérience utilisateur actuelle fournit uniquement le score lorsque les contrôles de conformité ont réussi. La plupart des clients ont des difficultés à satisfaire tous les contrôles requis. Nous travaillons sur l’amélioration de l’expérience pour cette recommandation et, une fois publiée, celle-ci sera redéplacée vers le niveau de sécurité.

Dépréciation de la recommandation d’utiliser des principaux de service pour protéger vos abonnements

Comme les organisations utilisent de moins en moins les certificats de gestion pour gérer leurs abonnements, et que nous avons récemment annoncé le retrait du modèle de déploiement Services cloud (Classic), nous avons déprécié la recommandation Defender pour le cloud suivante et sa stratégie associée :

Recommandation	Description	Gravité
Des principaux de service doivent être utilisés pour protéger vos abonnements à la place des certificats de gestion	Les certificats de gestion permettent à toute personne qui les utilise pour s’authentifier de gérer les abonnements auxquels ils sont associés. Pour gérer les abonnements de manière plus sécurisée, il est recommandé d’utiliser des principaux de service avec Resource Manager afin de limiter le rayon d’impact en cas de compromission de certificat. Cela automatise également la gestion des ressources. (Stratégie associée : Des principaux de service doivent être utilisés pour protéger vos abonnements à la place des certificats de gestion)	Medium

En savoir plus :

• Le modèle de déploiement de Cloud Services (Classic) est mis hors service le 31 août 2024
• Présentation d’Azure Cloud Services (Classic)
• Workflow de l’architecture de machine virtuelle Microsoft Azure (Classic), y compris les concepts de base du workflow RDFE

L’implémentation héritée de la norme ISO 27001 est remplacée par le nouveau projet de norme ISO 27001:2013

L’implémentation héritée de la norme ISO 27001 sera supprimée du tableau de bord de conformité réglementaire de Defender pour le cloud. Si vous effectuez le suivi de votre conformité ISO 27001 avec Defender pour le cloud, intégrez la nouvelle norme ISO 27001:2013 pour tous les groupes d’administration ou abonnements appropriés.

Dépréciation des recommandations relatives aux appareils Microsoft Defender pour IoT

Les recommandations relatives aux appareils Microsoft Defender pour IoT ne sont plus visibles dans Microsoft Defender pour le cloud. Ces recommandations restent néanmoins disponibles dans la page Recommandations de Microsoft Defender pour IoT.

Les recommandations suivantes sont dépréciées :

Clé d’évaluation	Recommandations
1a36f14a-8bd8-45f5-abe5-eef88d76ab5b : appareils IoT	Ports ouverts sur l’appareil
ba975338-f956-41e7-a9f2-7614832d382d : appareils IoT	Règle de pare-feu permissive détectée dans la chaîne d’entrée
beb62be3-5e78-49bd-ac5f-099250ef3c7c : appareils IoT	Stratégie de pare-feu permissive trouvée dans l’une des chaînes
d5a8d84a-9ad0-42e2-80e0-d38e3d46028a : appareils IoT	Règle de pare-feu permissive détectée dans la chaîne de sortie
5f65e47f-7a00-4bf3-acae-90ee441ee876 : appareils IoT	Échec de validation de la base du système d’exploitation
a9a59ebb-5d6f-42f5-92a1-036fd0fd1879 : appareils IoT	Agent envoyant des messages sous-exploités
2acc27c6-5fdb-405e-9080-cb66b850c8f5 : appareils IoT	Mise à niveau de la suite de chiffrement TLS requise
d74d2738-2485-4103-9919-69c7e63776ec : appareils IoT	Le processus audité a arrêté d’envoyer des événements

Dépréciation des alertes relatives aux appareils Microsoft Defender pour IoT

Les alertes relatives aux appareils Microsoft Defender pour IoT ne sont plus visibles dans Microsoft Defender pour le cloud. Ces alertes sont néanmoins disponibles dans la page Alerte de Microsoft Defender pour IoT ainsi que dans Microsoft Sentinel.

Gestion de la posture et protection contre les menaces pour AWS et GCP mises à la disposition générale (GA)

• Les fonctionnalités CSPM de Defender pour le cloud s’étendent à vos ressources AWS et GCP. Ce plan sans agent évalue vos ressources multi-cloud conformément aux recommandations de sécurité propres au cloud. Celles-ci sont incluses dans votre niveau de sécurité. La conformité des ressources est évaluée à l’aide de normes intégrées. La page d’inventaire des ressources de Defender pour le cloud est une fonctionnalité multicloud qui vous permet de gérer vos ressources AWS avec vos ressources Azure.

• Microsoft Defender pour les serveurs ajoute la détection des menaces et des défenses avancées à vos instances de calcul dans AWS et GCP. Le plan Defender pour les serveurs comprend la licence intégrée pour Microsoft Defender pour point de terminaison, l’analyse de l’évaluation des vulnérabilités, et bien plus encore. Découvrez toutes les fonctionnalités prises en charge pour les machines virtuelles et les serveurs. Les fonctionnalités d’intégration automatique vous permettent de connecter facilement toutes les instances de calcul existantes et les nouvelles instances découvertes dans votre environnement.

Découvrez comment protéger et connecter votre environnement AWS et votre organisation GCP avec Microsoft Defender pour le cloud.

Analyse du registre pour les images Windows dans ACR prend maintenant en charge les clouds nationaux

L’analyse du registre pour les images Windows est désormais prise en charge dans Azure Government et Microsoft Azure géré par 21Vianet. Cet ajout est actuellement en préversion.

En savoir plus sur la disponibilité de la fonctionnalité.

Février 2022

Les mises à jour de février sont les suivantes :

• Protection des charges de travail Kubernetes pour les clusters Kubernetes avec Arc
• CSPM natif pour GCP et protection contre les menaces pour les instances de calcul GCP
• Microsoft Defender pour Azure Cosmos DB (préversion)
• Protection contre les menaces pour les clusters Google Kubernetes Engine (GKE)

Protection des charges de travail Kubernetes pour les clusters Kubernetes avec Arc

Defender pour les conteneurs ne protégeait auparavant que les charges de travail Kubernetes s’exécutant dans Azure Kubernetes Service. Nous avons maintenant étendu la couverture protectrice de façon à inclure les clusters Kubernetes avec Azure Arc.

Découvrez comment configurer la protection de vos charges de travail Kubernetes pour AKS et les clusters Kubernetes avec Azure Arc.

CSPM natif pour GCP et protection contre les menaces pour les instances de calcul GCP

La nouvelle intégration automatisée des environnements GCP vous permet de protéger les charges de travail GCP avec Microsoft Defender pour le cloud. Defender pour le cloud protège vos ressources avec les plans suivants :

• Les fonctionnalités CSPM de Defender pour le cloud s’étendent à vos ressources GCP. Ce plan sans agent évalue vos ressources GCP conformément aux recommandations de sécurité propres à GCP, qui sont fournies avec Defender pour le cloud. Les recommandations GCP sont incluses dans votre degré de sécurisation, et les ressources sont évaluées pour la conformité à la norme CIS GCP intégrée. La page d’inventaire des ressources de Defender pour le cloud est une fonctionnalité multicloud qui vous permet de gérer vos ressources dans Azure, AWS et GCP.

• Microsoft Defender pour les serveurs ajoute la détection des menaces et des défenses avancées à vos instances de calcul GCP. Ce plan comprend la licence intégrée pour Microsoft Defender pour point de terminaison, l’analyse de l’évaluation des vulnérabilités, et bien plus encore.

  Pour obtenir la liste complète des fonctionnalités disponibles, consultez Fonctionnalités prises en charge pour les machines virtuelles et les serveurs. Les fonctionnalités d’intégration automatique vous permettent de connecter facilement toutes les instances de calcul existantes et les nouvelles instances découvertes dans votre environnement.

Découvrez comment protéger et connecter vos projets GCP avec Microsoft Defender pour le cloud.

Microsoft Defender pour Azure Cosmos DB (préversion)

Nous avons étendu la couverture de la base de données Microsoft Defender pour le cloud. Vous pouvez maintenant activer la protection de vos bases de données Azure Cosmos DB.

Microsoft Defender pour Azure Cosmos DB est une couche de sécurité native Azure qui détecte toutes les tentatives d’exploitation des bases de données dans vos comptes Azure Cosmos DB. Microsoft Defender pour Azure Cosmos DB détecte les injections de code SQL potentielles, les acteurs malveillants connus de Microsoft Threat Intelligence, les modèles d’accès suspects et l’exploitation potentielle de votre base de données par le biais d’identités compromises ou d’insiders malveillants.

Il analyse en permanence le flux de données client généré par les services Azure Cosmos DB.

Quand des activités potentiellement malveillantes sont détectées, des alertes de sécurité sont générées. Ces alertes sont affichées dans Microsoft Defender pour le cloud avec les détails de l’activité suspecte, ainsi que les étapes d’investigation, les actions correctives et les recommandations de sécurité correspondantes.

L’activation du service n’a aucun impact sur les performances de la base de données, car Defender pour Azure Cosmos DB n’accède pas aux données du compte Azure Cosmos DB.

Pour plus d’informations, consultez Vue d’ensemble de Microsoft Defender pour Azure Cosmos DB.

Nous présentons également une nouvelle expérience d’activation pour la sécurité des bases de données. Vous pouvez maintenant activer la protection Microsoft Defender pour le cloud dans votre abonnement afin de protéger tous les types de bases de données comme Azure Cosmos DB, Azure SQL Database, les serveurs Azure SQL sur ordinateur et les bases de données relationnelles open source Microsoft Defender via un processus d’activation. Certains types de ressources peuvent être inclus ou exclus lors de la configuration de votre plan.

Découvrez comment activer la sécurité de votre base de données au niveau de l’abonnement.

Protection contre les menaces pour les clusters Google Kubernetes Engine (GKE)

Suite à notre annonce récente CSPM natif pour GCP et protection contre les menaces pour les instances de calcul GCP, Microsoft Defender pour les conteneurs a étendu sa protection contre les menaces Kubernetes, son analyse comportementale et ses stratégies de contrôle d’admission intégrées aux clusters standard Google Kubernetes Engine (GKE). Vous pouvez facilement intégrer tous les clusters standard GKE existants ou nouveaux à votre environnement via nos fonctionnalités d’intégration automatique. Pour obtenir la liste complète des fonctionnalités disponibles, consultez Sécurité des conteneurs avec Microsoft Defender pour le cloud.

Janvier 2022

Les mises à jour de janvier sont les suivantes :

• Microsoft Defender pour Resource Manager mis à jour avec de nouvelles alertes et une plus grande importance sur les opérations à haut risque mappées à MITRE ATT&CK® Matrix
• Recommandations pour activer les plans Microsoft Defender sur les espaces de travail (préversion)
• Approvisionnement automatique de l’agent Log Analytics sur des machines Azure avec Azure Arc (préversion)
• Retrait de la recommandation de classer les données sensibles dans les bases de données SQL, maintenant déconseillée
• Extension de la communication avec une alerte de domaine suspect pour inclure les domaines liés à Log4Shell connus
• Ajout du bouton « Copier l’alerte JSON » au volet d’informations de l’alerte de sécurité
• Renommage de deux recommandations
• Dépréciation de la stratégie Les conteneurs de clusters Kubernetes doivent uniquement écouter sur les ports autorisés
• Ajout du workbook « Alertes actives »
• Ajout de la recommandation « Mise à jour système » au cloud du secteur public

Microsoft Defender pour Resource Manager mis à jour avec de nouvelles alertes et une plus grande importance sur les opérations à haut risque mappées à MITRE ATT&CK® Matrix

La couche de gestion cloud est un service essentiel, connecté à toutes vos ressources cloud. De ce fait, il est également une cible potentielle pour les attaquants. Nous recommandons aux équipes des opérations de sécurité de surveiller attentivement la couche de gestion des ressources.

Microsoft Defender pour Resource Manager supervise automatiquement les opérations de gestion des ressources dans votre organisation, qu’elles soient effectuées via le portail Azure, les API REST Azure, Azure CLI ou d’autres clients programmatiques Azure. Defender pour le cloud exécute une analyse de sécurité avancée pour détecter les menaces et vous avertit en cas d’activité suspecte.

Les protections du plan améliorent nettement la résilience de l’organisation face aux attaques des acteurs des menaces et accroissent considérablement le nombre de ressources Azure protégées par Defender pour le cloud.

En décembre 2020, nous avons introduit la préversion de Defender pour Resource Manager. En mai 2021, le plan a été mis en disponibilité générale.

Avec cette mise à jour, nous avons intégralement revu l’objectif du plan Microsoft Defender pour Resource Manager. Le plan mis à jour comprend une multitude de nouvelles alertes axées sur l’identification d’un appel suspect d’opérations à haut risque. Ces nouvelles alertes fournissent une surveillance approfondie des attaques dans la matrice MITRE ATT&CK® complètepour les techniques basées sur le cloud.

Cette matrice couvre l’éventail suivant d’intentions potentielles des acteurs des menaces qui peuvent cibler les ressources de votre organisation : l’accès initial, l’exécution, la persistance, l’élévation des privilèges, le contournement des défenses, l’accès aux informations d’identification, la découverte, le mouvement latéral, la collecte, l’exfiltration et l’impact.

Les nouvelles alertes de ce plan Defender couvrent ces intentions, comme l’indique le tableau suivant.

Conseil

Ces alertes figurent également sur la page de référence des alertes.

Alerte (type d’alerte)	Description	Tactiques MITRE (intentions)	severity
Appel suspect d’une opération d’accès initial aux informations d’identification à haut risque détecté (préversion) (ARM_AnomalousOperation.InitialAccess)	Microsoft Defender pour Resource Manager a identifié un appel suspect d’une opération à haut risque dans votre abonnement, susceptible d’indiquer une tentative d’accès à des ressources soumises restreintes. Les opérations identifiées sont conçues pour permettre aux administrateurs d’accéder efficacement à leurs environnements. Bien que cette activité puisse être légitime, un intervenant représentant une menace peut utiliser ces opérations pour un accès initial aux ressources limitées dans votre environnement. Cela peut indiquer que le compte est compromis et qu’il est utilisé avec une intention malveillante.	Accès initial	Moyenne
Appel suspect d’une opération d’exécution à haut risque détecté (préversion) (ARM_AnomalousOperation.Execution)	Microsoft Defender pour Resource Manager a identifié un appel suspect d’une opération à haut risque sur une machine de votre abonnement, susceptible d’indiquer une tentative d’exécution de code. Les opérations identifiées sont conçues pour permettre aux administrateurs de gérer efficacement leurs environnements. Bien que cette activité puisse être légitime, un intervenant représentant une menace peut utiliser ces opérations pour accéder à des informations d’identification restreintes et compromettre les ressources dans votre environnement. Cela peut indiquer que le compte est compromis et qu’il est utilisé avec une intention malveillante.	Exécution	Moyenne
Appel suspect d’une opération de persistance à haut risque détecté (préversion) (ARM_AnomalousOperation.Persistence)	Microsoft Defender pour Resource Manager a identifié un appel suspect d’une opération à haut risque dans votre abonnement, susceptible d’indiquer une tentative d’établissement d’une persistance. Les opérations identifiées sont conçues pour permettre aux administrateurs de gérer efficacement leurs environnements. Bien que cette activité puisse être légitime, un intervenant représentant une menace peut utiliser ces opérations pour établir la persistance de votre environnement. Cela peut indiquer que le compte est compromis et qu’il est utilisé avec une intention malveillante.	Persistance	Moyenne
Appel suspect d’une opération d’élévation des privilèges à haut risque détecté (préversion) (ARM_AnomalousOperation.PrivilegeEscalation)	Microsoft Defender pour Resource Manager a identifié un appel suspect d’une opération à haut risque dans votre abonnement, susceptible d’indiquer une tentative d’élévation des privilèges. Les opérations identifiées sont conçues pour permettre aux administrateurs de gérer efficacement leurs environnements. Bien que cette activité puisse être légitime, un intervenant représentant une menace peut utiliser ces opérations pour élever les privilèges quand il compromet les ressources dans votre environnement. Cela peut indiquer que le compte est compromis et qu’il est utilisé avec une intention malveillante.	Réaffectation de privilèges	Moyenne
Appel suspect d’une opération d’évasion de défense à haut risque détecté (préversion) (ARM_AnomalousOperation.DefenseEvasion)	Microsoft Defender pour Resource Manager a identifié un appel suspect d’une opération à haut risque dans votre abonnement, susceptible d’indiquer une tentative de contournement des défenses. Les opérations identifiées sont conçues pour permettre aux administrateurs de gérer efficacement la posture de sécurité de leurs environnements. Bien que cette activité soit légitime, un intervenant représentant une menace peut utiliser ces opérations pour éviter d’être détecté quand il compromet les ressources dans votre environnement. Cela peut indiquer que le compte est compromis et qu’il est utilisé avec une intention malveillante.	Évasion de défense	Moyenne
Appel suspect d’une opération d’accès aux informations d’identification à haut risque détecté (préversion) (ARM_AnomalousOperation.CredentialAccess)	Microsoft Defender pour Resource Manager a identifié un appel suspect d’une opération à haut risque dans votre abonnement, susceptible d’indiquer une tentative d’accès à des informations d’identification. Les opérations identifiées sont conçues pour permettre aux administrateurs d’accéder efficacement à leurs environnements. Bien que cette activité puisse être légitime, un intervenant représentant une menace peut utiliser ces opérations pour accéder à des informations d’identification restreintes et compromettre les ressources dans votre environnement. Cela peut indiquer que le compte est compromis et qu’il est utilisé avec une intention malveillante.	Accès aux informations d’identification	Moyenne
Appel suspect d’une opération de mouvement latéral à haut risque détecté (préversion) (ARM_AnomalousOperation.LateralMovement)	Microsoft Defender pour Resource Manager a identifié un appel suspect d’une opération à haut risque dans votre abonnement, susceptible d’indiquer une tentative de mouvement latéral. Les opérations identifiées sont conçues pour permettre aux administrateurs de gérer efficacement leurs environnements. Bien que cette activité puisse être légitime, un intervenant représentant une menace peut utiliser ces opérations pour compromettre des ressources supplémentaires de votre environnement. Cela peut indiquer que le compte est compromis et qu’il est utilisé avec une intention malveillante.	Déplacement latéral	Moyenne
Appel suspect d’une opération de collecte de données à haut risque détecté (préversion) (ARM_AnomalousOperation.Collection)	Microsoft Defender pour Resource Manager a identifié un appel suspect d’une opération à haut risque dans votre abonnement, susceptible d’indiquer une tentative de collecte de données. Les opérations identifiées sont conçues pour permettre aux administrateurs de gérer efficacement leurs environnements. Bien que cette activité puisse être légitime, un acteur de menace peut utiliser ces opérations pour collecter des données sensibles sur les ressources de votre environnement. Cela peut indiquer que le compte est compromis et qu’il est utilisé avec une intention malveillante.	Collection	Moyenne
Appel suspect d’une opération d’impact à haut risque détecté (préversion) (ARM_AnomalousOperation.Impact)	Microsoft Defender pour Resource Manager a identifié un appel suspect d’une opération à haut risque dans votre abonnement, susceptible d’indiquer une tentative de modification de la configuration. Les opérations identifiées sont conçues pour permettre aux administrateurs de gérer efficacement leurs environnements. Bien que cette activité puisse être légitime, un intervenant représentant une menace peut utiliser ces opérations pour accéder à des informations d’identification restreintes et compromettre les ressources dans votre environnement. Cela peut indiquer que le compte est compromis et qu’il est utilisé avec une intention malveillante.	Impact	Moyenne

En outre, les deux alertes suivant de ce plan ont été retirées de la préversion :

Alerte (type d’alerte)	Description	Tactiques MITRE (intentions)	Gravité
Opération Azure Resource Manager depuis une adresse IP suspecte (ARM_OperationFromSuspiciousIP)	Microsoft Defender pour Resource Manager a détecté une opération à partir d’une adresse IP qui a été marquée comme suspecte dans les flux de renseignement sur les menaces.	Exécution	Moyenne
Opération Azure Resource Manager depuis une adresse IP proxy suspecte (ARM_OperationFromSuspiciousProxyIP)	Microsoft Defender pour Resource Manager a détecté une opération de gestion des ressources à partir d’une adresse IP associée à des services proxy comme TOR. Bien que ce comportement puisse être légitime, il est souvent observé dans le cadre d’activités malveillantes, lorsque les acteurs de menaces tentent de dissimuler leur IP source.	Évasion de défense	Moyenne

Recommandations pour activer les plans Microsoft Defender sur les espaces de travail (préversion)

Pour tirer parti de toutes les fonctionnalités de sécurité disponibles dans Microsoft Defender pour les serveurs et Microsoft Defender pour SQL sur les machines, les plans doivent être activés à la fois au niveau de l’abonnement et au niveau de l’espace de travail.

Lorsqu’une machine fait partie d’un abonnement dans lequel l’un de ces plans est activé, les protections complètes vous sont facturées. Toutefois, si cette machine dépend d’un espace de travail sur lequel aucun plan n’est activé, vous ne bénéficiez pas de ces avantages.

Nous avons ajouté deux recommandations qui mettent en évidence les espaces de travail pour lesquels ces plans ne sont pas activés, mais dont dépendent des machines issues d’abonnements avec plan.

Les recommandations, qui offrent toutes les deux une correction automatisée (l’action « Corriger »), sont les suivantes :

Recommandation	Description	Gravité
Microsoft Defender pour les serveurs doit être activé sur les espaces de travail	Microsoft Defender pour les serveurs ajoute la détection des menaces et des défenses avancées à vos machines Windows et Linux. Si vous activez ce plan Defender sur vos abonnements, mais pas sur vos espaces de travail, vous ne profitez pas de certaines fonctionnalités de Microsoft Defender pour les serveurs qui sont incluses dans le prix. Quand vous activez Microsoft Defender pour les serveurs sur un espace de travail, toutes les machines relevant de cet espace de travail sont facturées pour ce service, même si elles se trouvent dans un abonnement sur lequel les plans Defender ne sont pas activés. Vous devez donc également activer Microsoft Defender pour les serveurs sur l’abonnement afin que ces machines puissent tirer parti de l’accès juste-à-temps aux machines virtuelles, des contrôles d’application adaptatifs et des détections de réseau pour les ressources Azure. En savoir plus dans Vue d’ensemble de Microsoft Defender pour les serveurs. (Aucune stratégie associée)	Moyenne
Microsoft Defender pour SQL sur les ordinateurs doit être activé sur les espaces de travail	Microsoft Defender pour les serveurs ajoute la détection des menaces et des défenses avancées à vos machines Windows et Linux. Si vous activez ce plan Defender sur vos abonnements, mais pas sur vos espaces de travail, vous ne profitez pas de certaines fonctionnalités de Microsoft Defender pour les serveurs qui sont incluses dans le prix. Quand vous activez Microsoft Defender pour les serveurs sur un espace de travail, toutes les machines relevant de cet espace de travail sont facturées pour ce service, même si elles se trouvent dans un abonnement sur lequel les plans Defender ne sont pas activés. Vous devez donc également activer Microsoft Defender pour les serveurs sur l’abonnement afin que ces machines puissent tirer parti de l’accès juste-à-temps aux machines virtuelles, des contrôles d’application adaptatifs et des détections de réseau pour les ressources Azure. En savoir plus dans Vue d’ensemble de Microsoft Defender pour les serveurs. (Aucune stratégie associée)	Moyenne

Approvisionnement automatique de l’agent Log Analytics sur des machines avec Azure Arc d’activés (préversion)

Defender pour le cloud utilise l’agent Log Analytics pour collecter des données relatives à la sécurité sur les machines. L’agent lit les configurations et les journaux des événements de sécurité, puis copie les données dans votre espace de travail pour analyse.

Les paramètres d’approvisionnement automatique de Defender pour le cloud comportent un bouton bascule pour chaque type d’extension pris en charge, et notamment l’agent Log Analytics.

Dans une extension supplémentaire de nos fonctionnalités de cloud hybride, nous avons ajouté une option permettant d’approvisionner automatiquement l’agent Log Analytics sur des machines connectées à Azure Arc.

Tout comme les options d’approvisionnement automatique, elle est configurée au niveau de l’abonnement.

Lorsque vous activez cette option, il vous est demandé d’indiquer l’espace de travail.

Notes

Pour cette préversion, vous ne pouvez pas sélectionner les espaces de travail par défaut qui ont été créés par Defender pour le cloud. Afin de recevoir l’ensemble complet des fonctionnalités de sécurité disponibles pour les serveurs avec Azure Arc, vérifiez que la solution de sécurité appropriée est installée sur l’espace de travail sélectionné.

Retrait de la recommandation de classer les données sensibles dans les bases de données SQL, maintenant déconseillée

Nous avons supprimé la recommandation Les données sensibles de vos bases de données SQL doivent être classées dans le cadre d’une révision de la façon dont Defender pour le cloud identifie et protège les données sensibles présentes dans vos ressources cloud.

Une notification préalable concernant cette modification est affichée depuis six mois sur la page Modifications importantes à venir de Microsoft Defender pour le cloud.

Extension de la communication avec une alerte de domaine suspect pour inclure les domaines liés à Log4Shell connus

L’alerte suivante n’était auparavant disponible que pour les organisations qui avaient activé le plan Microsoft Defender pour DNS.

Avec cette mise à jour, l’alerte s’affiche également dans les abonnements pour lesquels le plan Microsoft Defender pour les serveurs ou le plan Defender pour App Service est activé.

En outre, Microsoft Threat Intelligence a étendu la liste des domaines malveillants connus aux domaines associés à l’exploitation des vulnérabilités bien connues de Log4j.

Alerte (type d’alerte)	Description	Tactiques MITRE	severity
Communication avec un domaine suspect identifié par le renseignement sur les menaces (AzureDNS_ThreatIntelSuspectDomain)	La communication avec un domaine suspect a été détectée en analysant les transactions DNS de votre ressource et en les comparant aux domaines malveillants connus identifiés par les flux de renseignements sur les menaces. La communication avec des domaines malveillants est souvent effectuée par des attaquants et pourrait indiquer que votre ressource est compromise.	Accès initial, persistance, exécution, commande et contrôle, et exploitation	Moyenne

Ajout du bouton « Copier l’alerte JSON » au volet d’informations de l’alerte de sécurité

Pour aider nos utilisateurs à partager rapidement le détail d’une alerte avec d’autres personnes (par exemple les analystes SOC, les propriétaires des ressources et les développeurs), nous avons ajouté la capacité d’extraire facilement toutes les informations relatives à une alerte spécifique en cliquant sur un bouton du volet d’informations de l’alerte de sécurité.

Le nouveau bouton Copier le JSON de l’alerte ajoute les informations relatives à l’alerte au format JSON dans le Presse-papiers de l’utilisateur.

Renommage de deux recommandations

À des fins de cohérence avec d’autres noms de recommandations, nous avons renommé les deux recommandations suivantes :

• Recommandation de résoudre les vulnérabilités découvertes dans les images conteneurs en cours d’exécution

  • Ancien nom : Les vulnérabilités des images conteneurs en cours d’exécution doivent être corrigées (optimisé par Qualys)
  • Nouveau nom : Les résultats de l’analyse des vulnérabilités doivent être résolus pour les images conteneurs en cours d’exécution

• Recommandation d’activer les journaux de diagnostic pour Azure App Service

  • Ancien nom : Les journaux de diagnostic doivent être activés dans App Service
  • Nouveau nom : Les journaux de diagnostic d’App Service doivent être activés

Dépréciation de la stratégie Les conteneurs de clusters Kubernetes doivent uniquement écouter sur les ports autorisés

Nous avons déprécié la recommandation Les conteneurs de clusters Kubernetes doivent uniquement écouter sur les ports autorisés.

Nom de stratégie	Description	Effet(s)	Version
Les conteneurs de cluster Kubernetes doivent écouter uniquement sur les ports autorisés	Limitez l’écoute des conteneurs aux ports autorisés pour sécuriser l’accès au cluster Kubernetes. Cette stratégie est généralement disponible pour Kubernetes Service (AKS), et la préversion pour le moteur AKS et Kubernetes avec Azure Arc. Pour plus d’informations, consultez https://aka.ms/kubepolicydoc.	audit, deny, disabled	6.1.2

La recommandation Les services doivent écouter sur les ports autorisés uniquement doit être utilisée pour limiter les ports qu’une application expose sur Internet.

Ajout du workbook « Alertes actives »

Pour aider nos utilisateurs à comprendre les menaces actives dans leurs environnements et à hiérarchiser les alertes actives pendant le processus de correction, nous avons ajouté le workbook Alertes actives.

Le classeur d’alertes actives permet aux utilisateurs d’afficher un tableau de bord unifié de leurs alertes agrégées par gravité, type, balise, tactiques MITRE ATT&CK et emplacement. Pour plus d’informations, consultez Utiliser le workbook « Alertes actives ».

Ajout de la recommandation « Mise à jour système » au cloud du secteur public

La recommandation « Les mises à jour système doivent être installées sur vos machines » est maintenant disponible sur tous les clouds du secteur public.

Il est probable que cette modification aura un impact sur le score de sécurité de votre abonnement au cloud du secteur public. Nous pensons que la modification entraîne un score inférieur, mais il est possible que l’inclusion de la recommandation entraîne une augmentation du score dans certains cas.

Décembre 2021

Les mises à jour en décembre sont les suivantes :

• Disponibilité générale du plan Microsoft Defender pour les conteneurs
• Disponibilité générale des nouvelles alertes pour Microsoft Defender pour le stockage
• Améliorations apportées aux alertes pour Microsoft Defender pour le stockage
• Suppression de l’alerte « PortSweeping » des alertes de la couche réseau

Disponibilité générale du plan Microsoft Defender pour les conteneurs

Il y a plus de deux ans, nous avons introduit Defender pour Kubernetes et Defender pour les registres de conteneur dans le cadre de l’offre Azure Defender incluse dans Microsoft Defender pour le cloud.

Avec la publication de Microsoft Defender pour les conteneurs, nous avons fusionné ces deux plans Defender existants.

Le nouveau plan :

• combine les fonctionnalités des deux plans existants, notamment la détection des menaces pour les clusters Kubernetes et l’évaluation des vulnérabilités pour les images stockées dans des registres de conteneurs
• offre de nouvelles fonctionnalités et des améliorations, notamment la prise en charge du multicloud, la détection des menaces au niveau de l’hôte avec plus de 60 nouvelles analyses prenant en charge Kubernetes et l’évaluation des vulnérabilités pour les images exécutées
• présente l’intégration native Kubernetes à grande échelle. Par défaut, lorsque vous activez le plan, tous les composants pertinents sont configurés pour être déployés automatiquement

Avec cette version, la disponibilité et la présentation de Defender pour Kubernetes et Defender pour les registres de conteneurs ont changé comme suit :

• Nouveaux abonnements. Les deux plans de conteneurs précédents ne sont plus disponibles
• Abonnements existants. Lorsqu’ils apparaissent dans le Portail Azure, les plans apparaissent comme Déconseillé et sont associés à des instructions sur la mise à niveau vers le nouveau plan

Le nouveau plan est gratuit pour le mois de décembre 2021. Pour plus d’informations sur les modifications potentielles relatives à la facturation apportées à Defender pour les conteneurs par rapport aux anciens plans, ainsi que sur les avantages introduits dans ce plan, consultez Présentation de Microsoft Defender pour les conteneurs.

Pour plus d'informations, consultez les pages suivantes :

• Vue d’ensemble de Microsoft Defender pour les conteneurs
• Activer Microsoft Defender pour les conteneurs
• Présentation de Microsoft Defender pour les conteneurs - Microsoft Tech Community
• Microsoft Defender pour les conteneurs | Defender pour le cloud sur le terrain 3 - YouTube

Disponibilité générale des nouvelles alertes pour Microsoft Defender pour le stockage

Les acteurs de menaces utilisent des outils et des scripts pour analyser les conteneurs ouverts publiquement dans l’espoir de trouver des conteneurs de stockage ouverts mal configurés incluant des données sensibles.

Microsoft Defender pour le stockage détecte ces scanneurs pour vous permettre de les bloquer et de corriger votre posture.

L’alerte de préversion à l’origine de cette détection était appelée « Analyse anonyme de conteneurs de stockage publics ». Pour clarifier les informations concernant les événements suspects détectés, nous les avons divisé en deux nouvelles alertes. Ces alertes ne concernent que le Stockage Blob Azure.

Nous avons amélioré la logique de détection, mis à jour les métadonnées d’alerte et modifié le nom et le type des alertes.

Les nouvelles alertes sont les suivantes :

Alerte (type d’alerte)	Description	Tactique MITRE	severity
Des conteneurs de stockage accessibles publiquement ont été découverts (Storage.Blob_OpenContainersScanning.SuccessfulDiscovery)	Une découverte de conteneurs de stockage ouverts publiquement dans votre compte de stockage a été effectuée au cours de la dernière heure par un script ou un outil d’analyse. Cela indique généralement une attaque de reconnaissance, où l’acteur de menace tente de lister des objets blob en devinant les noms des conteneurs, dans l’espoir de trouver des conteneurs de stockage ouverts mal configurés avec des données sensibles. L’acteur de menace peut utiliser son propre script ou des outils d’analyse connus tels que Microburst pour rechercher des conteneurs ouverts publiquement. ✔ Stockage Blob Azure ✖ Azure Files ✖ Azure Data Lake Storage Gen2	Collection	Moyenne
Échec de l’analyse des conteneurs de stockage accessibles publiquement (Storage.Blob_OpenContainersScanning.FailedAttempt)	Une série de tentatives d’analyse des conteneurs de stockage ouverts publiquement ayant échoué ont été effectuées au cours de la dernière heure. Cela indique généralement une attaque de reconnaissance, où l’acteur de menace tente de lister des objets blob en devinant les noms des conteneurs, dans l’espoir de trouver des conteneurs de stockage ouverts mal configurés avec des données sensibles. L’acteur de menace peut utiliser son propre script ou des outils d’analyse connus tels que Microburst pour rechercher des conteneurs ouverts publiquement. ✔ Stockage Blob Azure ✖ Azure Files ✖ Azure Data Lake Storage Gen2	Collection	Faible

Pour plus d'informations, consultez les pages suivantes :

• Matrice de menaces pour les services de stockage
• Vue d’ensemble de Microsoft Defender pour le stockage
• Liste des alertes fournies par Microsoft Defender pour le stockage

Améliorations apportées aux alertes pour Microsoft Defender pour le stockage

Les alertes d’accès initiales sont désormais plus précises et comportent davantage de données pour soutenir les enquêtes.

Les acteurs de menaces utilisent diverses techniques dans l’accès initial pour s’introduire dans un réseau. Deux des alertes Microsoft Defender pour le stockage qui détectent des anomalies comportementales à ce stade disposent désormais d’une logique de détection améliorée et de données supplémentaires pour soutenir les enquêtes.

Si vous avez configuré des automations ou défini des règles de suppression d’alerte pour ces alertes par le passé, mettez-les à jour conformément à ces modifications.

Détection de l’accès à partir d’un nœud de sortie Tor

L’accès à partir d’un nœud de sortie Tor peut indiquer qu’un acteur de menace tente de masquer son identité.

L’alerte est désormais configurée pour être générée uniquement pour l’accès authentifié, afin d’accroitre la précision et renforcer la confiance quant à la nature malveillante de l’activité. Cette amélioration réduit le taux de positifs bénins.

Un modèle périphérique aura un niveau de gravité élevé, tandis que les modèles moins inhabituels présenteront une gravité moyenne.

Le nom et la description de l’alerte ont été mis à jour. Le type d’alerte reste inchangé.

• Nom de l’alerte (ancien) : Accès à un compte de stockage à partir d’un nœud de sortie Tor
• Nom de l’alerte (nouveau) : Accès authentifié à partir d’un nœud de sortie Tor
• Types d’alerte : Storage.Blob_TorAnomaly / Storage.Files_TorAnomaly
• Description : un ou plusieurs conteneurs de stockage/partages de fichiers dans votre compte de stockage ont été sollicités avec succès à partir d’une adresse IP connue en tant que nœud de sortie actif de Tor (un proxy d’anonymisation). Les acteurs de menaces utilisent Tor pour compliquer le suivi de l’activité pouvant mener jusqu’à eux. L’accès authentifié à partir d’un nœud de sortie Tor est une indication probable qu’un acteur de menace tente de masquer son identité. S’applique à : Stockage Blob Azure, Azure Files, Azure Data Lake Storage Gen2
• Tactique MITRE : accès initial
• Gravité : élevée/moyenne

Accès non authentifié inhabituel

Un changement au niveau des modèles d’accès peut indiquer qu’un acteur de menace a pu exploiter un accès public en lecture à des conteneurs de stockage, soit en exploitant une erreur dans les configurations d’accès, soit en modifiant les autorisations d’accès.

Cette alerte de gravité moyenne est désormais ajustée avec une logique comportementale améliorée, une plus grande précision et une confiance renforcée quant à la nature malveillante de l’activité. Cette amélioration réduit le taux de positifs bénins.

Le nom et la description de l’alerte ont été mis à jour. Le type d’alerte reste inchangé.

• Nom de l’alerte (ancien) : Accès anonyme à un compte de stockage
• Nom de l’alerte (nouveau) : Accès non authentifié inhabituel à un conteneur de stockage
• Types d’alerte : Storage.Blob_AnonymousAccessAnomaly
• Description : ce compte de stockage a fait l’objet d’un accès sans authentification, ce qui constitue un changement par rapport au modèle d’accès courant. L’accès en lecture à ce conteneur est généralement authentifié. Cela peut indiquer qu’un acteur de menace a pu exploiter un accès public en lecture aux conteneurs de stockage dans ces comptes de stockage. S’applique à : Stockage Blob Azure
• Tactique MITRE : collection
• Gravité : Moyenne

Pour plus d'informations, consultez les pages suivantes :

• Matrice de menaces pour les services de stockage
• Présentation de Microsoft Defender pour le stockage
• Liste des alertes fournies par Microsoft Defender pour le stockage

Suppression de l’alerte « PortSweeping » des alertes de la couche réseau

L’alerte suivante a été supprimée de nos alertes de la couche réseau en raison d’un manque d’efficacité :

Alerte (type d’alerte)	Description	Tactiques MITRE	severity
Détection possible d’une activité analyse des ports sortants (PortSweeping)	L’analyse du trafic réseau a détecté une activité réseau suspecte provenant de %{Hôte compromis}. Ce trafic peut être le résultat d’une activité d’analyse des ports. Lorsque la ressource compromise est un équilibreur de charge ou une passerelle d’application, l’origine du trafic sortant suspect a été localisée sur une ou plusieurs des ressources du pool principal (de l’équilibreur de charge ou de la passerelle d’application). Si ce comportement est intentionnel, veuillez noter que l’analyse des ports est contraire aux conditions d’utilisation du service Azure. Si ce comportement n’est pas intentionnel, cela peut signifier que votre ressource a été compromise.	Découverte	Moyenne

Novembre 2021

Notre version d’Ignite comprend les éléments suivants :

• Azure Security Center et Azure Defender deviennent Microsoft Defender pour le cloud
• Outils CSPM natifs pour AWS et protection contre les menaces pour Amazon EKS et AWS EC2
• Classer par ordre de priorité les actions de sécurité en fonction du niveau de sensibilité des données (avec la technologie Microsoft Purview) (en préversion)
• Évaluations étendues des contrôles de sécurité avec le benchmark de sécurité Azure v3
• Synchronisation bidirectionnelle (facultative) des alertes du connecteur Microsoft Sentinel en disponibilité générale (GA)
• Nouvelle recommandation pour l’envoi (push) des journaux AKS (Azure Kubernetes Service) vers Sentinel
• Recommandations mappées au framework MITRE ATT&CK® - publiées en disponibilité générale

Autres changements apportés en novembre :

• Ajout de la solution Gestion des menaces et des vulnérabilités Microsoft en tant que solution d’évaluation des vulnérabilités - En disponibilité générale (GA)
• Microsoft Defender pour point de terminaison pour Linux est désormais pris en charge par Microsoft Defender pour les serveurs - En disponibilité générale (GA)
• Exportation de captures instantanées pour les recommandations et les résultats de sécurité (en préversion)
• Provisionnement automatique des solutions d’évaluation des vulnérabilités : En disponibilité générale (GA)
• Filtres d’inventaire logiciel dans l’inventaire des ressources - En disponibilité générale (GA)
• Ajout d’une nouvelle stratégie de sécurité AKS à l’initiative par défaut : préversion privée
• L’affichage de l’inventaire des machines locales applique un autre modèle pour le nom de ressource

Azure Security Center et Azure Defender deviennent Microsoft Defender pour le cloud

D’après le rapport sur l’état du cloud en 2021, 92 % des organisations ont désormais une stratégie multicloud. Chez Microsoft, notre objectif est de centraliser la sécurité des environnements et d’aider les équipes de sécurité à travailler plus efficacement.

Microsoft Defender pour le cloud est une solution CSPM (gestion de la posture de sécurité cloud) et CWP (protection de charge de travail cloud). Elle détecte les faiblesses de votre configuration cloud, contribue à renforcer l’ensemble de la posture de sécurité de votre environnement et protège les charges de travail dans les environnements multi-clouds et hybrides.

Dans Ignite 2019, nous avons partagé notre vision consistant à créer l’approche la plus complète possible pour la sécurisation de votre patrimoine numérique et l’intégration des technologies XDR sous la marque Microsoft Defender. L’unification d’Azure Security Center et d’Azure Defender sous le nouveau nom Microsoft Defender pour le cloud reflète les fonctionnalités intégrées de notre offre de sécurité ainsi que notre capacité à prendre en charge n’importe quelle plateforme cloud.

Outils CSPM natifs pour AWS et protection contre les menaces pour Amazon EKS et AWS EC2

Une nouvelle page Paramètres de l’environnement offre une visibilité et un contrôle accrus sur vos groupes d’administration, vos abonnements et vos comptes AWS. La page est conçue pour intégrer les comptes AWS à grande échelle : connectez votre compte de gestion AWS, et vous intégrerez automatiquement les comptes existants et futurs.

Une fois que vous avez ajouté vos comptes AWS, Defender pour le cloud protège vos ressources AWS avec tout ou partie des plans suivants :

• Les fonctionnalités CSPM de Defender pour le cloud s’étendent à vos ressources AWS. Ce plan sans agent évalue vos ressources AWS conformément aux recommandations de sécurité spécifiques à AWS. Celles-ci sont incluses dans votre niveau de sécurité. Les ressources sont également évaluées par rapport à leur conformité aux standards intégrés spécifiques à AWS (AWS CIS, AWS PCI DSS et AWS Foundational Security Best Practices). La page d’inventaire des ressources de Defender pour le cloud est une fonctionnalité multicloud qui vous permet de gérer vos ressources AWS avec vos ressources Azure.
• Microsoft Defender pour Kubernetes étend sa détection des menaces contre les conteneurs et ses défenses avancées à vos clusters Amazon EKS Linux.
• Microsoft Defender pour les serveurs ajoute la détection des menaces et les défenses avancées à vos instances EC2 Linux et Windows. Ce plan comprend la licence intégrée de Microsoft Defender pour point de terminaison, des bases de référence de sécurité et des évaluations au niveau de l’OS, l’analyse de l’évaluation des vulnérabilités, les contrôles d’application adaptatifs (AAC), le monitoring de l’intégrité des fichiers (FIM), etc.

Découvrez plus en détail la connexion de vos comptes AWS à Microsoft Defender pour le cloud.

Classer par ordre de priorité les actions de sécurité en fonction du niveau de sensibilité des données (avec la technologie Microsoft Purview) (en préversion)

Les ressources de données restent une cible populaire pour les auteurs de menaces. Il est donc crucial pour les équipes de sécurité d’identifier, de classer par ordre de priorité et de sécuriser les ressources de données sensibles dans leurs environnements cloud.

Pour résoudre ce problème, Microsoft Defender pour le cloud intègre désormais les informations sur la sensibilité d’Microsoft Purview. Microsoft Purview est un service de gouvernance unifiée des données qui fournit des insights riches sur la sensibilité de vos données dans les charges de travail multiclouds et locales.

L’intégration à Microsoft Purview étend votre visibilité de la sécurité dans Defender pour le cloud, du niveau de l’infrastructure aux données, offrant ainsi une toute nouvelle façon de classer par ordre de priorité les ressources et les activités de sécurité pour vos équipes de sécurité.

Découvrez davantage d’informations dans Classer par ordre de priorité les actions de sécurité en fonction du degré de sensibilité des données.

Évaluations étendues des contrôles de sécurité avec le benchmark de sécurité Azure v3

Les recommandations de sécurité dans Defender pour le cloud sont prises en charge par Azure Security Benchmark.

Le benchmark de sécurité Azure constitue l’ensemble des recommandations spécifiques à Azure et créées par Microsoft concernant les bonnes pratiques de sécurité et de conformité basées sur les frameworks de conformité courants. Ce benchmark, largement respecté et centré sur le cloud, est basé sur les contrôles du CIS (Center for Internet Security) et du NIST (National Institute of Standards and Technology).

À partir d’Ignite 2021, le benchmark de sécurité Azure v3 est disponible dans le tableau de bord de conformité réglementaire de Defender pour le cloud et activé en tant que nouvelle initiative par défaut pour tous les abonnements Azure protégés par Microsoft Defender pour le cloud.

Les améliorations de la version v3 incluent les éléments suivants :

• Mappages supplémentaires aux frameworks du secteur PCI-DSS v3.2.1 et CIS Controls v8.

• Conseils plus précis et actionnables pour les contrôles grâce à l’introduction des éléments suivants :

  • Principes de sécurité - Fournit un insight des objectifs de sécurité globaux qui constituent le fondement de nos recommandations.
  • Conseils Azure - « Guide pratique » technique permettant d’atteindre ces objectifs.

• Les nouveaux contrôles incluent la sécurité DevOps pour les problèmes tels que la modélisation des menaces et la sécurité de la chaîne d’approvisionnement des logiciels ainsi que la gestion des clés et des certificats pour les bonnes pratiques dans Azure.

Apprenez-en davantage dans Présentation du Benchmark de sécurité Azure.

Synchronisation bidirectionnelle (facultative) des alertes du connecteur Microsoft Sentinel en disponibilité générale (GA)

En juillet, nous avons annoncé une fonctionnalité en préversion, la synchronisation bidirectionnelle des alertes, pour le connecteur intégré de Microsoft Sentinel (solution native cloud SIEM et SOAR de Microsoft). Cette fonctionnalité est désormais en disponibilité générale (GA).

Quand vous connectez Microsoft Defender pour le cloud à Microsoft Sentinel, l’état des alertes de sécurité est synchronisé entre les deux services. Ainsi, par exemple, lorsqu’une alerte est fermée dans Defender pour le cloud, cette alerte s’affiche également comme étant fermée dans Microsoft Sentinel. Le changement d’état d’une alerte dans Defender pour le cloud n’affecte pas l’état des incidents Microsoft Sentinel qui contiennent l’alerte Microsoft Sentinel synchronisée, mais uniquement l’état de l’alerte synchronisée.

Quand vous activez la synchronisation bidirectionnelle des alertes, vous synchronisez automatiquement l’état des alertes Defender pour le cloud d’origine avec les incidents Microsoft Sentinel qui contiennent les copies de toutes ces alertes. Ainsi, par exemple, quand un incident Microsoft Sentinel contenant une alerte Defender pour le cloud est fermé, Defender pour le cloud ferme automatiquement l’alerte d’origine correspondante.

Découvrez davantage d’informations dans Connecter les alertes Azure Defender à partir d’Azure Security Center et Envoyer en streaming les alertes vers Azure Sentinel.

Nouvelle recommandation pour l’envoi (push) des journaux AKS (Azure Kubernetes Service) vers Sentinel

Afin d’améliorer davantage la valeur combinée de Defender pour le cloud et de Microsoft Sentinel, nous allons désormais mettre en évidence les instances d’Azure Kubernetes Service qui n’envoient pas de données de journal à Microsoft Sentinel.

Les équipes SecOps peuvent choisir l’espace de travail Microsoft Sentinel approprié directement à partir de la page des détails des recommandations et activer immédiatement le streaming des journaux bruts. Cette connexion transparente entre les deux produits permet aux équipes de sécurité de garantir une couverture complète de la journalisation des charges de travail pour rester maîtres de l’ensemble de leur environnement.

La nouvelle recommandation « Les journaux de diagnostic du service Kubernetes doivent être activés » comprend l’option « Corriger » pour une correction plus rapide.

Nous avons également amélioré la recommandation « L’audit sur SQL Server doit être activé » avec les mêmes fonctionnalités de streaming que celles de Sentinel.

Recommandations mappées au framework MITRE ATT&CK® - publiées en disponibilité générale

Nous avons amélioré les recommandations de sécurité de Defender pour le cloud afin d’illustrer leur position sur le framework MITRE ATT&CK®. Cette base de connaissances mondialement accessible recense les tactiques et techniques des acteurs de menaces basées sur des observations réelles. Elle fournit davantage de contexte pour vous aider à comprendre les risques associés aux recommandations pour votre environnement.

Vous trouverez ces tactiques là où vous accédez aux informations de recommandation :

• Les résultats de requête Azure Resource Graph pour les recommandations pertinentes incluent les tactiques et techniques MITRE ATT&CK®.

• Les pages de détails des recommandations affichent le mappage de toutes les recommandations pertinentes :

• La page de recommandations dans Defender pour le cloud dispose d’un nouveau filtre pour sélectionner des recommandations en fonction de leur tactique associée :

Apprenez-en davantage dans Consulter vos recommandations de sécurité.

Ajout de la solution Gestion des menaces et des vulnérabilités Microsoft en tant que solution d’évaluation des vulnérabilités - En disponibilité générale (GA)

En octobre, nous avons annoncé une extension de l’intégration entre Microsoft Defender pour les serveurs et Microsoft Defender pour point de terminaison afin de permettre la prise en charge d’un nouveau fournisseur d’évaluation des vulnérabilités pour vos machines : Gestion des menaces et des vulnérabilités Microsoft. Cette fonctionnalité est désormais en disponibilité générale (GA).

Utilisez la gestion des menaces et des vulnérabilités pour découvrir les vulnérabilités et les erreurs de configuration en quasi-temps réel grâce à l’intégration à Microsoft Defender pour point de terminaison, et sans avoir besoin d’agents supplémentaires ou d’analyses périodiques. Gestion des menaces et des vulnérabilités hiérarchise les vulnérabilités en fonction du paysage des menaces et des détections dans votre organisation.

Utilisez la recommandation de sécurité « Une solution d’évaluation des vulnérabilités doit être activée sur vos machines virtuelles » pour faire apparaître les vulnérabilités détectées par Gestion des menaces et des vulnérabilités pour vos machines prises en charge.

Pour faire apparaître automatiquement les vulnérabilités sur les machines existantes et nouvelles sans avoir besoin de corriger manuellement la recommandation, consultez Les solutions d’évaluation des vulnérabilités peuvent désormais être activées automatiquement (en préversion).

En savoir plus dans Investiguer les faiblesses avec la gestion des menaces et des vulnérabilités de Microsoft Defender pour point de terminaison.

Microsoft Defender pour point de terminaison pour Linux est désormais pris en charge par Microsoft Defender pour les serveurs - En disponibilité générale (GA)

En août, nous avons annoncé la prise en charge en préversion du déploiement du capteur Defender pour point de terminaison pour Linux sur les machines Linux compatibles. Cette fonctionnalité est désormais en disponibilité générale (GA).

Microsoft Defender pour les serveurs comprend une licence intégrée pour Microsoft Defender pour point de terminaison. Ensemble, ils offrent des fonctionnalités EDR (protection évolutive des points de terminaison) complètes.

Quand Microsoft Defender pour point de terminaison détecte une menace, il déclenche une alerte. L’alerte s’affiche dans Defender pour le cloud. À partir de Defender pour le cloud, vous pouvez également accéder à la console Defender pour point de terminaison et effectuer un examen détaillé pour découvrir l’étendue de l’attaque.

En savoir plus dans Protéger vos points de terminaison avec la solution EDR intégrée de Security Center : Microsoft Defender for Endpoint.

Exportation de captures instantanées pour les recommandations et les résultats de sécurité (en préversion)

Defender pour le cloud génère des alertes et des recommandations de sécurité détaillées. Vous pouvez les afficher dans le portail ou au moyen d’outils de programmation. Si nécessaire, vous pouvez également exporter en partie ou en totalité ces informations à des fins de suivi avec d’autres outils de supervision dans votre environnement.

La fonctionnalité d’exportation continue de Defender pour le cloud vous permet de personnaliser entièrement ce qui doit être exporté et où cela doit être exporté. Découvrez davantage d’informations dans Exporter en continu les données Microsoft Defender pour le cloud.

Même s’il s’agit d’une fonctionnalité en continu, il existe également une option permettant d’exporter des captures instantanées hebdomadaires. Jusqu’à présent, ces captures instantanées hebdomadaires se limitaient aux données liées au niveau de sécurité et à la conformité réglementaire. Nous avons ajouté la possibilité d’exporter les recommandations et résultats de sécurité.

Provisionnement automatique des solutions d’évaluation des vulnérabilités : En disponibilité générale (GA)

En octobre, nous avons annoncé l’ajout de solutions d’évaluation des vulnérabilités à la page de provisionnement automatique de Defender pour le cloud. Cela concerne les machines virtuelles Azure et les machines Azure Arc des abonnements protégés par Azure Defender pour les serveurs. Cette fonctionnalité est désormais en disponibilité générale (GA).

Si l’intégration à Microsoft Defender pour point de terminaison est activée, Defender pour le cloud offre un choix de solutions d’évaluation des vulnérabilités :

• (NOUVEAU) Le module Gestion des menaces et des vulnérabilités de Microsoft de Microsoft Defender pour point de terminaison (voir la note de publication)
• L’agent Qualys intégré

La solution que vous avez choisie sera automatiquement activée sur les machines prises en charge.

En savoir plus dans Configurer automatiquement l’évaluation des vulnérabilités pour vos machines.

Filtres d’inventaire logiciel dans l’inventaire des ressources - En disponibilité générale (GA)

En octobre, nous avons annoncé de nouveaux filtres pour la page d’inventaire des ressources afin de sélectionner les machines exécutant des logiciels spécifiques, et même de spécifier les versions souhaitées. Cette fonctionnalité est désormais en disponibilité générale (GA).

Vous pouvez interroger les données d’inventaire logiciel dans l’Afficheur Azure Resource Graph.

Pour utiliser ces fonctionnalités, vous devez activer l’intégration à Microsoft Defender pour point de terminaison.

Pour plus de détails, y compris des exemples de requêtes Kusto pour Azure Resource Graph, consultez Accéder à un inventaire logiciel.

Ajout d’une nouvelle stratégie de sécurité AKS à l’initiative par défaut pour les clients de la préversion privée uniquement

Afin de garantir la sécurité par défaut des charges de travail Kubernetes, Defender pour le cloud inclut des stratégies et des recommandations de durcissement au niveau de Kubernetes, notamment des options de mise en œuvre avec contrôle d’admission Kubernetes.

Dans le cadre de ce projet, nous avons ajouté une stratégie et une recommandation (désactivées par défaut) pour limiter le déploiement sur les clusters Kubernetes. La stratégie se trouve dans l’initiative par défaut, mais elle ne concerne que les organisations qui s’inscrivent à la préversion privée associée.

Vous pouvez ignorer sans problème les stratégies ainsi que la recommandation (« Les clusters Kubernetes doivent limiter le déploiement d’images vulnérables »). Cela n’a aucun impact sur votre environnement.

Si vous souhaitez participer à la préversion privée, vous devez être membre de la boucle de préversion privée. Si vous n’êtes pas encore membre, envoyez une demande ici. Les membres sont notifiés au lancement de la préversion.

L’affichage de l’inventaire des machines locales applique un autre modèle pour le nom de ressource

Pour améliorer la présentation des ressources dans l’inventaire des ressources, nous avons supprimé l’élément « source-computer-IP » du modèle de nommage des machines locales.

• Format précédent :machine-name_source-computer-id_VMUUID
• À partir de cette mise à jour :machine-name_VMUUID

Octobre 2021

Les mises à jour d’octobre sont les suivantes :

• Ajout de Gestion des menaces et des vulnérabilités de Microsoft comme solution d’évaluation des vulnérabilités (en préversion)
• Les solutions d’évaluation des vulnérabilités peuvent désormais être activées automatiquement (en préversion)
• Ajout de filtres d’inventaire logiciel à l’inventaire des ressources (en préversion)
• Modification du préfixe de certains types d’alerte de « ARM_ » à « VM_ »
• Modifications apportées à la logique d’une recommandation de sécurité pour les clusters Kubernetes
• Les pages de détails sur les recommandations affichent maintenant les recommandations associées
• Nouvelles alertes relatives à Azure Defender pour Kubernetes (préversion)

Ajout de Gestion des menaces et des vulnérabilités de Microsoft comme solution d’évaluation des vulnérabilités (en préversion)

Nous avons étendu l’intégration entre Azure Defender pour les serveurs et Microsoft Defender pour point de terminaison afin de permettre la prise en charge d’un nouveau fournisseur d’évaluation des vulnérabilités pour vos machines : Gestion des menaces et des vulnérabilités Microsoft.

Utilisez la gestion des menaces et des vulnérabilités pour découvrir les vulnérabilités et les erreurs de configuration en quasi-temps réel grâce à l’intégration à Microsoft Defender pour point de terminaison, et sans avoir besoin d’agents supplémentaires ou d’analyses périodiques. Gestion des menaces et des vulnérabilités hiérarchise les vulnérabilités en fonction du paysage des menaces et des détections dans votre organisation.

Utilisez la recommandation de sécurité « Une solution d’évaluation des vulnérabilités doit être activée sur vos machines virtuelles » pour faire apparaître les vulnérabilités détectées par Gestion des menaces et des vulnérabilités pour vos machines prises en charge.

Pour faire apparaître automatiquement les vulnérabilités sur les machines existantes et nouvelles sans avoir besoin de corriger manuellement la recommandation, consultez Les solutions d’évaluation des vulnérabilités peuvent désormais être activées automatiquement (en préversion).

En savoir plus dans Investiguer les faiblesses avec la gestion des menaces et des vulnérabilités de Microsoft Defender pour point de terminaison.

Les solutions d’évaluation des vulnérabilités peuvent désormais être activées automatiquement (en préversion)

La page d’approvisionnement automatique de Security Center comprend désormais l’option permettant d’activer automatiquement une solution d’évaluation des vulnérabilités sur les machines virtuelles Azure et les machines Azure Arc sur des abonnements protégés par Azure Defender pour les serveurs.

Si l’intégration à Microsoft Defender pour point de terminaison est activée, Defender pour le cloud offre un choix de solutions d’évaluation des vulnérabilités :

• (NOUVEAU) Le module Gestion des menaces et des vulnérabilités de Microsoft de Microsoft Defender pour point de terminaison (voir la note de publication)
• L’agent Qualys intégré

La solution que vous avez choisie sera automatiquement activée sur les machines prises en charge.

En savoir plus dans Configurer automatiquement l’évaluation des vulnérabilités pour vos machines.

Ajout de filtres d’inventaire logiciel à l’inventaire des ressources (en préversion)

La page Inventaire des ressources comprend désormais un filtre permettant de sélectionner les machines exécutant un logiciel spécifique, et même de spécifier les versions qui vous intéressent.

En outre, vous pouvez interroger les données d’inventaire logiciel dans Azure Resource Graph Explorer.

Pour utiliser ces nouvelles fonctionnalités, vous devez activer l’intégration à Microsoft Defender pour point de terminaison.

Pour plus de détails, y compris des exemples de requêtes Kusto pour Azure Resource Graph, consultez Accéder à un inventaire logiciel.

Modification du préfixe de certains types d’alerte de « ARM_ » à « VM_ »

En juillet 2021, nous avons annoncé une réorganisation logique d’Azure Defender pour les alertes Resource Manager

Pendant la réorganisation des plans Defender, nous avons déplacé les alertes d’Azure Defender pour Resource Manager vers Azure Defender pour les serveurs.

Avec cette mise à jour, nous avons modifié les préfixes de ces alertes pour qu’elles correspondent à cette réaffectation et remplacé « ARM_ » par « VM_ », comme indiqué dans le tableau suivant :

Nom d’origine	À partir de cette modification
ARM_AmBroadFilesExclusion	VM_AmBroadFilesExclusion
ARM_AmDisablementAndCodeExecution	VM_AmDisablementAndCodeExecution
ARM_AmDisablement	VM_AmDisablement
ARM_AmFileExclusionAndCodeExecution	VM_AmFileExclusionAndCodeExecution
ARM_AmTempFileExclusionAndCodeExecution	VM_AmTempFileExclusionAndCodeExecution
ARM_AmTempFileExclusion	VM_AmTempFileExclusion
ARM_AmRealtimeProtectionDisabled	VM_AmRealtimeProtectionDisabled
ARM_AmTempRealtimeProtectionDisablement	VM_AmTempRealtimeProtectionDisablement
ARM_AmRealtimeProtectionDisablementAndCodeExec	VM_AmRealtimeProtectionDisablementAndCodeExec
ARM_AmMalwareCampaignRelatedExclusion	VM_AmMalwareCampaignRelatedExclusion
ARM_AmTemporarilyDisablement	VM_AmTemporarilyDisablement
ARM_UnusualAmFileExclusion	VM_UnusualAmFileExclusion
ARM_CustomScriptExtensionSuspiciousCmd	VM_CustomScriptExtensionSuspiciousCmd
ARM_CustomScriptExtensionSuspiciousEntryPoint	VM_CustomScriptExtensionSuspiciousEntryPoint
ARM_CustomScriptExtensionSuspiciousPayload	VM_CustomScriptExtensionSuspiciousPayload
ARM_CustomScriptExtensionSuspiciousFailure	VM_CustomScriptExtensionSuspiciousFailure
ARM_CustomScriptExtensionUnusualDeletion	VM_CustomScriptExtensionUnusualDeletion
ARM_CustomScriptExtensionUnusualExecution	VM_CustomScriptExtensionUnusualExecution
ARM_VMAccessUnusualConfigReset	VM_VMAccessUnusualConfigReset
ARM_VMAccessUnusualPasswordReset	VM_VMAccessUnusualPasswordReset
ARM_VMAccessUnusualSSHReset	VM_VMAccessUnusualSSHReset

En savoir plus sur les plans Azure Defender pour Resource Manager et Azure Defender pour les serveurs.

Modifications apportées à la logique d’une recommandation de sécurité pour les clusters Kubernetes

La recommandation « Les clusters Kubernetes ne doivent pas utiliser l’espace de noms par défaut » empêche l’utilisation de l’espace de noms par défaut pour une plage de types de ressource. Deux des types de ressource inclus dans cette recommandation ont été supprimés : ConfigMap et Secret.

Pour en savoir plus sur cette recommandation et sur le renforcement de vos clusters Kubernetes, consultez Comprendre Azure Policy pour les clusters Kubernetes.

Les pages de détails sur les recommandations affichent maintenant les recommandations associées

Pour clarifier les relations entre les différentes recommandations, nous avons ajouté une zone Recommandations associées aux pages de détails de nombreuses recommandations.

Les trois types de relations qui sont affichés sur ces pages sont les suivants :

• Condition préalable : recommandation qui doit être complétée avant la recommandation sélectionnée
• Alternative : recommandation différente qui offre une autre façon d’atteindre les objectifs de la recommandation sélectionnée
• Dépendante : recommandation pour laquelle la recommandation sélectionnée est une condition préalable

Pour chaque recommandation associée, le nombre de ressources non saines est indiqué dans la colonne « Ressources affectées ».

Conseil

Si une recommandation associée est grisée, sa dépendance n’est pas encore terminée et n’est donc pas disponible.

Voici un exemple de recommandations associées :

1. Security Center vérifie la présence de solutions d’évaluation des vulnérabilités prises en charge sur vos ordinateurs :
   Une solution d’évaluation des vulnérabilités doit être activée sur vos machines virtuelles

2. Si une vulnérabilité est détectée, vous serez informé des vulnérabilités découvertes :
   Les vulnérabilités de vos machines virtuelles doivent être corrigées

Bien entendu, Security Center ne peut pas vous notifier les vulnérabilités découvertes, sauf s’il trouve une solution d’évaluation des vulnérabilités prise en charge.

Par conséquent :

• Recommandation #1 est une condition préalable à la recommandation #2
• La recommandation #2 dépend de la recommandation #1

Nouvelles alertes relatives à Azure Defender pour Kubernetes (préversion)

Pour étendre les protections contre les menaces fournies par Azure Defender pour Kubernetes, nous avons ajouté deux alertes en préversion.

Ces alertes sont générées à partir d’un nouveau modèle Machine Learning et des fonctionnalités analytiques avancées de Kubernetes, qui mesurent plusieurs attributs de déploiement et d’attribution de rôles par rapport aux activités antérieures dans le cluster ainsi que dans tous les clusters faisant l’objet d’un monitoring par Azure Defender.

Alerte (type d’alerte)	Description	Tactique MITRE	Gravité
Déploiement anormal d’un pod (préversion) (K8S_AnomalousPodDeployment)	L’analyse du journal d’audit Kubernetes a détecté un déploiement de pod anormal compte tenu de l’activité antérieure de déploiement de pod. Cette activité est considérée comme une anomalie lorsque l’on prend en compte la façon dont les différentes fonctionnalités vues dans l’opération de déploiement sont dans les relations entre elles. Les fonctionnalités surveillées par cette analyse incluent le registre d’images de conteneur utilisé, le compte qui effectue le déploiement, le jour de la semaine, la fréquence à laquelle ce compte effectue des déploiements de pod, l’agent utilisateur utilisé dans l’opération ou d’autres fonctionnalités. Il est également possible de déterminer s’il s’agit d’un espace de noms dans lequel le déploiement du pod se produit souvent. Les principales raisons justifiant le déclenchement de cette alerte en tant qu’activité anormale sont détaillées dans les propriétés étendues de l’alerte.	Exécution	Moyenne
Autorisations de rôle excessives affectées dans le cluster Kubernetes (préversion) (K8S_ServiceAcountPermissionAnomaly)	L’analyse des journaux d’audit Kubernetes a détecté une attribution de rôle d’autorisations excessive à votre cluster. D’après l’examen des attributions de rôles, les autorisations répertoriées sont rares pour le compte de service spécifique. Cette détection prend en compte les attributions de rôles antérieures au même compte de service sur les clusters contrôlés par Azure, le volume par autorisation et l’impact de l’autorisation spécifique. Le modèle de détection d’anomalies utilisé pour cette alerte prend en compte la façon dont cette autorisation est utilisée sur tous les clusters analysés par Azure Defender.	Réaffectation de privilèges	Faible

Pour obtenir la liste complète des alertes Kubernetes, consultez Alertes pour les clusters Kubernetes.

Septembre 2021

En septembre, la mise à jour suivante a été publiée :

Deux nouvelles recommandations pour auditer les configurations de système d’exploitation pour la conformité de la ligne de base de sécurité Azure (en préversion)

Les deux recommandations suivantes ont été publiées pour évaluer la conformité de vos machines à la Base de référence de sécurité Windows et à la Base de référence de sécurité Linux :

• Pour les machines Windows, les vulnérabilités dans la configuration de la sécurité sur vos machines Windows doivent être corrigées (avec Guest Configuration)
• Pour les machines Linux, les vulnérabilités dans la configuration de la sécurité sur vos machines Linux doivent être corrigées (avec Guest Configuration)

Ces recommandations utilisent la fonctionnalité de configuration d’invité d’Azure Policy pour comparer la configuration du système d’exploitation d’une machine à la ligne de base définie dans le Benchmark de sécurité Azure.

Pour en savoir plus sur l’utilisation de ces recommandations, consultez Renforcer la configuration du système d’exploitation d’une machine à l’aide de la configuration d’invité.

Août 2021

Les mises à jour en août sont les suivantes :

• Microsoft Defender pour point de terminaison pour Linux est désormais pris en charge par Azure Defender pour les serveurs (en préversion)
• Deux nouvelles recommandations pour la gestion des solutions de protection de point de terminaison (en préversion)
• Dépannage et conseils intégrés pour la résolution des problèmes courants
• Rapports d’audit Azure du tableau de bord de conformité réglementaire publiés pour la mise à la disposition générale
• Dépréciation de la recommandation « Les problèmes d’intégrité de l’agent Log Analytics doivent être résolus sur vos machines »
• Azure Defender pour les registres de conteneurs analyse désormais les vulnérabilités dans les registres protégés avec Azure Private Link
• Security Center peut désormais approvisionner automatiquement l’extension de configuration d’invité d’Azure Policy (en préversion)
• Les recommandations pour activer les plans Azure defender prennent désormais en charge « Appliquer »
• Exportations CSV de données de recommandation désormais limitées à 20 Mo
• La page des recommandations compte désormais plusieurs vues

Microsoft Defender pour point de terminaison pour Linux est désormais pris en charge par Azure Defender pour les serveurs (en préversion)

Azure Defender pour les serveurs comprend une licence intégrée pour Microsoft Defender pour point de terminaison. Ensemble, ils offrent des fonctionnalités EDR (protection évolutive des points de terminaison) complètes.

Quand Microsoft Defender pour point de terminaison détecte une menace, il déclenche une alerte. L’alerte s’affiche dans Security Center. À partir de Security Center, vous pouvez également accéder à la console Microsoft Defender pour point de terminaison et effectuer un examen détaillé pour découvrir l’étendue de l’attaque.

Pendant la période de préversion, vous allez déployer le capteur Defender pour point de terminaison pour Linux sur vos machines Linux de deux manières, selon que vous les avez déjà déployées sur vos machines Windows :

• Utilisateurs existants pour lesquels les fonctionnalités de sécurité renforcée de Defender pour le cloud sont activées et disposant de Microsoft Defender pour point de terminaison pour Windows
• Nouveaux utilisateurs qui n’ont jamais activé l’intégration avec Microsoft Defender pour point de terminaison pour Windows

En savoir plus dans Protéger vos points de terminaison avec la solution EDR intégrée de Security Center : Microsoft Defender for Endpoint.

Deux nouvelles recommandations pour la gestion des solutions de protection de point de terminaison (en préversion)

Nous avons ajouté deux recommandations en préversion pour déployer et gérer les solutions de protection des points de terminaison sur vos machines. Ces deux recommandations incluent la prise en charge des machines virtuelles Azure et des machines connectées aux serveurs Azure Arc.

Recommandation	Description	Gravité
Endpoint Protection doit être installé sur vos machines	Pour protéger vos machines contre les menaces et les vulnérabilités, installez une solution de protection des points de terminaison prise en charge. En savoir plus sur la façon dont est évalué Endpoint Protection pour les machines (Stratégie associée : Superviser la solution Endpoint Protection manquante dans Azure Security Center)	Élevé
Les problèmes d’intégrité de la protection du point de terminaison doivent être résolus sur vos machines	Résolvez les problèmes d’intégrité concernant la protection des points de terminaison de vos machines virtuelles pour les protéger des menaces et des vulnérabilités les plus récentes. Les solutions de protection des points de terminaison Azure Security Center prises en charge sont documentées ici. L’évaluation de la protection des points de terminaison est documentée ici. (Stratégie associée : Superviser la solution Endpoint Protection manquante dans Azure Security Center)	Medium

Notes

Les recommandations indiquent un intervalle d’actualisation de 8 heures, mais dans certains scénarios, cela peut prendre beaucoup plus de temps. Par exemple, lorsqu’une machine locale est supprimée, Security Center met 24 heures à identifier la suppression. Ensuite, l’évaluation prend jusqu’à 8 heures pour renvoyer les informations. Dans cette situation spécifique, il peut falloir 32 heures pour que la machine soit supprimée de la liste des ressources affectées.

Dépannage et conseils intégrés pour la résolution des problèmes courants

Une nouvelle zone dédiée des pages Security Center dans le portail Azure fournit un ensemble classé et qui ne cesse de s’allonger de documents d’aide autonome pour relever les défis courants liés à Security Center et Azure Defender.

Lorsque vous êtes confronté à un problème ou que vous recherchez des conseils auprès de notre équipe de support technique, la page Diagnostiquer et résoudre les problèmes peut vous aider à trouver la solution :

Rapports d’audit Azure du tableau de bord de conformité réglementaire publiés pour la mise à la disposition générale

La barre d’outils du tableau de bord de conformité réglementaire offre des rapports de certification Azure et Dynamics pour les normes appliquées à vos abonnements.

Vous pouvez sélectionner l’onglet pour les types de rapports appropriés (PCI, SOC, ISO et autres) et utiliser des filtres pour rechercher les rapports spécifiques dont vous avez besoin.

Pour plus d’informations, consultez Générer des rapports d’état de conformité et des certificats.

Dépréciation de la recommandation « Les problèmes d’intégrité de l’agent Log Analytics doivent être résolus sur vos machines »

Nous avons constaté que la recommandation Les problèmes d’intégrité de l’agent Log Analytics doivent être résolus sur vos machines influe sur les scores de sécurité de manière incohérente avec le focus CSPM (Cloud Security Posture Management) de Security Center. En règle générale, CSPM est associé à l’identification des erreurs de configuration de sécurité. Les problèmes d’intégrité de l’agent n’entrent pas dans cette catégorie de problèmes.

En outre, la recommandation est une anomalie par rapport aux autres agents liés à Security Center : il s’agit du seul agent présentant une recommandation relative aux problèmes d’intégrité.

La recommandation a été déconseillée.

Suite à cette dépréciation, nous avons apporté des modifications mineures aux recommandations relatives à l’installation de l’agent de Log Analytics (L’agent Log Analytics doit être installé sur... ).

Il est probable que cette modification influe sur vos scores de sécurité. Pour la plupart des abonnements, nous pensons que cette modification se traduira par un score plus élevé, mais il est possible que les mises à jour apportées à la recommandation d’installation se traduisent par un score moins élevé dans certains cas.

Conseil

La page Inventaire des ressources est également concernée par cette modification, car elle affiche l’état de surveillance des machines (surveillées, non surveillées ou partiellement surveillées, un état qui fait référence à un agent avec problèmes d’intégrité).

Azure Defender pour les registres de conteneurs analyse désormais les vulnérabilités dans les registres protégés avec Azure Private Link

Azure Defender pour les registres de conteneurs comprend un analyseur de vulnérabilités pour examiner les images de vos registres Azure Container Registry. Découvrez comment analyser vos registres et corriger les résultats dans Analyse des vulnérabilités dans les images avec Azure Defender pour les registres de conteneurs.

Pour limiter l’accès à un registre hébergé dans Azure Container Registry, attribuez des adresses IP privées de réseau virtuel aux points de terminaison du registre et utilisez Azure Private Link, comme expliqué dans Établir une connexion privée à un registre de conteneurs Azure à l’aide d’Azure Private Link.

Dans le cadre de nos efforts continus visant à prendre en charge des environnements et des cas d’utilisation supplémentaires, Azure Defender analyse également les registres de conteneur protégés avec Azure Private Link.

Security Center peut désormais approvisionner automatiquement l’extension de configuration d’invité d’Azure Policy (en préversion)

Azure Policy peut vérifier les paramètres à l’intérieur d’une machine, tant pour les machines s’exécutant dans Azure que pour les machines connectées à Arc. La validation est effectuée par le client et l’extension de configuration d’invité. Pour en savoir plus, consultez Présentation de la fonctionnalité de configuration des invités d'Azure Policy.

Avec cette mise à jour, vous pouvez désormais configurer Security Center pour provisionner automatiquement l’extension sur toutes les machines prises en charge.

Apprenez-en davantage sur le fonctionnement de l’approvisionnement automatique dans Configurer l’approvisionnement automatique d’agents et d’extensions.

Les recommandations pour activer les plans Azure defender prennent désormais en charge « Appliquer »

Security Center comprend deux fonctionnalités qui permettent de s’assurer que les ressources nouvellement créées sont approvisionnées de manière sécurisée : appliquer et refuser. Lorsqu’une recommandation offre ces options, vous pouvez vous assurer que vos exigences en matière de sécurité sont satisfaites chaque fois qu’un utilisateur tente de créer une ressource :

• Refuser empêche la création de ressources non saines
• Appliquer corrige automatiquement les ressources non conformes créées

Avec cette mise à jour, l’option Appliquer est désormais disponible dans les recommandations pour activer les plans Azure Defender (comme Azure Defender pour App Service doit être activé, Azure Defender pour Key Vault doit être activé, Azure Defender pour Stockage doit être activé).

Pour plus d’informations sur ces options, consultez Empêcher des configurations incorrectes à l’aide des recommandations Appliquer/Refuser.

Exportations CSV de données de recommandation désormais limitées à 20 Mo

Nous créons une limite de 20 Mo lors de l’exportation des données de recommandations Security Center .

S’il vous faut exporter de plus grands volumes de données, utilisez les filtres disponibles avant sélection ou sélectionnez des sous-ensembles de vos abonnements et téléchargez les données par lots.

Apprenez-en davantage sur l’exécution d’une exportation CSV de vos recommandations de sécurité.

La page des recommandations compte désormais plusieurs vues

La page des recommandations compte désormais deux onglets vous permettant d’afficher les recommandations relatives à vos ressources :

• Recommandations relatives aux scores de sécurité : utilisez cet onglet pour afficher la liste des recommandations regroupées par contrôle de sécurité. Pour plus d’informations sur ces contrôles, consultez Contrôles de sécurité et recommandations.
• Toutes les recommandations : utilisez cet onglet pour afficher la liste des recommandations sous forme de liste simple. Cet onglet permet également de comprendre l’initiative (y compris les normes de conformité réglementaire) qui a généré la recommandation. Pour plus d’informations sur les initiatives et leurs relations avec les recommandations, consultez Présentation des stratégies de sécurité, des initiatives et des recommandations.

Juillet 2021

Les mises à jour du mois de juillet incluent :

• Le connecteur Azure Sentinel comprend désormais une synchronisation d’alerte bidirectionnelle facultative (en préversion)
• Réorganisation logique d’Azure Defender pour les alertes Gestionnaire des ressources
• Améliorations apportées à la recommandation pour activer Azure Disk Encryption (ADE)
• Exportation continue du score de sécurité et des données de conformité réglementaire publiées pour la disponibilité générale (GA)
• Les automatisations de workflow peuvent être déclenchées par des modifications apportées aux évaluations de conformité réglementaire (disponibilité générale)
• Le champ API Évaluations « FirstEvaluationDate » et « StatusChangeDate » est désormais disponible dans les schémas d’espace de travail et les applications logiques
• Modèle de classeur « conformité au fil du temps » ajouté à la Galerie de classeurs Azure Monitor

Le connecteur Azure Sentinel comprend désormais une synchronisation d’alerte bidirectionnelle facultative (en préversion)

Security Center s’intègre en mode natif avec Azure Sentinel, la solution SIEM et SOAR cloud native d’Azure.

Azure Sentinel comprend des connecteurs intégrés pour Azure Security Center au niveau de l’abonnement et du locataire. Pour plus d’informations, consultez Diffuser en continu des alertes vers Azure Sentinel.

Lorsque vous connectez Azure Defender à Azure Sentinel, l’état des alertes Azure Defender qui sont ingérées dans Azure Sentinel est synchronisé entre les deux services. Ainsi, par exemple, lorsqu’une alerte est fermée dans Azure Defender, cette alerte s’affiche également comme étant fermée dans Azure Sentinel. La modification de l’état d’une alerte dans Azure Defender n’affecte pas l’état des incidents Azure Sentinel qui contiennent l’alerte Azure Sentinel synchronisée, uniquement celui de l’alerte synchronisée.

Lorsque vous activez la fonctionnalité de préversion, synchronisation d’alerte bidirectionnelle, elle synchronise automatiquement l’état des alertes Azure Defender d’origine avec les incidents Azure Sentinel qui contiennent des copies de ces alertes Azure Defender. Ainsi, par exemple, lorsqu’un incident Azure Sentinel contenant une alerte Azure Defender est fermé, Azure Defender ferme automatiquement l’alerte d’origine correspondante.

Apprenez-en davantage dans Connecter les alertes Azure Defender à partir d’Azure Security Center.

Réorganisation logique d’Azure Defender pour les alertes Gestionnaire des ressources

Les alertes énumérées ci-dessous ont été fournies dans le cadre du plan Azure Defender pour Resource Manager.

Dans le cadre d’une réorganisation logique de certains des plans Azure Defender, nous avons déplacé certaines alertes d’Azure Defender pour Resource Manager vers Azure Defender pour les serveurs.

Les alertes sont organisées en fonction de deux principes essentiels :

• Les alertes qui fournissent une protection de plan de contrôle, sur de nombreux types de ressources Azure, font partie d’Azure Defender pour Resource Manager
• Les alertes qui protègent des charges de travail spécifiques font partie du plan Azure Defender associé à la charge de travail correspondante.

Voici les alertes qui faisaient partie d’Azure Defender pour Resource Manager, et qui, suite à cette modification, font désormais partie d’Azure Defender pour les serveurs :

• ARM_AmBroadFilesExclusion
• ARM_AmDisablementAndCodeExecution
• ARM_AmDisablement
• ARM_AmFileExclusionAndCodeExecution
• ARM_AmTempFileExclusionAndCodeExecution
• ARM_AmTempFileExclusion
• ARM_AmRealtimeProtectionDisabled
• ARM_AmTempRealtimeProtectionDisablement
• ARM_AmRealtimeProtectionDisablementAndCodeExec
• ARM_AmMalwareCampaignRelatedExclusion
• ARM_AmTemporarilyDisablement
• ARM_UnusualAmFileExclusion
• ARM_CustomScriptExtensionSuspiciousCmd
• ARM_CustomScriptExtensionSuspiciousEntryPoint
• ARM_CustomScriptExtensionSuspiciousPayload
• ARM_CustomScriptExtensionSuspiciousFailure
• ARM_CustomScriptExtensionUnusualDeletion
• ARM_CustomScriptExtensionUnusualExecution
• ARM_VMAccessUnusualConfigReset
• ARM_VMAccessUnusualPasswordReset
• ARM_VMAccessUnusualSSHReset

En savoir plus sur les plans Azure Defender pour Resource Manager et Azure Defender pour les serveurs.

Améliorations apportées à la recommandation pour activer Azure Disk Encryption (ADE)

Suite aux commentaires des utilisateurs, nous avons renommé la recommandation Le chiffrement de disque doit être appliqué sur les machines virtuelles.

La nouvelle recommandation utilise le même ID d’évaluation et est appelée Les machines virtuelles doivent chiffrer les disques temporaires, les caches et les flux de données entre les ressources de calcul et de stockage.

La description a également été mise à jour pour mieux expliquer l’objectif de cette recommandation de sécurisation renforcée :

Recommandation	Description	Gravité
Les machines virtuelles doivent chiffrer les disques temporaires, les caches et les flux de données entre les ressources de calcul et de stockage	Par défaut, le système d’exploitation et les disques de données d’une machine virtuelle sont chiffrés au repos à l’aide de clés gérées par la plateforme. Les disques temporaires et les caches de données ne sont pas chiffrés, de même que les données lors de leur transmission entre des ressources de calcul et de stockage. Pour plus d’informations, consultez la comparaison des différentes technologies de chiffrement de disque utilisées dans Azure. Utilisez Azure Disk Encryption pour chiffrer toutes ces données. Ignorez cette recommandation si : (1) vous utilisez la fonctionnalité de chiffrement sur l’hôte, ou (2) le chiffrement côté serveur sur Managed Disks répond à vos besoins en matière de sécurité. Découvrez-en plus sur le chiffrement côté serveur du Stockage sur disque Azure.	Élevé

Exportation continue du score de sécurité et des données de conformité aux réglementations publiées pour la disponibilité générale (GA)

L'exportation continue fournit le mécanisme d’exportation de vos alertes de sécurité et des recommandations de suivi avec d’autres outils de surveillance dans votre environnement.

Lorsque vous configurez l’exportation continue, vous configurez les éléments exportés ainsi que leur emplacement. Apprenez-en davantage dans la présentation de l’exportation continue.

Nous avons amélioré et développé cette fonctionnalité au fil du temps :

• En novembre 2020, nous avons ajouté l’option en préversion pour diffuser les modifications apportées à votre score de sécurité.
  Pour plus d’informations, consultez Le score de sécurité est désormais disponible dans l’exportation continue (préversion).

• En décembre 2020, nous avons ajouté l’option en préversion pour transmettre en continu les modifications apportées à vos données d’évaluation de conformité réglementaire.
  Pour plus d’informations, consultez L’exportation continue permet d’obtenir de nouveaux types de données (préversion).

Avec cette mise à jour, ces deux options sont en disponibilité générale (GA).

Les automatisations de workflow peuvent être déclenchées par des modifications apportées aux évaluations de conformité réglementaire (disponibilité générale)

En février 2021, nous avons ajouté un troisième type de données en préversion aux options de déclencheur de vos automatisations de workflow : les modifications apportées aux évaluations de conformité réglementaire. Pour plus d’informations, consultez Les automatisations de workflow peuvent être déclenchées par des modifications apportées aux évaluations de conformité réglementaire.

Avec cette mise à jour, cette option de déclencheur est disponible en disponibilité générale.

Découvrez comment utiliser les outils d’automatisation des workflows dans Automatiser les réponses aux déclencheurs Security Center.

Le champ d’API d’évaluation « FirstEvaluationDate » et « StatusChangeDate » est désormais disponible dans les schémas d’espace de travail et les applications logiques

En mai 2021, nous avons mis à jour l’API Évaluation avec deux nouveaux champs, FirstEvaluationDate et StatusChangeDate. Pour plus d’informations, consultez Développement de l’API Évaluations avec deux nouveaux champs.

Ces champs étaient accessibles via l’API REST, Azure Resource Graph, l’exportation continue et les exportations CSV.

Avec cette modification, nous mettons à disposition les informations dans le schéma d’espace de travail Log Analytics et à partir d’applications logiques.

Modèle de classeur « conformité dans le temps » ajouté à la Galerie de classeurs Azure Monitor

En mars, nous avons annoncé l’expérience des classeurs Azure Monitor intégrés dans Security Center (voir Classeurs Azure Monitor intégrés dans Security Center et trois modèles fournis).

La version initiale comprenait trois modèles pour générer des rapports dynamiques et visuels relatifs à la posture de sécurité de votre organisation.

Nous avons maintenant ajouté un classeur dédié au suivi de la conformité d’un abonnement avec les normes réglementaires ou sectorielles qui s’y appliquent.

Apprenez-en davantage sur l’utilisation de ces rapports ou la création de vos propres rapports dans Créer des rapports interactifs et riches de données Security Center.

Juin 2021

Les mises à jour du mois de juin incluent :

• Nouvelle alerte pour Azure Defender pour Key Vault
• Recommandations pour chiffrer avec les clés gérées par le client (clés CMK) désactivées par défaut
• Préfixe des alertes Kubernetes « AKS_ » remplacé par « K8S_ »
• Deux recommandations du contrôle de sécurité « Appliquer les mises à jour système » dépréciées

Nouvelle alerte pour Azure Defender pour Key Vault

Pour développer les protections contre les menaces fournies par Azure Defender pour Key Vault, nous avons ajouté l’alerte suivante :

Alerte (type d’alerte)	Description	Tactique MITRE	Gravité
Accès à partir d’une adresse IP suspecte à un coffre de clés (KV_SuspiciousIPAccess)	Un coffre de clés a fait l’objet d’un accès réussi par une IP qui a été identifiée par Microsoft Threat Intelligence comme adresse IP suspecte. Cela peut indiquer que votre infrastructure a été compromise. Nous recommandons d’investiguer plus en profondeur. En savoir plus sur les capacités de renseignement sur les menaces de Microsoft.	Accès aux informations d’identification	Moyenne

Pour plus d'informations, consultez les pages suivantes :

• Présentation d’Azure Defender pour Key Vault
• Répondre aux alertes Azure Defender pour Key Vault
• Liste des alertes fournies par Azure Defender pour Key Vault

Recommandations pour chiffrer avec les clés gérées par le client (clés CMK) désactivées par défaut

Security Center comprend plusieurs recommandations pour chiffrer les données au repos avec des clés gérées par le client, telles que :

• Les registres de conteneurs doivent être chiffrés avec une clé gérée par le client (CMK)
• Les comptes Azure Cosmos DB doivent utiliser des clés gérées par le client pour chiffrer les données au repos
• Les espaces de travail Azure Machine Learning doivent être chiffrés avec une clé gérée par le client (CMK)

Dans Azure, les données sont chiffrées automatiquement à l’aide de clés gérées par la plateforme. Par conséquent, l’utilisation de clés gérées par le client doit être appliquée uniquement lorsque cela est nécessaire pour la conformité à une stratégie spécifique que votre organisation choisit de mettre en vigueur.

Avec cette modification, les recommandations d’utilisation de clés CMK sont désormais désactivées par défaut. Si cela est pertinent pour votre organisation, vous pouvez les activer en remplaçant le paramètre d’effet de la stratégie de sécurité correspondante par AuditIfNotExists ou Appliquer. En savoir plus dans Activer une recommandation de sécurité.

Cette modification est reflétée dans le nom de la recommandation avec un nouveau préfixe, [Activer si nécessaire] , comme indiqué dans les exemples suivants :

• [Activer si nécessaire] Les comptes de stockage doivent utiliser une clé gérée par le client pour chiffrer les données au repos
• [Activer si nécessaire] Les registres de conteneurs doivent être chiffrés avec une clé gérée par le client (CMK)
• [Activer si nécessaire] Les comptes Azure Cosmos DB doivent utiliser des clés gérées par le client pour chiffrer les données au repos

Préfixe des alertes Kubernetes « AKS_ » remplacé par « K8S_ »

Azure Defender pour Kubernetes s’est récemment développé pour protéger les clusters Kubernetes hébergés localement et dans plusieurs environnements multiclouds. Découvrez-en plus dans Utiliser Azure Defender pour Kubernetes afin de protéger les déploiements Kubernetes hybrides et multiclouds (en préversion).

Pour signifier que les alertes de sécurité fournies par Azure Defender pour Kubernetes ne sont plus limitées aux clusters sur Azure Kubernetes Service, nous avons remplacé le préfixe des types d’alertes « AKS_ » par « K8S_ ». Le cas échéant, les noms et les descriptions ont également été mis à jour. Par exemple, cette alerte :

Alerte (type d’alerte)	Description
Détection d’un outil de test d’intrusion Kubernetes (AKS_PenTestToolsKubeHunter)	L’analyse du journal d’audit de Kubernetes a détecté l’utilisation de l’outil de test d’intrusion Kubernetes dans le cluster AKS. Bien que ce comportement puisse être légitime, des attaquants peuvent utiliser ces outils publics à des fins malveillantes.

a été remplacée par :

Alerte (type d’alerte)	Description
Détection d’un outil de test d’intrusion Kubernetes (K8S_PenTestToolsKubeHunter)	L’analyse du journal d’audit de Kubernetes a détecté l’utilisation de l’outil de test d’intrusion Kubernetes dans le cluster Kubernetes. Bien que ce comportement puisse être légitime, des attaquants peuvent utiliser ces outils publics à des fins malveillantes.

Toutes les règles de suppression qui font référence à des alertes commençant par « AKS_ » ont été automatiquement converties. Si vous avez configuré des exportations SIEM ou des scripts d’automatisation personnalisés qui font référence à des alertes Kubernetes par type d’alerte, vous avez besoin de les mettre à jour avec les nouveaux types d’alerte.

Pour obtenir la liste complète des alertes Kubernetes, consultez Alertes pour les clusters Kubernetes.

Deux recommandations du contrôle de sécurité « Appliquer les mises à jour système » dépréciées

Les deux recommandations suivantes ont été dépréciées :

• La version du système d'exploitation (SE) doit être mise à jour pour vos rôles service cloud. Par défaut, Azure met régulièrement à jour votre SE invité vers la dernière image prise en charge d’un produit de la famille de SE que vous avez spécifiée dans votre configuration de service (.cscfg), tel que Windows Server 2016.
• Les services Kubernetes doivent être mis à niveau vers une version Kubernetes non vulnérable. Les évaluations de cette recommandation ne sont pas aussi étendues que nous le voulions. Nous prévoyons de remplacer la recommandation par une version améliorée qui est mieux adaptée à vos besoins en matière de sécurité.

Mai 2021

Les mises à jour du mois de mai incluent :

• Azure Defender pour DNS et Azure Defender pour Resource Manager en disponibilité générale
• Azure Defender pour les bases de données relationnelles open source en disponibilité générale
• Nouvelles alertes pour Azure Defender pour Resource Manager
• Analyse des vulnérabilités CI/CD des images conteneur avec les workflows GitHub et Azure Defender (préversion)
• Plus de requêtes Resource Graph disponibles pour certaines recommandations
• Changement de la gravité de la recommandation de classification des données SQL
• Nouvelles recommandations pour activer les fonctionnalités de lancement fiable (en préversion)
• Nouvelles recommandations pour renforcer les clusters Kubernetes (en préversion)
• Développement de l’API Évaluations avec deux nouveaux champs
• L’inventaire des ressources obtient un filtre d’environnement cloud

Azure Defender pour DNS et Azure Defender pour Resource Manager en disponibilité générale

Ces deux plans de protection contre les menaces au niveau cloud natif sont désormais en disponibilité générale.

Ces nouvelles protections améliorent nettement votre résilience face aux attaques des acteurs des menaces et accroissent considérablement le nombre de ressources Azure protégées par Azure Defender.

• Azure Defender pour Ressource Manager – Supervise automatiquement toutes les opérations de gestion de ressources effectuées dans votre organisation. Pour plus d'informations, consultez les pages suivantes :

  • Présentation d’Azure Defender pour Resource Manager
  • Répondre aux alertes Azure Defender pour Resource Manager
  • Liste des alertes fournies par Azure Defender pour Resource Manager

• Azure Defender pour DNS – Supervise en continu toutes les requêtes DNS émanant de vos ressources Azure. Pour plus d'informations, consultez les pages suivantes :

  • Présentation d’Azure Defender pour DNS
  • Répondre aux alertes Azure Defender pour DNS
  • Liste des alertes fournies par Azure Defender pour DNS

Pour simplifier le processus d’activation de ces plans, utilisez les recommandations suivantes :

• Azure Defender pour Resource Manager doit être activé
• Azure Defender pour DNS doit être activé

Notes

L’activation des plans Azure Defender engendre des frais. Découvrez-en plus sur les détails des prix par région dans la page des tarifs de Security Center.

Azure Defender pour les bases de données relationnelles open source en disponibilité générale

Azure Security Center étend son offre de protection SQL avec un nouveau bundle pour couvrir vos bases de données relationnelles open source :

• Azure Defender pour serveurs de base de données Azure SQL : défend vos serveurs Azure SQL natifs
• Azure Defender pour serveurs SQL sur des machines : étend les mêmes protections à vos serveurs SQL dans des environnements hybrides, multiclouds et locaux.
• Azure Defender pour les bases de données relationnelles open source : protège vos serveurs uniques Azure Database pour MySQL, pour PostgreSQL et for MariaDB

Azure Defender pour les bases de données relationnelles open source supervise en permanence vos serveurs à la recherche de menaces de sécurité et détecte les activités anormales de base de données indiquant des menaces potentielles envers Azure Database pour MySQL, pour PostgreSQL et for MariaDB. Quelques exemples :

• Détection précise des attaques par force brute : Azure Defender pour les bases de données relationnelles open source fournit des informations détaillées sur les attaques par force brute tentées et réussies. Cela vous permet d’investiguer et de répondre avec une meilleure compréhension de la nature et de l’état de l’attaque sur votre environnement.
• Détection des alertes comportementales : Azure Defender pour les bases de données relationnelles open source vous avertit des comportements suspects et inattendus sur vos serveurs, tels que les modifications apportées au modèle d’accès à votre base de données.
• Détection basée sur le renseignement sur les menaces : Azure Defender utilise le renseignement sur les menaces de Microsoft et la vaste base de connaissances pour exposer les alertes de menace afin que vous puissiez agir sur ces dernières.

Pour en savoir plus, consultez Présentation d’Azure Defender pour les bases de données relationnelles open source.

Nouvelles alertes pour Azure Defender pour Resource Manager

Pour développer les protections contre les menaces fournies par Azure Defender pour Resource Manager, nous avons ajouté les alertes suivantes :

Alerte (type d’alerte)	Description	Tactiques MITRE	Gravité
Autorisations accordées à un rôle RBAC de manière inhabituelle pour votre environnement Azure (préversion) (ARM_AnomalousRBACRoleAssignment)	Azure Defender pour Resource Manager a détecté une attribution de rôle RBAC qui est inhabituelle par rapport à d’autres attributions effectuées par le même attributeur / pour le même attributaire / dans votre locataire en raison des anomalies suivantes : heure d’attribution, adresse de l’attributeur, attributeur, méthode d’authentification, entités attribuées, logiciel client utilisé, extension d’attribution. Cette opération a probablement été effectuée par un utilisateur légitime de votre organisation. Elle peut également indiquer qu’un compte de votre organisation a été violé et que l’acteur de menaces tente d’accorder des autorisations à un autre compte d’utilisateur dont il est propriétaire.	Mouvement latéral, évasion de la défense	Moyenne
Rôle personnalisé privilégié créé pour votre abonnement de façon suspecte (préversion) (ARM_PrivilegedRoleDefinitionCreation)	Azure Defender pour Resource Manager a détecté une création suspecte de définition de rôle personnalisé privilégié dans votre abonnement. Cette opération a probablement été effectuée par un utilisateur légitime de votre organisation. Elle peut également indiquer qu’un compte de votre organisation a été violé et que l’acteur de menaces tente de créer un rôle privilégié qu’il utilisera pour s’évader de la détection.	Mouvement latéral, évasion de la défense	Faible
Opération Azure Resource Manager depuis une adresse IP suspecte (préversion) (ARM_OperationFromSuspiciousIP)	Azure Defender pour Resource Manager a détecté une opération depuis une adresse IP qui a été marquée comme suspecte dans les flux de renseignement sur les menaces.	Exécution	Moyenne
Opération Azure Resource Manager depuis une adresse IP proxy suspecte (préversion) (ARM_OperationFromSuspiciousProxyIP)	Azure Defender pour Resource Manager a détecté une opération de gestion des ressources depuis une adresse IP associée à des services proxy comme TOR. Bien que ce comportement puisse être légitime, il est souvent observé dans le cadre d’activités malveillantes, lorsque les acteurs de menaces tentent de dissimuler leur IP source.	Évasion de défense	Moyenne

Pour plus d'informations, consultez les pages suivantes :

• Présentation d’Azure Defender pour Resource Manager
• Répondre aux alertes Azure Defender pour Resource Manager
• Liste des alertes fournies par Azure Defender pour Resource Manager

Analyse des vulnérabilités CI/CD des images conteneur avec les workflows GitHub et Azure Defender (préversion)

Azure Defender pour les registres de conteneurs offre désormais aux équipes DevSecOps une observabilité des workflows GitHub Actions.

La nouvelle fonctionnalité d’analyse des vulnérabilités pour les images conteneur, utilisant Trivy, vous aide à rechercher les vulnérabilités courantes dans leurs images conteneur avant d’envoyer les images vers des registres de conteneurs.

Les rapports d’analyse de conteneur sont résumés dans Azure Security Center, ce qui offre aux équipes de sécurité un meilleur insight et une meilleure compréhension de la source des images conteneur vulnérables ainsi que des workflows et dépôts desquels elles proviennent.

Apprenez-en davantage dans Identifier les images conteneur vulnérables dans vos workflows CI/CD.

Plus de requêtes Resource Graph disponibles pour certaines recommandations

Toutes les recommandations de Security Center permettent d’afficher les informations relatives à l’état des ressources affectées en utilisant Azure Resource Graph à partir du bouton Ouvrir une requête. Pour obtenir tous les détails sur cette fonctionnalité puissante, consultez Examiner les données de recommandation dans l’Explorateur Azure Resource Graph (ARG).

Security Center comporte des analyseurs de vulnérabilités intégrés pour analyser vos machines virtuelles, vos serveurs SQL et leurs hôtes ainsi que les registres de conteneurs pour les vulnérabilités de sécurité. Les résultats sont retournés sous forme de recommandations avec toutes les découvertes individuelles pour chaque type de ressource rassemblées dans une vue unique. Les recommandations sont les suivantes :

• Les vulnérabilités dans les images Azure Container Registry doivent être corrigées (avec Qualys)
• Les vulnérabilités de vos machines virtuelles doivent être corrigées
• Les résultats des vulnérabilités des bases de données SQL doivent être résolus
• Les résultats des vulnérabilités des serveurs SQL Server sur les machines doivent être résolus

Une fois cette modification apportée, vous pouvez aussi utiliser le bouton Ouvrir une requête pour ouvrir la requête qui affiche les résultats de la sécurité.

Le bouton Ouvrir une requête offre des options supplémentaires pour d’autres recommandations, le cas échéant.

Découvrez plus d’informations sur les analyseurs de vulnérabilités de Security Center :

• Analyseur de vulnérabilités intégré Qualys d’Azure Defender pour les machines Azure et hybrides
• Analyseur d’évaluation des vulnérabilités intégré d’Azure Defender pour les serveurs SQL
• Analyseur d’évaluation des vulnérabilités intégré d’Azure Defender pour les registres de conteneurs

Changement de la gravité de la recommandation de classification des données SQL

La gravité de la recommandation Les données sensibles de vos bases de données SQL doivent être classifiées est passée d’élevé à un niveau faible.

Cela fait partie d’une modification en cours de cette recommandation annoncée dans notre prochaine page de modifications.

Nouvelles recommandations pour activer les fonctionnalités de lancement fiable (en préversion)

Azure propose le lancement fiable pour améliorer de manière fluide la sécurité des machines virtuelles de 2e génération. Le lancement fiable protège contre les techniques d’attaque avancées et persistantes. Le lancement fiable se compose de plusieurs technologies d’infrastructure coordonnées qui peuvent être activées indépendamment. Chaque technologie offre une couche de défense supplémentaire contre les menaces sophistiquées. Apprenez-en davantage dans Lancement fiable pour les machines virtuelles Azure.

Important

Le lancement fiable requiert la création de nouvelles machines virtuelles. Vous ne pouvez pas activer le lancement fiable sur les machines virtuelles existantes qui ont été créées initialement sans cette fonctionnalité.

Le lancement fiable est actuellement disponible en préversion publique. La préversion est fournie sans contrat de niveau de service et n’est pas recommandée pour les charges de travail de production. Certaines fonctionnalités peuvent être limitées ou non prises en charge.

La recommandation de Security Center, vTPM doit être activé sur les machines virtuelles prises en charge, garantit que vos machines virtuelles Azure utilisent un vTPM. Cette version virtualisée d’un module de plateforme sécurisée matériel permet d’effectuer l’attestation en mesurant la chaîne de démarrage complète de votre machine virtuelle (UEFI, système d’exploitation, système et pilotes).

Lorsque le vTPM est activé, l’extension Attestation d’invité peut valider à distance le démarrage sécurisé. Les recommandations suivantes garantissent le déploiement de cette extension :

• Le démarrage sécurisé doit être activé sur les machines virtuelles Windows prises en charge
• L’extension Attestation d’invité doit être installée sur les machines virtuelles Windows prises en charge
• L’extension Guest Attestation doit être installée sur les groupes Virtual Machine Scale Sets Windows pris en charge
• L’extension Attestation d’invité doit être installée sur les machines virtuelles Linux prises en charge
• L’extension Guest Attestation doit être installée sur les groupes Virtual Machine Scale Sets Linux pris en charge

Apprenez-en davantage dans Lancement fiable pour les machines virtuelles Azure.

Nouvelles recommandations pour renforcer les clusters Kubernetes (en préversion)

Les recommandations suivantes vous permettent de renforcer davantage vos clusters Kubernetes

• Les clusters Kubernetes ne doivent pas utiliser l’espace de noms par défaut : pour éviter tout accès non autorisé aux types de ressources ConfigMap, Pod, Secret, Service et ServiceAccount, empêchez l’utilisation de l’espace de noms par défaut dans les clusters Kubernetes.
• Les clusters Kubernetes doivent désactiver le montage automatique des informations d’identification d’API : pour empêcher une ressource Pod potentiellement compromise d’exécuter des commandes API sur des clusters Kubernetes, désactivez le montage automatique des informations d’identification de l’API.
• Les clusters Kubernetes ne doivent pas octroyer de fonctionnalités de sécurité CAPSYSADMIN

Découvrez comment Security Center peut protéger vos environnements conteneurisés dans Sécurité des conteneurs dans Security Center.

Développement de l’API Évaluations avec deux nouveaux champs

Nous avons ajouté les deux champs suivants à l’API REST Évaluations :

• FirstEvaluationDate : Heure à laquelle la recommandation a été créée et évaluée pour la première fois. Retournée sous forme de temps universel coordonné (UTC) au format ISO 8601.
• StatusChangeDate : Heure de la dernière modification de l’état de la recommandation. Retournée sous forme de temps universel coordonné (UTC) au format ISO 8601.

La valeur initiale par défaut de ces champs (pour toutes les recommandations) est 2021-03-14T00:00:00+0000000Z.

Pour accéder à ces informations, vous pouvez utiliser l’une des méthodes indiquées dans le tableau ci-dessous.

Outil	Détails
Appel d’API REST	GET https://management.azure.com/subscriptions/<SUBSCRIPTION_ID>/providers/Microsoft.Security/assessments?api-version=2019-01-01-preview&$expand=statusEvaluationDates
Azure Resource Graph	securityresources where type == "microsoft.security/assessments"
Exportation continue	Les deux champs dédiés seront disponibles dans les données de l’espace de travail Log Analytics
Exportation CSV	Les deux champs sont inclus dans les fichiers CSV.

Découvrez-en plus sur l’API REST Évaluations.

L’inventaire des ressources obtient un filtre d’environnement cloud

La page d’inventaire des ressources de Security Center propose de nombreux filtres pour affiner rapidement la liste des ressources affichées. Pour en savoir plus, consultez Explorer et gérer vos ressources avec l’inventaire des ressources.

Un nouveau filtre offre la possibilité d’affiner la liste en fonction des comptes cloud que vous avez connectés avec les fonctionnalités multiclouds de Security Center :

Découvrez plus d’informations sur les fonctionnalités multiclouds :

• Connecter vos comptes AWS à Azure Security Center
• Connecter vos projets GCP à Azure Security Center

Avril 2021

Les mises à jour du mois d’avril incluent :

• Actualisation de la page d’intégrité des ressources (en préversion)
• Les images de registre de conteneurs qui ont été récemment extraites sont à présent réanalysées chaque semaine (en disponibilité générale)
• Utiliser Azure Defender pour Kubernetes afin de protéger les déploiements Kubernetes hybrides et multiclouds (en préversion)
• L’intégration de Microsoft Defender pour point de terminaison à Azure Defender prend désormais en charge Windows Server 2019 et Windows 10 sur Windows Virtual Desktop (WVD) publié en disponibilité générale
• Recommandations concernant l’activation d’Azure Defender pour DNS et de Resource Manager (en préversion)
• Ajout de trois normes de conformité réglementaire : Azure CIS 1.3.0, CMMC niveau 3 et New Zealand ISM Restricted
• Quatre nouvelles recommandations relatives à la configuration des invités (en préversion)
• Recommandations CMK déplacées dans le contrôle de sécurité des bonnes pratiques
• Onze alertes Azure Defender déconseillées
• Deux recommandations du contrôle de sécurité « Appliquer les mises à jour système » sont désormais déconseillées
• Vignette « Azure Defender pour SQL sur des machines » supprimée du tableau de bord Azure Defender
• 21 recommandations ont été déplacé entre les contrôles de sécurité

Actualisation de la page d’intégrité des ressources (en préversion)

L’intégrité des ressources a été développée, améliorée et perfectionnée pour fournir une vue instantanée de l’état d’intégrité global d’une ressource unique.

Vous pouvez consulter des informations détaillées sur la ressource et toutes les recommandations qui s’y appliquent. De plus, si vous utilisez les plans de protection avancée de Microsoft Defender, les alertes de sécurité en suspens pour cette ressource spécifique s’affichent également.

Pour ouvrir la page d’intégrité des ressources pour une ressource, sélectionnez n’importe quelle ressource dans la page d’inventaire des ressources.

Cette page d’aperçu dans les pages du portail de Security Center affiche les éléments suivants :

1. Informations sur la ressource : groupe de ressources et abonnement auxquels elle est associée, emplacement géographique, etc.
2. Fonctionnalité de sécurité appliquée : indique si Azure Defender est activé pour la ressource.
3. Nombre de recommandations en suspens et d’alertes : nombre de recommandations de sécurité en suspens et d’alertes Azure Defender.
4. Recommandations et alertes actionnables : deux onglets listent les recommandations et les alertes qui s’appliquent à la ressource.

Découvrez-en plus dans le Tutoriel : Examiner l’intégrité de vos ressources.

Les images de registre de conteneurs qui ont été récemment extraites sont à présent réanalysées chaque semaine (en disponibilité générale)

Azure Defender pour les registres de conteneurs comprend un analyseur de vulnérabilité intégré. Cet analyseur analyse immédiatement toute image que vous envoyez à votre registre et toute image extraite au cours des 30 derniers jours.

De nouvelles vulnérabilités sont découvertes tous les jours. Avec cette mise à jour, les images conteneur qui ont été extraites de vos registres au cours des 30 derniers jours sont réanalysées chaque semaine. Procéder ainsi permet de s’assurer que les vulnérabilités nouvellement découvertes sont identifiées dans vos images.

L’analyse est facturée par image, aucuns frais supplémentaires ne sont donc facturés pour ces analyses.

Apprenez-en davantage sur cet analyseur en consultant Analyse des vulnérabilités dans les images avec Azure Defender pour les registres de conteneurs.

Utiliser Azure Defender pour Kubernetes afin de protéger les déploiements Kubernetes hybrides et multiclouds (en préversion)

Azure Defender pour Kubernetes étend ses fonctionnalités de protection contre les menaces afin de protéger vos clusters où qu'ils soient déployés. L’intégration de Kubernetes avec Azure Arc et de ses nouvelles capacités d’extensions a rendu cela possible.

Lorsque vous avez activé Azure Arc sur vos clusters Kubernetes non Azure, une nouvelle recommandation d'Azure Security Center propose d'y déployer l'agent Azure Defender en quelques clics seulement.

Utilisez la recommandation (L’extension d’Azure Defender doit être installée sur les clusters Kubernetes avec Azure Arc) et l’extension pour protéger les clusters Kubernetes déployés via d’autres fournisseurs de cloud, mais pas sur leurs services Kubernetes managés.

Cette intégration entre Azure Security Center, Azure Defender et Kubernetes avec Azure Arc offre les avantages suivants :

• Approvisionnement aisé de l'agent Azure Defender sur les clusters Kubernetes avec Azure Arc non protégés (manuellement et à grande échelle)
• Surveillance de l'agent Azure Defender et de son état d'approvisionnement à partir du portail Azure Arc
• Les recommandations de sécurité de Security Center sont signalées sur la nouvelle page Sécurité du portail Azure Arc
• Les menaces de sécurité identifiées par Azure Defender sont signalées sur la nouvelle page Sécurité du portail Azure Arc
• Les clusters Kubernetes avec Azure Arc sont intégrés à la plateforme et à l’expérience Azure Security Center

Pour en savoir plus, consultez Utiliser Azure Defender pour Kubernetes avec vos clusters Kubernetes locaux et multicloud.

L’intégration de Microsoft Defender pour point de terminaison à Azure Defender prend désormais en charge Windows Server 2019 et Windows 10 sur Windows Virtual Desktop (WVD) publié en disponibilité générale

Microsoft Defender for Endpoint est une solution holistique de sécurité des points de terminaison dans le cloud. Il fournit une gestion et une évaluation des vulnérabilités basées sur les risques ainsi que la détection et la réponse des points de terminaison (EDR). Pour obtenir la liste complète des avantages de l’utilisation de Defender pour point de terminaison avec Azure Security Center, consultez Protéger vos points de terminaison avec la solution EDR intégrée de Security Center : Microsoft Defender pour point de terminaison.

Quand vous activez Azure Defender pour les serveurs sur Windows Server, le plan inclut une licence pour Defender pour point de terminaison. Si vous avez déjà activé Azure Defender pour les serveurs et que vous disposez de serveurs Windows Server 2019 dans votre abonnement, ceux-ci recevront automatiquement Defender pour point de terminaison avec cette mise à jour. Aucune action manuelle n’est nécessaire.

La prise en charge a été étendue de façon à inclure Windows Server 2019 et Windows 10 sur Windows Virtual Desktop.

Notes

Si vous activez Defender pour point de terminaison sur un serveur Windows Server 2019, vérifiez que la solution répond aux prérequis décrits dans Activer l’intégration de Microsoft Defender pour point de terminaison.

Recommandations concernant l’activation d’Azure Defender pour DNS et de Resource Manager (en préversion)

Deux nouvelles recommandations ont été ajoutées afin de simplifier le processus d’activation d’Azure Defender pour Resource Manager et d’Azure Defender pour DNS:

• Azure Defender pour Resource Manager doit être activé - Defender pour Resource Manager supervise automatiquement toutes les opérations de gestion de ressources dans votre organisation. Azure Defender détecte les menaces et vous alerte sur les activités suspectes.
• Azure Defender pour DNS doit être activé - Defender pour DNS fournit une couche supplémentaire de protection pour vos ressources cloud en supervisant en continu toutes les requêtes DNS émises par vos ressources Azure. Azure Defender vous avertit des activités suspectes au niveau de la couche DNS.

L’activation des plans Azure Defender engendre des frais. Découvrez-en plus sur les détails des prix par région dans la page des tarifs de Security Center.

Conseil

Les recommandations en préversion ne rendent pas une ressource non saine et ne sont pas incluses dans les calculs de votre degré de sécurisation. Corrigez-les là où c’est possible, de sorte que quand la période de préversion se termine, elles soient prises en compte dans le calcul de votre degré de sécurisation. Découvrez comment répondre à ces recommandations dans Corriger les recommandations dans Azure Security Center.

Ajout de trois normes de conformité réglementaire : Azure CIS 1.3.0, CMMC niveau 3 et New Zealand ISM Restricted

Nous avons ajouté trois normes à utiliser avec Azure Security Center. À l’aide du tableau de bord de conformité réglementaire, vous pouvez désormais suivre votre conformité avec :

• CIS Microsoft Azure Foundations Benchmark 1.3.0
• CMMC niveau 3
• New Zealand ISM Restricted

Vous pouvez les attribuer à vos abonnements comme décrit dans Personnaliser l’ensemble de normes du tableau de bord de conformité réglementaire.

Pour en savoir plus :

• Personnaliser l’ensemble de normes du tableau de bord de conformité réglementaire
• Tutoriel : Améliorer votre conformité aux normes
• Questions fréquentes (FAQ) - Tableau de bord de conformité réglementaire

Quatre nouvelles recommandations relatives à la configuration des invités (en préversion)

L'extension Configuration des invités d'Azure effectue des signalements auprès de Security Center pour renforcer les paramètres relatifs aux invités de vos machines virtuelles. L'extension n'est pas nécessaire pour les serveurs avec Arc car elle est incluse dans l’Agent de la machine connectée Arc. L'extension nécessite une identité gérée par le système sur la machine.

Nous avons ajouté quatre nouvelles recommandations à Security Center pour tirer le meilleur parti de cette extension.

• Deux recommandations vous invitent à installer l'extension et l'identité gérée par le système correspondante :

  • L’extension Guest Configuration doit être installée sur vos machines
  • L’extension Guest Configuration des machines virtuelles doit être déployée avec une identité managée attribuée par le système

• Une fois l'extension installée et exécutée, elle commence l'audit de vos machines et vous êtes invité à renforcer les paramètres tels que la configuration du système d'exploitation et les paramètres d'environnement. Les deux recommandations suivantes vous inviteront à renforcer vos machines Windows et Linux comme décrit :

  • Windows Defender Exploit Guard doit être activé sur vos machines
  • L’authentification auprès des machines Linux doit exiger des clés SSH

Pour en savoir plus, consultez Présentation de la fonctionnalité de configuration des invités d'Azure Policy.

Les recommandations CMK ont été déplacées dans le contrôle de sécurité des bonnes pratiques

Le programme de sécurité de chaque organisation comprend des exigences en matière de chiffrement de données. Par défaut, les données des clients Azure sont chiffrées au repos avec des clés gérées par le service. Toutefois, les clés gérées par le client (CMK) sont généralement nécessaires pour répondre aux normes de conformité réglementaire. Les CMK vous permettent de chiffrer vos données avec une clé Azure Key Vault que vous avez créée et dont vous êtes le propriétaire. Ainsi, le contrôle total et la responsabilité du cycle de vie des clés, notamment leur permutation et leur gestion, vous sont donnés.

Les contrôles de sécurité d’Azure Security Center sont des groupes logiques de recommandations de sécurité associées, qui reflètent vos surfaces d’attaque vulnérables. Chaque contrôle comprend un nombre maximal de points que vous pouvez ajouter à votre degré de sécurisation si vous appliquez toutes les recommandations indiquées dans le contrôle, pour toutes vos ressources. Le contrôle de sécurité Implémenter les bonnes pratiques de sécurité vaut zéro point. Les recommandations de ce contrôle n’ont donc pas d’incidence sur votre degré de sécurisation.

Les recommandations listées ci-dessous sont en cours de déplacement vers le contrôle de sécurité Implémenter les bonnes pratiques de sécurité pour mieux refléter leur nature facultative. Ce déplacement garantit que ces recommandations se trouvent dans le contrôle le plus approprié pour atteindre leur objectif.

• Les comptes Azure Cosmos DB doivent utiliser des clés gérées par le client pour chiffrer les données au repos
• Les espaces de travail Azure Machine Learning doivent être chiffrés avec une clé gérée par le client (CMK)
• Les comptes Azure AI services doivent activer le chiffrement des données avec une clé gérée par le client (CMK)
• Les registres de conteneurs doivent être chiffrés avec une clé gérée par le client (CMK)
• Les instances gérées SQL doivent utiliser des clés gérées par le client pour chiffrer les données au repos
• Les serveurs SQL doivent utiliser des clés gérées par le client pour chiffrer les données au repos
• Les comptes de stockage doivent utiliser une clé gérée par le client (CMK) pour le chiffrement

Découvrez les recommandations de chaque contrôle de sécurité dans Contrôles de sécurité et leurs recommandations.

Onze alertes Azure Defender déconseillées

Les onze alertes Azure Defender répertoriées ci-dessous sont désormais déconseillées.

• Ces deux alertes seront remplacées par de nouvelles alertes offrant une meilleure couverture :

  AlertType	AlertDisplayName
  ARM_MicroBurstDomainInfo	PRÉVERSION - Détection de l’exécution de la fonction « Get-AzureDomainInfo » du kit de ressources MicroBurst
  ARM_MicroBurstRunbook	PRÉVERSION - Détection de l’exécution de la fonction « Get-AzurePasswords » du kit de ressources MicroBurst

• Les neuf alertes suivantes concernent un connecteur IPC (Azure Active Directory Identity Protection) déjà déconseillé :

  AlertType	AlertDisplayName
  UnfamiliarLocation	Propriétés de connexion inhabituelles
  AnonymousLogin	Adresse IP anonyme
  InfectedDeviceLogin	Adresse IP liée à un programme malveillant
  ImpossibleTravel	Voyage inhabituel
  MaliciousIP	Adresse IP malveillante
  LeakedCredentials	Informations d’identification divulguées
  PasswordSpray	Pulvérisation de mots de passe
  LeakedCredentials	Azure AD Threat Intelligence
  AADAI	Azure AD AI

  Conseil

  Ces neuf alertes IPC n'ont jamais été des alertes Security Center. Elles font partie du connecteur IPC (Identity Protection Connector) AAD (Azure Active Directory) qui les envoyait à Security Center. Ces deux dernières années, les seuls clients qui ont vu ces alertes sont les organisations qui avaient configuré l'exportation (du connecteur vers ASC) en 2019 ou avant. Le connecteur IPC AAD a continué à les afficher dans ses propres systèmes d'alertes et elles sont restées disponibles dans Azure Sentinel. Le seul changement est qu'elles n'apparaissent plus dans Security Center.

Deux recommandations du contrôle de sécurité « Appliquer les mises à jour système » sont désormais déconseillées

Les deux recommandations suivantes sont désormais déconseillées et les changements peuvent avoir un léger impact sur votre niveau de sécurité :

• Vos machines doivent être redémarrées pour appliquer les mises à jour système
• L’agent de surveillance doit être installé sur vos machines. Cette recommandation se réfère uniquement aux machines locales, et une partie de sa logique sera transférée vers une autre recommandation : Les problèmes d'intégrité de l'agent Log Analytics doivent être résolus sur vos machines.

Nous vous recommandons de vérifier vos configurations d’exportation continue et d’automatisation du workflow pour voir si ces recommandations y sont incluses. En outre, tous les tableaux de bord et autres outils de supervision susceptibles de les utiliser doivent être mis à jour en conséquence.

Pour plus d’informations sur ces recommandations, consultez la page de référence sur les recommandations de sécurité.

Vignette « Azure Defender pour SQL sur des machines » supprimée du tableau de bord Azure Defender

La zone de couverture du tableau de bord Azure Defender comprend des vignettes correspondant aux plans Azure Defender concernés de votre environnement. En raison d’un problème lié au signalement du nombre de ressources protégées et non protégées, nous avons décidé de supprimer temporairement l’état de couverture des ressources pour Azure Defender pour SQL sur des machines jusqu’à ce que le problème soit résolu.

21 recommandations déplacées entre les contrôles de sécurité

Les recommandations suivantes ont été déplacées vers d’autres contrôles de sécurité. Les contrôles de sécurité sont des groupes logiques de recommandations de sécurité associées, qui reflète les surfaces d’attaque vulnérables. Ce déplacement garantit que toutes ces recommandations sont dans le contrôle le plus approprié pour atteindre son objectif.

Découvrez les recommandations de chaque contrôle de sécurité dans Contrôles de sécurité et leurs recommandations.

Recommandation	Modification et impact
L’évaluation des vulnérabilités doit être activée sur vos serveurs SQL L’évaluation des vulnérabilités doit être activée sur vos instances managées SQL Les vulnérabilités de vos bases de données SQL doivent être corrigées Les vulnérabilités sur vos bases de données SQL dans les machines virtuelles doivent être corrigées	Déplacement de Corriger les vulnérabilités (d’une valeur de 6 points) vers Corriger les configurations de sécurité (d’une valeur de 4 points). Ces recommandations ont un impact réduit sur votre score, en fonction de votre environnement.
Plusieurs propriétaires doivent être affectés à votre abonnement Les variables de compte Automation doivent être chiffrées Appareils IoT – Le processus audité a arrêté d’envoyer des événements Appareils IoT – Échec de la validation de la base du système d’exploitation Appareils IoT – Mise à niveau de la suite de chiffrement TLS requise Appareils IoT – Ports ouverts sur l’appareil Appareils IoT – Stratégie de pare-feu permissive trouvée dans l’une des chaînes Appareils IoT – Règle de pare-feu permissive trouvée dans la chaîne d’entrée Appareils IoT – Règle de pare-feu permissive trouvée dans la chaîne de sortie Les journaux de diagnostic dans IoT Hub doivent être activés Appareils IoT – Agent envoyant des messages sous-exploités Appareils IoT : la stratégie de filtre IP par défaut devrait être refusée Appareils IoT : plage d’adresses IP large pour la règle de filtre IP Appareils IoT : les intervalles et la taille des messages des agents doivent être ajustés Appareils IoT : informations d’identification et d’authentification identiques Appareils IoT : le processus audité a arrêté d’envoyer des événements Appareils IoT : la configuration de ligne de base du système d’exploitation doit être corrigée	Déplacement vers Implémenter les meilleures pratiques de sécurité. Lorsqu’une recommandation se déplace vers le contrôle de sécurité Implémenter les bonnes pratiques de sécurité, ce qui n’est pas du tout judicieux, la recommandation n’affecte plus votre score sécurisé.

Mars 2021

Les mises à jour du mois de mars incluent :

• Gestion du Pare-feu Azure intégrée à Security Center
• L’évaluation des vulnérabilités SQL comprend désormais l’expérience « Désactiver la règle » (préversion)
• Classeurs Azure Monitor intégrés dans Security Center et trois modèles fournis
• Le tableau de bord de conformité réglementaire comprend désormais les rapports d’audit Azure (préversion)
• Les données de recommandation peuvent être consultées dans Azure Resource Graph avec « Explorer dans ARG »
• Mises à jour des stratégies pour le déploiement de l’automatisation des workflows
• Deux recommandations héritées n’écrivent plus de données directement dans le journal d’activité Azure
• Améliorations de la page Suggestions

Gestion du Pare-feu Azure intégrée à Security Center

Lorsque vous ouvrez Azure Security Center, la première page qui s’affiche est la page de présentation.

Ce tableau de bord interactif fournit une vue unifiée de la posture de sécurité de vos charges de travail cloud hybrides. En outre, elle affiche des alertes de sécurité, des informations de couverture, etc.

Pour vous aider à visualiser l’état de votre sécurité avec une expérience centralisée, nous avons intégré Azure Firewall Manager à ce tableau de bord. Vous pouvez désormais vérifier l’état de couverture du Pare-feu sur tous les réseaux et gérer de façon centralisée les stratégies de pare-feu Azure à partir de Security Center.

En savoir plus sur ce tableau de bord dans la page Vue d’ensemble d’Azure Security Center.

L’évaluation des vulnérabilités SQL comprend désormais l’expérience « Désactiver la règle » (préversion)

Security Center comprend un analyseur de vulnérabilités intégré pour vous aider à découvrir, suivre et corriger les vulnérabilités potentielles des bases de données. Les résultats de vos analyses d’évaluation fournissent une vue d’ensemble de l’état de sécurité de vos machines SQL ainsi que des détails sur les éventuels problèmes de sécurité découverts.

Si votre organisation préfère ignorer un résultat, plutôt que de le corriger, vous pouvez éventuellement désactiver cette fonction. Les résultats désactivés n’ont pas d’impact sur votre Niveau de sécurité ni ne génèrent de bruit indésirable.

Pour plus d’informations, consultez Désactiver des découvertes spécifiques.

Classeurs Azure Monitor intégrés dans Security Center et trois modèles fournis

Dans le cadre d’Ignite Spring 2021, nous avons annoncé une expérience intégrée des classeurs Azure Monitor dans Security Center.

Vous pouvez recourir à la nouvelle intégration pour commencer à utiliser les modèles prêts à l’emploi de la galerie de Security Center. En utilisant des modèles de classeurs, vous pouvez accéder à des rapports dynamiques et visuels et en créer pour suivre la posture de sécurité de votre organisation. Vous pouvez aussi créer des classeurs basés sur des données Security Center ou tout autre type de données pris en charge, et déployer rapidement des classeurs de communauté de la communauté GitHub de Security Center.

Trois modèles de rapport sont fournis :

• Évolution du degré de sécurisation : suivez les scores de vos abonnements et les modifications apportées aux recommandations pour vos ressources
• Mises à jour du système : visualisez les mises à jour système manquantes par ressources, système d’exploitation, gravité, etc.
• Résultats de l’évaluation des vulnérabilités : visualisez les découvertes des analyses de vulnérabilités de vos ressources Azure

Apprenez-en davantage sur l’utilisation de ces rapports ou la création de vos propres rapports dans Créer des rapports interactifs et riches de données Security Center.

Le tableau de bord de conformité réglementaire comprend désormais les rapports d’audit Azure (préversion)

À partir de la barre d’outils du tableau de bord de conformité réglementaire, vous pouvez désormais télécharger les rapports de certification Azure et Dynamics.

Vous pouvez sélectionner l’onglet pour les types de rapports appropriés (PCI, SOC, ISO et autres) et utiliser des filtres pour rechercher les rapports spécifiques dont vous avez besoin.

En savoir plus sur la Gestion des normes dans votre tableau de bord de conformité réglementaire.

Les données de recommandation peuvent être consultées dans Azure Resource Graph avec « Explorer dans ARG »

Les pages de détails de recommandation incluent désormais le bouton de barre d’outils « Explorer dans ARG ». Utilisez ce bouton pour ouvrir une requête Azure Resource Graph et explorer, exporter et partager les données de la recommandation.

Azure Resource Graph (ARG) fournit un accès instantané aux informations relatives aux ressources de vos environnements cloud avec des fonctionnalités robustes de filtrage, de regroupement et de tri. Il s’agit d’un moyen rapide et efficace de demander des informations dans les abonnements Azure par programmation ou depuis le Portail Azure.

Apprenez-en davantage sur Azure Resource Graph (ARG).

Mises à jour des stratégies pour le déploiement de l’automatisation des workflows

L’automatisation des processus d’analyse et de réponse aux incidents de votre organisation peut réduire de manière significative le temps requis pour examiner et atténuer les incidents de sécurité.

Nous fournissons trois stratégies Azure Policy « DeployIfNotExist » qui créent et configurent des procédures d’automatisation des workflows pour vous permettre de déployer vos automatisations dans votre organisation :

Objectif	Policy	ID de stratégie
Automatisation du flux de travail pour les alertes de sécurité	Déployer l’automatisation de workflow pour les alertes Azure Security Center	f1525828-9a90-4fcf-be48-268cdd02361e
Automatisation du flux de travail pour les recommandations de sécurité	Déployer l’automatisation de workflow pour les recommandations Azure Security Center	73d6ab6c-2475-4850-afd6-43795f3492ef
Automatisation des workflows pour les modifications de conformité réglementaire	Déployer l’automatisation des workflows pour la conformité réglementaire Azure Security Center	509122b9-ddd9-47ba-a5f1-d0dac20be63c

Il existe deux mises à jour des fonctionnalités de ces stratégies :

• Quand elles sont affectées, leur activation reste appliquée.
• Vous pouvez maintenant personnaliser ces stratégies et mettre à jour les paramètres, même s’ils ont déjà été déployés. Par exemple, vous pouvez ajouter ou modifier une clé d’évaluation.

Prise en main des modèles d’automatisation de flux de travail.

En savoir plus sur la façon d’Automatiser les réponses aux déclencheurs Security Center.

Deux recommandations héritées n’écrivent plus de données directement dans le journal d’activité Azure

Security Center transmet les données de la quasi totalité des recommandations de sécurité à Azure Advisor qui, à son tour, les écrit dans le journal d’activité Azure.

Pour deux recommandations, les données sont écrites simultanément et directement dans le journal d’activité Azure. Avec cette modification, Security Center cesse d’écrire des données pour ces recommandations de sécurité héritées directement dans le journal d’activité. Au lieu de cela, nous exportons les données vers Azure Advisor, comme c’est le cas pour toutes les autres recommandations.

Les deux recommandations héritées sont les suivantes :

• Les problèmes d’intégrité de la protection du point de terminaison doivent être résolus sur vos machines
• Les vulnérabilités de la configuration de sécurité sur vos machines doivent être corrigées

Si vous accédiez à des informations pour ces deux recommandations dans la catégorie « Recommandation de type TaskDiscovery » du journal d’activité, ces informations ne sont plus disponibles.

Améliorations de la page Suggestions

Nous avons publié une version améliorée de la liste des suggestions pour présenter plus d’informations en un clin d’œil.

Sur cette page, vous verrez désormais :

1. Score maximal et score actuel pour chaque contrôle de sécurité.
2. Icônes qui remplaçant des balises telles que Corriger et Version préliminaire.
3. Une nouvelle colonne présentant l'initiative de stratégie associée à chaque suggestion ; visible lorsque « Regrouper par contrôles » est désactivé.

Apprenez-en davantage dans Recommandations de sécurité dans Azure Security Center.

Février 2021

Les mises à jour de février sont les suivantes :

• Nouvelle page d’alertes de sécurité dans le portail Azure en disponibilité générale
• Les recommandations en matière de protection des charges de travail Kubernetes sont en disponibilité générale
• L’intégration de Microsoft Defender pour point de terminaison à Azure Defender prend désormais en charge Windows Server 2019 et Windows 10 sur Windows Virtual Desktop (en préversion)
• Lien direct vers la stratégie dans la page des détails de la recommandation
• La recommandation de classification des données SQL n’a plus d’incidence sur votre niveau de sécurité
• Les automatisations de workflow peuvent être déclenchées par des modifications apportées aux évaluations de conformité réglementaire (en préversion)
• Améliorations de la page d’inventaire des ressources

Nouvelle page d’alertes de sécurité dans le portail Azure en disponibilité générale

La page des alertes de sécurité d’Azure Security Center a été repensée pour fournir les éléments suivants :

• Expérience de triage améliorée des alertes – favorise la réduction d’un trop grand nombre d’alertes et permet de se concentrer plus facilement sur les menaces les plus pertinentes. La liste comprend des filtres personnalisables et des options de regroupement.
• Plus d’informations dans la liste des alertes – telles que les tactiques MITRE ATT&ACK.
• Bouton pour créer des exemples d’alerte - pour évaluer les fonctionnalités d’Azure Defender et tester la configuration de vos alertes (pour l’intégration SIEM, les notifications par e-mail et les automatisations de workflow), vous pouvez créer des exemples d’alertes à partir de tous les plans Azure Defender.
• Alignement avec l’expérience d’incident d’Azure Sentinel – pour les clients qui utilisent les deux produits, il est maintenant plus simple de passer de l’un à l’autre et il est facile d’apprendre l’un de l’autre.
• Amélioration des performances pour les grandes listes d’alertes.
• Navigation au clavier dans la liste des alertes.
• Alertes à partir d’Azure Resource Graph – vous pouvez effectuer des requêtes sur des alertes dans Azure Resource Graph, l’API de type Kusto pour toutes vos ressources. Cela est également utile si vous créez vos propres tableaux de bord d’alertes. Apprenez-en davantage sur Azure Resource Graph.
• Créer une fonctionnalité d’exemples d’alerte - Pour créer des exemples d’alertes à partir de la nouvelle expérience Alertes, consultez Générer des exemples d’alertes Azure Defender.

Les recommandations en matière de protection des charges de travail Kubernetes sont en disponibilité générale

Nous sommes heureux d’annoncer la disponibilité générale de l’ensemble des recommandations prévues pour la protection des charges de travail Kubernetes.

Afin de garantir la sécurisation par défaut des charges de travail Kubernetes, Security Center a ajouté des recommandations de renforcement au niveau de Kubernetes, y compris des options de mise en œuvre avec le contrôle d’admission Kubernetes.

Lorsque Azure Policy pour Kubernetes est installé sur votre cluster AKS (Azure Kubernetes Service), toutes les requêtes adressées au serveur d’API Kubernetes sont analysées par rapport à l’ensemble prédéfini de bonnes pratiques (affiché sous la forme de 13 recommandations de sécurité) avant d’être conservées sur le cluster. Vous pouvez ensuite configurer la mise en œuvre des meilleures pratiques et les imposer aux charges de travail futures.

Par exemple, vous pouvez interdire la création de conteneurs privilégiés, et faire en sorte que toutes les demandes ultérieures soient bloquées.

Consultez Meilleures pratiques de protection de charge de travail à l’aide du contrôle d’admission Kubernetes pour en savoir plus.

Notes

Lorsque les recommandations étaient en préversion, elles ne portaient pas atteinte à l’intégrité des ressources de cluster AKS, et n’étaient pas incluses dans les calculs de votre niveau de sécurité. Avec l’annonce de cette disponibilité générale, elles seront désormais intégrées dans le calcul du niveau. Si vous ne les avez pas encore corrigé, cela peut avoir un léger impact sur votre niveau de sécurité. Mettez-les en place dans la mesure du possible, comme indiqué dans Appliquer les recommandations d’Azure Security Center.

L’intégration de Microsoft Defender pour point de terminaison à Azure Defender prend désormais en charge Windows Server 2019 et Windows 10 sur Windows Virtual Desktop (en préversion)

Microsoft Defender for Endpoint est une solution holistique de sécurité des points de terminaison dans le cloud. Il fournit une gestion et une évaluation des vulnérabilités basées sur les risques ainsi que la détection et la réponse des points de terminaison (EDR). Pour obtenir la liste complète des avantages de l’utilisation de Defender pour point de terminaison avec Azure Security Center, consultez Protéger vos points de terminaison avec la solution EDR intégrée de Security Center : Microsoft Defender pour point de terminaison.

Quand vous activez Azure Defender pour les serveurs sur Windows Server, le plan inclut une licence pour Defender pour point de terminaison. Si vous avez déjà activé Azure Defender pour les serveurs et que vous disposez de serveurs Windows Server 2019 dans votre abonnement, ceux-ci recevront automatiquement Defender pour point de terminaison avec cette mise à jour. Aucune action manuelle n’est nécessaire.

La prise en charge a été étendue de façon à inclure Windows Server 2019 et Windows 10 sur Windows Virtual Desktop.

Notes

Si vous activez Defender pour point de terminaison sur un serveur Windows Server 2019, vérifiez que la solution répond aux prérequis décrits dans Activer l’intégration de Microsoft Defender pour point de terminaison.

Lien direct vers la stratégie dans la page des détails de la recommandation

Lorsque vous examinez les détails d’une recommandation, il est souvent utile de pouvoir consulter la stratégie sous-jacente. Pour chaque recommandation prise en charge par une stratégie, il existe un nouveau lien dans la page des détails de la recommandation :

Utilisez ce lien pour afficher la définition de stratégie et passer en revue la logique d’évaluation.

Si vous examinez la liste des recommandations de notre Guide de référence des recommandations de sécurité, vous remarquerez également des liens vers les pages de définition de stratégie :

La recommandation de classification des données SQL n’a plus d’incidence sur votre niveau de sécurité

La recommandation Les données sensibles de vos bases de données SQL doivent être classifiées n’a plus d’incidence sur votre niveau de sécurité. S’agissant de la seule recommandation présente dans le contrôle de sécurité Appliquer la classification des données, le contrôle affiche désormais 0 comme valeur de niveau de sécurité.

Pour obtenir la liste complète de tous les contrôles de sécurité dans Security Center ainsi que leurs scores et la liste des recommandations de chacune d’eux, consultez Contrôles de sécurité et leurs recommandations.

Les automatisations de workflow peuvent être déclenchées par des modifications apportées aux évaluations de conformité réglementaire (en préversion)

Nous avons ajouté un troisième type de données aux options de déclencheur de vos automatisations de workflow : les modifications apportées aux évaluations de conformité réglementaire.

Découvrez comment utiliser les outils d’automatisation des workflows dans Automatiser les réponses aux déclencheurs Security Center.

Améliorations de la page d’inventaire des ressources

La page d’inventaire des ressources de Security Center a été améliorée :

• Les récapitulatifs en haut de la page incluent désormais les abonnements non inscrits, montrant le nombre d’abonnements pour lesquels Security Center n’est pas activé.

  

• Des filtres ont été développés et améliorés pour inclure les éléments suivants :

  • Totaux - Chaque filtre présente le nombre de ressources qui répondent aux critères de chaque catégorie

    

  • Contient des filtres d’exemptions (facultatif) - limitez les résultats aux ressources qui ont ou non des exemptions. Ce filtre n’apparaît pas par défaut, mais il est accessible à partir du bouton Ajouter un filtre.

    

En savoir plus sur la façon d’Explorer et gérer vos ressources avec l’inventaire des ressources.

Janvier 2021

Les mises à jour de janvier sont les suivantes :

• Le benchmark de sécurité Azure est désormais l’initiative de stratégie par défaut d’Azure Security Center
• L’évaluation des vulnérabilités pour les machines locales et multiclouds est en disponibilité générale (GA)
• Le degré de sécurisation pour les groupes d’administration est désormais disponible en préversion
• L’API Degré de sécurisation est en disponibilité générale
• Protections DNS non résolues ajoutées à Azure Defender pour App Service
• Les connecteurs multiclouds sont en disponibilité générale (GA)
• Exempter des recommandations entières de votre degré de sécurisation pour les abonnements et les groupes d’administration
• Les utilisateurs peuvent désormais faire une demande de visibilité à l’échelle du locataire auprès de leur administrateur général
• Ajout de 35 recommandations (préversion) pour mieux détailler le benchmark de sécurité Azure
• Exportation CSV de la liste filtrée de recommandations
• Ressources « non applicables » désormais signalées comme « Conformes » dans les évaluations Azure Policy
• Exporter des captures instantanées hebdomadaires de données sur le niveau de sécurité et la conformité réglementaire avec l’exportation continue (préversion)

Le benchmark de sécurité Azure est désormais l’initiative de stratégie par défaut d’Azure Security Center

Le Benchmark de sécurité Azure est l’ensemble des directives propres à Azure et créées par Microsoft contenant les bonnes pratiques de sécurité et de conformité basées sur les infrastructures de conformité courantes. Ce benchmark, largement respecté et centré sur le cloud, est basé sur les contrôles du CIS (Center for Internet Security) et du NIST (National Institute of Standards and Technology).

Au cours des derniers mois, la liste des recommandations de sécurité intégrée Security Center a été considérablement allongée en vue d’étendre la couverture de ce benchmark.

À compter de cette version, ce benchmark constitue la base des recommandations Security Center. En outre, il est entièrement intégré en tant qu’initiative de stratégie par défaut.

La documentation de chacun des services Azure comprend une page consacrée à la base de référence de sécurité. Ces bases de référence s’appuient sur le benchmark de sécurité Azure.

Si vous utilisez le tableau de bord de conformité réglementaire de Security Center, vous verrez deux instances du benchmark pendant une période de transition :

Les recommandations existantes ne sont pas affectées, et les modifications sont automatiquement reflétées dans Security Center à mesure que le benchmark se développe.

Pour en savoir plus, consultez les pages suivantes :

• En savoir plus sur le Benchmark de sécurité Azure
• Personnaliser l’ensemble de normes du tableau de bord de conformité réglementaire

L’évaluation des vulnérabilités pour les machines locales et multiclouds est en disponibilité générale (GA)

En octobre, nous avions annoncé la préversion de l’analyse des serveurs Azure Arc à l’aide de l’analyseur d’évaluation des vulnérabilités intégré à Azure Defender pour les serveurs (avec Qualys).

Celle-ci est maintenant en disponibilité générale.

Une fois que vous avez activé Azure Arc sur vos machines non-Azure, Security Center propose de déployer l’analyseur de vulnérabilité intégré dessus, manuellement et à grande échelle.

Avec cette mise à jour, vous pouvez libérer la puissance d’Azure Defender pour les serveurs afin de consolider votre programme de gestion des vulnérabilités dans l’ensemble de vos ressources Azure et non-Azure.

Principales fonctionnalités :

• Supervision de l’état de provisionnement de l’analyseur d’évaluation des vulnérabilités sur les machines Azure Arc
• Provisionnement de l’agent d’évaluation des vulnérabilités intégré sur des machines Windows Azure Arc Windows et Linux non protégées (manuellement et à grande échelle)
• Réception et analyse des vulnérabilités détectées par les agents déployés (manuellement et à grande échelle)
• Expérience unifiée pour les machines virtuelles Azure et Azure Arc

Découvrez-en plus sur le déploiement de l’analyseur de vulnérabilité Qualys intégré sur vos machines hybrides.

Découvrez-en plus sur les serveurs Azure Arc.

Le degré de sécurisation pour les groupes d’administration est maintenant disponible en préversion

La page Degré de sécurisation affiche désormais les degrés de sécurisation agrégés de vos groupes d’administration, en plus du niveau d’abonnement. Vous pouvez maintenant voir la liste des groupes d’administration de votre organisation, ainsi que le degré de sécurisation de chaque groupe d’administration.

En savoir plus sur le degré de sécurisation et les contrôles de sécurité dans Azure Security Center.

L’API Degré de sécurisation est en disponibilité générale

Vous pouvez désormais accéder à votre degré de sécurisation par le biais de l’API Degré de sécurisation. Les méthodes de l’API offrent la flexibilité nécessaire pour interroger les données et créer votre propre mécanisme de création de rapports sur vos degrés de sécurisation au fil du temps. Par exemple :

• Utiliser l’API Niveau de sécurité pour obtenir le niveau d’un abonnement spécifique.
• Utiliser l’API Contrôles du niveau de sécurité pour lister les contrôles de sécurité et le niveau actuel de vos abonnements.

Découvrez des outils externes accessibles avec l’API Niveau de sécurité dans la zone consacrée au niveau de sécurité de notre communauté GitHub.

En savoir plus sur le degré de sécurisation et les contrôles de sécurité dans Azure Security Center.

Protections DNS non résolues ajoutées à Azure Defender pour App Service

La prise de contrôle des sous-domaines constitue une menace grave et courante pour les organisations. Une prise de contrôle de sous-domaine peut se produire quand un enregistrement DNS pointe vers un site web déprovisionné. Ces enregistrements DNS sont également appelés entrées « DNS non résolues ». Les enregistrements CNAME sont particulièrement vulnérables à cette menace.

Les prises de contrôle de sous-domaines permettent aux acteurs des menaces de rediriger le trafic destiné au domaine d’une organisation vers un site effectuant des activités malveillantes.

Azure Defender pour App Service détecte désormais les entrées DNS non résolues lorsqu’un site web App Service est désactivé. C’est à ce moment-là que l’entrée DNS pointe vers une ressource qui n’existe pas et que votre site web devient vulnérable à la prise de contrôle de sous-domaine. Ces protections sont disponibles pour les domaines gérés par Azure DNS et pour ceux gérés par un bureau d’enregistrement de domaines externes. En outre, elles s’appliquent aussi bien à App Service sur Windows qu’à App Service sur Linux.

En savoir plus :

• Table de référence des alertes App Service : comprend deux nouvelles alertes Azure Defender qui se déclenchent lorsqu’une entrée DNS non résolue est détectée
• Empêcher les entrées DNS non résolues et la prise de contrôle des sous-domaines : découvrez la menace que constitue la prise de sous-domaine et les entrées DNS non résolues
• Présentation d’Azure Defender pour App Service

Les connecteurs multiclouds sont en disponibilité générale (GA)

Les charges de travail cloud couvrant généralement plusieurs plates-formes cloud, les services de sécurité cloud se doivent d’en faire de même.

Azure Security Center protège les charges de travail dans Azure, Amazon Web Services (AWS) et Google Cloud Platform (GCP).

Lorsque vous connectez vos projets AWS ou GCP, leurs outils de sécurité natifs comme AWS Security Hub ou GCP Security Command Center sont intégrés à Azure Security Center.

Cette fonctionnalité Security Center fournit une visibilité et une protection pour l’ensemble des environnements cloud principaux. Voici quelques-uns des avantages de cette intégration :

• Provisionnement automatique des agents - Security Center utilise Azure Arc pour déployer l’agent Log Analytics sur vos instances AWS
• Gestion des stratégies
• Gestion des vulnérabilités
• Détection de point de terminaison et réponse incorporée (EDR)
• Détection des erreurs de configuration de sécurité
• Vue montrant les recommandations de sécurité de tous les fournisseurs de cloud
• Incorporer toutes vos ressources dans les calculs du degré de sécurisation de Security Center
• Évaluations de conformité réglementaire de vos ressources AWS et GCP

Dans le menu de Defender pour le cloud, sélectionnez Connecteurs multiclouds pour afficher les options permettant de créer des connecteurs :

Pour en savoir plus :

• Connecter vos comptes AWS à Azure Security Center
• Connecter vos projets GCP à Azure Security Center

Exempter des recommandations entières de votre degré de sécurisation pour les abonnements et les groupes d’administration

Nous sommes en train d’étendre la fonctionnalité d’exemption afin de pouvoir y inclure des recommandations entières. Pour cela, nous ajoutons des options permettant d’affiner les recommandations de sécurité que Security Center fournit concernant vos abonnements, vos groupes d’administration ou vos ressources.

Il arrive parfois qu’une ressource soit signalée comme non saine alors que le problème est résolu par un outil tiers, ce que Security Center n’a pas détecté. D’autres fois, il arrive qu’une recommandation s’affiche dans une étendue à laquelle elle n’est pas censée appartenir. La recommandation peut ne pas convenir à un abonnement. Ou encore, il est possible que votre organisation ait décidé d’accepter les risques liés à une ressource ou à une recommandation précise.

Avec cette fonctionnalité en préversion, vous pouvez désormais créer une exemption pour une recommandation dans les buts suivants :

• Exempter une ressource pour qu’elle ne soit plus listée parmi les ressources non saines et n’impacte pas votre degré de sécurisation. La ressource sera listée comme non applicable, avec le motif « exemptée » et la justification de votre choix.

• Exempter un abonnement ou un groupe d’administration pour que la recommandation n’impacte pas votre degré de sécurisation et ne s’affiche plus pour l’abonnement ou le groupe d’administration. Cela concerne les ressources existantes et futures. La recommandation sera signalée avec la justification que vous avez choisie pour l’étendue sélectionnée.

Pour plus d’informations, consultez Exempter une ressource des recommandations et du degré de sécurisation.

Les utilisateurs peuvent désormais faire une demande de visibilité à l’échelle du locataire auprès de leur administrateur général

Si un utilisateur ne dispose pas des autorisations pour voir les données Security Center, il verra un lien lui permettant de demander des autorisations à l’administrateur général de son organisation. Sa demande doit comprendre le rôle dont il souhaite les autorisations, ainsi que la raison pour laquelle il en a besoin.

Pour plus d’informations, consultez Demander des autorisations à l’échelle du locataire quand les vôtres sont insuffisantes.

Ajout de 35 recommandations (préversion) pour mieux détailler le benchmark de sécurité Azure

Le Benchmark de sécurité Azure est désormais l’initiative de stratégie par défaut d’Azure Security Center.

Pour étendre la couverture de ce benchmark, les 35 recommandations suivantes (en préversion) ont été ajoutées à Security Center.

Conseil

Les recommandations en préversion ne rendent pas une ressource non saine et ne sont pas incluses dans les calculs de votre degré de sécurisation. Corrigez-les là où c’est possible, de sorte que quand la période de préversion se termine, elles soient prises en compte dans le calcul de votre degré de sécurisation. Découvrez comment répondre à ces recommandations dans Corriger les recommandations dans Azure Security Center.

Contrôle de sécurité	Nouvelles recommandations
Activer le chiffrement des données au repos	- Les comptes Azure Cosmos DB doivent utiliser des clés gérées par le client pour chiffrer les données au repos - Les espaces de travail Azure Machine Learning doivent être chiffrés avec une clé gérée par le client (CMK) - La protection des données BYOK (Bring Your Own Key) doit être activée pour les serveurs MySQL - La protection des données BYOK (Bring Your Own Key) doit être activée pour les serveurs PostgreSQL – Les comptes Azure AI services doivent activer le chiffrement des données avec une clé gérée par le client (CMK) - Les registres de conteneurs doivent être chiffrés avec une clé gérée par le client (CMK) - Les instances managées SQL doivent utiliser des clés gérées par le client pour chiffrer les données au repos - Les serveurs SQL doivent utiliser des clés gérées par le client pour chiffrer les données au repos - Les comptes de stockage doivent utiliser une clé gérée par le client (CMK) pour le chiffrement
Implémenter les bonnes pratiques de sécurité	- Les abonnements doivent avoir l’adresse e-mail d’un contact pour le signalement des problèmes de sécurité - L’approvisionnement automatique de l’agent Log Analytics doit être activé sur votre abonnement - La notification par e-mail pour les alertes à gravité élevée doit être activée - La notification par e-mail au propriétaire de l’abonnement pour les alertes à gravité élevée doit être activée - La protection contre la suppression définitive doit être activée sur les coffres de clés - La suppression réversible doit être activée sur les coffres de clés
Gérer l’accès et les autorisations	- Les applications de fonction doivent avoir l’option « Certificats clients (certificats clients entrants) » activée
Protéger les applications contre les attaques DDoS	- Le pare-feu d’applications web (WAF) doit être activé pour Application Gateway - Web Application Firewall (WAF) doit être activé pour le service Azure Front Door Service)
Restreindre l’accès réseau non autorisé	- Le pare-feu doit être activé sur Key Vault - Le point de terminaison privé doit être configuré pour Key Vault - App Configuration doit utiliser une liaison privée - Azure Cache pour Redis doit se trouver dans un réseau virtuel - Les domaines Azure Event Grid doivent utiliser une liaison privée - Les rubriques Azure Event Grid doivent utiliser une liaison privée - Les espaces de travail Azure Machine Learning doivent utiliser une liaison privée - Azure SignalR Service doit utiliser une liaison privée - Azure Spring Cloud doit utiliser l’injection de réseau - Les registres de conteneurs ne doivent pas autoriser un accès réseau sans restriction - Les registres de conteneurs doivent utiliser une liaison privée - L’accès au réseau public doit être désactivé pour les serveurs MariaDB - L’accès au réseau public doit être désactivé pour les serveurs MySQL - L’accès au réseau public doit être désactivé pour les serveurs PostgreSQL - Le compte de stockage doit utiliser une connexion de liaison privée - Les comptes de stockage doivent utiliser des règles de réseau virtuel pour restreindre l’accès au réseau - Les modèles VM Image Builder doivent utiliser une liaison privée

Liens connexes :

• En savoir plus sur le Benchmark de sécurité Azure
• En savoir plus sur Azure Database for MariaDB
• En savoir plus sur Azure Database pour MySQL
• En savoir plus sur Azure Database pour PostgreSQL

Exportation CSV de la liste filtrée de recommandations

En novembre 2020, nous avons ajouté des filtres à la page Recommandations (La liste des recommandations comprend désormais des filtres). En décembre, nous avons étendu ces filtres (La page Recommandations contient de nouveaux filtres pour l’environnement, la gravité et les réponses disponibles).

Avec cette annonce, nous changeons le comportement du bouton Télécharger au format CSV afin que l’exportation CSV inclue uniquement les recommandations actuellement affichées dans la liste filtrée.

Par exemple, dans l’image ci-dessous vous pouvez constater que la liste est filtrée sur deux recommandations. Le fichier CSV généré comprend les détails de l’état de chaque ressource affectée par ces deux recommandations.

Apprenez-en davantage dans Recommandations de sécurité dans Azure Security Center.

Ressources « non applicables » désormais signalées comme « Conformes » dans les évaluations Azure Policy

Avant, les ressources qui étaient évaluées pour une recommandation et considérées comme non applicables apparaissaient dans Azure Policy comme étant « Non conformes ». Aucune action de l’utilisateur ne pouvait les faire passer à l’état « Conforme ». Depuis ce changement, ces ressources s’affichent comme étant « Conformes » par souci de clarté.

La seule incidence sera observée dans Azure Policy, où le nombre de ressources compatibles augmentera. Il n’y aura aucune incidence sur votre degré de sécurisation dans Azure Security Center.

Exporter des captures instantanées hebdomadaires de données sur le niveau de sécurité et la conformité réglementaire avec l’exportation continue (préversion)

Nous avons ajouté une nouvelle fonctionnalité en préversion aux outils d’exportation continue pour l’exportation des captures instantanées hebdomadaires de données sur le niveau de sécurité et la conformité réglementaire.

Quand vous définissez une exportation continue, définissez la fréquence d’exportation :

• Streaming : les évaluations sont envoyées quand l’état d’intégrité d’une ressource est mis à jour (si aucune mise à jour n’est effectuée, aucune donnée n’est envoyée).
• Captures instantanées : une capture instantanée de l’état actuel de toutes les évaluations de conformité réglementaire est envoyée chaque semaine (il s’agit d’une fonctionnalité en préversion pour les captures instantanées hebdomadaires de données sur le niveau de sécurité et la conformité réglementaire).

Pour plus d’informations sur toutes les possibilités de cette fonctionnalité, consultez Exporter en continu des données Security Center.

Décembre 2020

Les mises à jour en décembre sont les suivantes :

• Azure Defender pour les serveurs SQL sur les machines est en disponibilité générale
• La prise en charge par Azure Defender pour SQL de pool SQL dédié Azure Synapse Analytics est en disponibilité générale
• Les administrateurs généraux peuvent désormais s’accorder des autorisations de niveau locataire
• Deux nouveaux plans Azure Defender : Azure Defender pour DNS et Azure Defender pour Resource Manager (en préversion)
• Nouvelle page des alertes de sécurité dans le portail Azure (préversion)
• Expérience Security Center relancée dans Azure SQL Database et SQL Managed Instance
• Outils et filtres d’inventaire des ressources mis à jour
• Recommandation sur les applications web demandant des certificats SSL ne faisant plus partie du degré de sécurisation
• La page Recommandations contient de nouveaux filtres pour l’environnement, la gravité et les réponses disponibles
• L’exportation continue permet d’obtenir de nouveaux types de données et des stratégies deployifnotexist améliorées

Azure Defender pour les serveurs SQL sur les machines est en disponibilité générale

Azure Security Center propose deux plans Azure Defender pour les serveurs SQL :

• Azure Defender pour serveurs de base de données Azure SQL : défend vos serveurs Azure SQL natifs
• Azure Defender pour serveurs SQL sur des machines : étend les mêmes protections à vos serveurs SQL dans des environnements hybrides, multiclouds et locaux.

Avec cette annonce, Azure Defender pour SQL protège désormais vos bases de données et leurs données où qu’elles se trouvent.

Azure Defender pour SQL comprend les fonctionnalités d’évaluation des vulnérabilités. L’outil d’évaluation des vulnérabilités comprend les fonctionnalités avancées suivantes :

• Configuration de base de référence (nouveau) pour affiner intelligemment les résultats des analyses de vulnérabilité à ceux susceptibles de représenter des problèmes de sécurité réels. Une fois que vous avez établi votre état de sécurité de base de référence, l’outil d’évaluation des vulnérabilités signale uniquement les écarts par rapport à cet état de base de référence. Les résultats correspondant à la base de référence sont considérés comme corrects lors des analyses ultérieures. Cela vous permet, à vous et à vos analystes, de concentrer votre attention sur ce qui est le plus important.
• Informations de référence détaillées pour vous aider à comprendre les résultats découverts et en quoi ils concernent vos ressources.
• Scripts de correction pour vous aider à atténuer les risques identifiés.

En savoir plus sur Azure Defender pour SQL.

La prise en charge par Azure Defender pour SQL de pool SQL dédié Azure Synapse Analytics est en disponibilité générale

Azure Synapse Analytics (anciennement SQL DW) est un service d’analytique qui combine l’entreposage des données d’entreprise et l’analytique de Big Data. Les pools SQL dédiés sont les fonctionnalités d’entreposage de données d’entreprise d’Azure Synapse. Apprenez-en davantage dans Qu’est-ce qu’Azure Synapse Analytics (anciennement SQL DW) ?.

Azure Defender pour SQL protège vos pools SQL dédiés avec :

• Protection avancée contre les menaces pour détecter les menaces et les attaques
• Fonctionnalités d’évaluation des vulnérabilités pour identifier et corriger les problèmes de configuration de la sécurité

La prise en charge par Azure Defender pour SQL des pools SQL dédiés Azure Synapse Analytics est ajoutée automatiquement au bundle de bases de données Azure SQL dans Azure Security Center. Vous trouverez un nouvel onglet « Azure Defender pour SQL » dans la page de votre espace de travail Synapse dans le portail Azure.

En savoir plus sur Azure Defender pour SQL.

Les administrateurs généraux peuvent désormais s’accorder des autorisations de niveau locataire

Si un utilisateur ayant le rôle Azure Active Directory d’Administrateur général peut avoir des responsabilités à l’échelle du locataire, il peut ne pas disposer des autorisations Azure lui permettant de consulter les informations à l’échelle de l’organisation dans Azure Security Center.

Pour vous attribuer des autorisations de niveau locataire, suivez les instructions fournies dans S’accorder des autorisations à l’échelle du locataire.

Deux nouveaux plans Azure Defender : Azure Defender pour DNS et Azure Defender pour Resource Manager (en préversion)

Nous avons ajouté deux nouvelles fonctionnalités de protection étendue natives cloud contre les menaces pour votre environnement Azure.

Ces nouvelles protections améliorent nettement votre résilience face aux attaques des acteurs des menaces et accroissent considérablement le nombre de ressources Azure protégées par Azure Defender.

• Azure Defender pour Ressource Manager – Supervise automatiquement toutes les opérations de gestion de ressources effectuées dans votre organisation. Pour plus d'informations, consultez les pages suivantes :

  • Présentation d’Azure Defender pour Resource Manager
  • Répondre aux alertes Azure Defender pour Resource Manager
  • Liste des alertes fournies par Azure Defender pour Resource Manager

• Azure Defender pour DNS – Supervise en continu toutes les requêtes DNS émanant de vos ressources Azure. Pour plus d'informations, consultez les pages suivantes :

  • Présentation d’Azure Defender pour DNS
  • Répondre aux alertes Azure Defender pour DNS
  • Liste des alertes fournies par Azure Defender pour DNS

Nouvelle page des alertes de sécurité dans le portail Azure (préversion)

La page des alertes de sécurité d’Azure Security Center a été repensée pour fournir les éléments suivants :

• Expérience de triage améliorée des alertes – favorise la réduction d’un trop grand nombre d’alertes et permet de se concentrer plus facilement sur les menaces les plus pertinentes. La liste comprend des filtres personnalisables et des options de regroupement.
• Plus d’informations dans la liste des alertes – telles que les tactiques MITRE ATT&ACK.
• Bouton permettant de créer des exemples d’alertes – pour évaluer les fonctionnalités Azure Defender et tester la configuration de vos alertes (pour l’intégration SIEM, les notifications par e-mail et les automatisations de workflow), vous pouvez créer des exemples d’alertes à partir de tous les plans Azure Defender.
• Alignement avec l’expérience d’incident d’Azure Sentinel – pour les clients qui utilisent les deux produits, le basculement entre eux est désormais une expérience plus simple et il est aisé d’apprendre l’un de l’autre.
• Amélioration des performances pour de grandes listes d’alertes.
• Navigation au clavier dans la liste des alertes.
• Alertes à partir d’Azure Resource Graph – vous pouvez effectuer des requêtes sur des alertes dans Azure Resource Graph, l’API de type Kusto pour toutes vos ressources. Cela est également utile si vous créez vos propres tableaux de bord d’alertes. Apprenez-en davantage sur Azure Resource Graph.

Pour accéder à la nouvelle expérience, utilisez le lien « Essayer maintenant » dans la bannière en haut de la page des alertes de sécurité.

Pour créer des exemples d’alertes à partir de la nouvelle expérience Alertes, consultez Générer des exemples d’alertes Azure Defender.

Expérience Security Center relancée dans Azure SQL Database et SQL Managed Instance

L’expérience Security Center dans SQL permet d’accéder aux fonctionnalités Security Center et Azure Defender pour SQL suivantes :

• Recommandations de sécurité Security Center analyse régulièrement l’état de sécurité de toutes les ressources Azure connectées pour identifier les erreurs de configuration de sécurité potentielles. Il fournit ensuite des recommandations sur la façon de corriger ces vulnérabilités et d’améliorer l’état de la sécurité des entreprises.
• Alertes de sécurité : service de détection qui supervise en continu les activités Azure SQL pour repérer les menaces telles que l’injection de code SQL, les attaques par force brute et l’abus de privilèges. Ce service déclenche des alertes de sécurité détaillées et orientées action dans Security Center et fournit des options pour poursuivre des investigations avec Azure Sentinel, la solution SIEM native Azure de Microsoft.
• Résultats : service d’évaluation des vulnérabilités qui supervise en continu les configurations Azure SQL et aide à corriger les vulnérabilités. Les analyses d’évaluation fournissent une vue d’ensemble des états de sécurité Azure SQL ainsi que des résultats de sécurité détaillés.

Outils et filtres d’inventaire des ressources mis à jour

La page d’inventaire dans Azure Security Center a été actualisée avec les modifications suivantes :

• Guides et commentaires ajoutés à la barre d’outils. Un volet contenant des liens vers des informations et des outils connexes s’ouvre.

• Filtre des abonnements ajouté aux filtres par défaut disponibles pour vos ressources.

• Lien Ouvrir une requête pour ouvrir les options du filtre actuel en tant que requête Azure Resource Graph (anciennement « Afficher dans l’Explorateur Resource Graph »).

• Options des opérateurs pour chaque filtre. Vous pouvez désormais choisir un autre opérateur logique que « = ». Par exemple, vous souhaiterez peut-être rechercher toutes les ressources avec des recommandations actives dont les titres incluent la chaîne « chiffrer ».

  

Apprenez-en davantage sur l’inventaire dans Explorer et gérer vos ressources avec l’inventaire des ressources.

Recommandation sur les applications web demandant des certificats SSL ne faisant plus partie du degré de sécurisation

La recommandation « Les applications web doivent exiger un certificat SSL pour toutes les demandes entrantes » a été déplacée du contrôle de sécurité Gérer l’accès et les autorisations (valeur de 4 points au maximum) dans Implémenter les bonnes pratiques de sécurité (qui ne vaut aucun point).

La garantie qu’une application web demande un certificat renforce certainement sa sécurité. Toutefois, ce n’est pas pertinent pour les applications web publiques. si vous accédez à votre site sur HTTP et non HTTPS, vous ne recevez pas de certificat client. Ainsi, si votre application nécessite des certificats clients, vous ne devez pas autoriser les requêtes adressées à votre application via HTTP. Pour en savoir plus, consultez Configurer l’authentification mutuelle TLS pour Azure App Service.

Avec ce changement, la recommandation est désormais une bonne pratique qui n’impacte pas votre degré de sécurisation.

Découvrez les recommandations de chaque contrôle de sécurité dans Contrôles de sécurité et leurs recommandations.

La page Recommandations contient de nouveaux filtres pour l’environnement, la gravité et les réponses disponibles

Azure Security Center supervise toutes les ressources connectées et génère des recommandations de sécurité. Utilisez ces recommandations pour renforcer l’état de votre cloud hybride et effectuer le suivi de la conformité aux stratégies et normes pertinentes pour vos organisation, secteur d’activité et pays/région.

Comme Security Center continue d’étendre sa couverture et de développer ses fonctionnalités, la liste des recommandations de sécurité augmente chaque mois. Par exemple, consultez Ajout de 29 recommandations (préversion) pour mieux détailler le benchmark de sécurité Azure.

Avec cette liste qui ne cesse de s’allonger, un filtrage des recommandations est nécessaire pour trouver celles qui présentent le plus grand intérêt. En novembre, nous avons ajouté des filtres à la page Recommandations (consultez La liste des recommandations comprend désormais des filtres).

Les filtres ajoutés ce mois-ci fournissent des options pour affiner la liste des recommandations en fonction des éléments suivants :

• Environnement : affichez les recommandations pour vos ressources AWS, GCP ou Azure (ou n’importe quelle combinaison)

• Gravité : affichez les recommandations en fonction de la classification de gravité définie par Security Center

• Actions de réponse : Affichez les recommandations en fonction de la disponibilité des options de réponse Security Center : Corriger, Refuser et Appliquer

  Conseil

  Le filtre d’actions de réponse remplace le filtre Correctif rapide disponible (Oui/Non) .

  Apprenez-en davantage sur chacune de ces options de réponse :

  • Bouton Corriger
  • Empêcher des configurations incorrectes à l’aide des recommandations Appliquer/Refuser

L’exportation continue permet d’obtenir de nouveaux types de données et des stratégies deployifnotexist améliorées

Les outils d’exportation continue d’Azure Security Center vous permettent d’exporter les recommandations et alertes de Security Center en vue de les utiliser avec d’autres outils de supervision dans votre environnement.

L’exportation continue vous permet de personnaliser entièrement ce qui sera exporté et où cela sera exporté. Pour plus d’informations, consultez Exporter en continu des données Security Center.

Ces outils ont été améliorés et développés de différentes manières :

• Amélioration des stratégies deployifnotexist de l’exportation continue. À présent, les stratégies :

  • Vérifient si la configuration est activée. Si ce n’est pas le cas, la stratégie s’affiche comme non conforme et crée une ressource conforme. Découvrez les modèles Azure Policy fournis sous l’onglet « Déployer à grande échelle avec Azure Policy » dans Configurer une exportation continue.

  • Prennent en charge l’exportation des résultats de sécurité. Quand vous utilisez les modèles Azure Policy, vous pouvez configurer votre exportation continue pour inclure les résultats. Cela s’applique lorsque vous exportez des recommandations avec des « sous-recommandations », telles que les résultats des analyseurs d’évaluation des vulnérabilités ou des mises à jour système spécifiques pour la recommandation « parent », « Des mises à jour système doivent être installées sur vos machines ».

  • Prennent en charge l’exportation des données du degré de sécurisation.

• Ajout de données d’évaluation de conformité réglementaire (en préversion). Vous pouvez désormais exporter en continu des mises à jour pour des évaluations de conformité réglementaire, notamment pour des initiatives personnalisées, vers un espace de travail Log Analytics ou Event Hubs. Cette fonctionnalité n’est pas disponible sur les clouds nationaux.

  

Novembre 2020

Les mises à jour en novembre sont les suivantes :

• Ajout de 29 recommandations (préversion) pour mieux détailler le benchmark de sécurité Azure
• Ajout de NIST SP 800 171 R2 au tableau de bord de conformité réglementaire Security Center
• La liste des recommandations comprend désormais des filtres
• Amélioration et développement de l’expérience de provisionnement automatique
• Le score sécurisé est désormais disponible dans l’exportation continue (préversion)
• La recommandation « Les mises à jour système doivent être installées sur vos machines » inclut désormais des sous-recommandations
• La page Gestion des stratégies du portail Azure affiche maintenant l’état des affectations de stratégie par défaut

Ajout de 29 recommandations (préversion) pour mieux détailler le benchmark de sécurité Azure

Le Benchmark de sécurité Azure constitue l’ensemble des directives propres à Azure et créées par Microsoft, qui contient les bonnes pratiques de sécurité et de conformité s’inscrivant dans les cadres de conformité courants. En savoir plus sur le Benchmark de sécurité Azure.

Les 29 recommandations suivantes (préversion) ont été ajoutées à Security Center pour mieux détailler ce benchmark.

Les recommandations en préversion ne rendent pas une ressource non saine et ne sont pas incluses dans les calculs de votre degré de sécurisation. Corrigez-les là où c’est possible, de sorte que quand la période de préversion se termine, elles soient prises en compte dans le calcul de votre degré de sécurisation. Découvrez comment répondre à ces recommandations dans Corriger les recommandations dans Azure Security Center.

Contrôle de sécurité	Nouvelles recommandations
Chiffrer les données en transit	- L’application de la connexion SSL doit être activée pour les serveurs de base de données PostgreSQL - L’application de la connexion SSL doit être activée pour les serveurs de base de données MySQL - TLS doit être mis à jour vers la dernière version pour votre application API - TLS doit être mis à jour vers la dernière version pour votre application de fonction - TLS doit être mis à jour vers la dernière version pour votre application web - FTPS doit être exigé dans votre application API - FTPS doit être exigé dans votre application de fonction - FTPS doit être exigé dans votre application web
Gérer l’accès et les autorisations	- Les applications web doivent exiger un certificat SSL pour toutes les demandes entrantes - Une identité managée doit être utilisée dans votre application API - Une identité managée doit être utilisée dans votre application de fonction - Une identité managée doit être utilisée dans votre application web
Restreindre l’accès réseau non autorisé	- Le point de terminaison privé doit être activé pour les serveurs PostgreSQL - Le point de terminaison privé doit être activé pour les serveurs MariaDB - Le point de terminaison privé doit être activé pour les serveurs MySQL
Activer l’audit et la journalisation	- Les journaux de diagnostic d’App Services doivent être activés
Implémenter les bonnes pratiques de sécurité	- La Sauvegarde Azure doit être activée pour les machines virtuelles - La sauvegarde géoredondante doit être activée pour Azure Database for MariaDB - La sauvegarde géoredondante doit être activée pour Azure Database pour MySQL - La sauvegarde géoredondante doit être activée pour Azure Database pour PostgreSQL - PHP doit être mis à jour vers la dernière version pour votre application API - PHP doit être mis à jour vers la dernière version pour votre application web - Java doit être mis à jour vers la dernière version pour votre application API - Java doit être mis à jour vers la dernière version pour votre application de fonction - Java doit être mis à jour vers la dernière version pour votre application web - Python doit être mis à jour vers la dernière version pour votre application API - Python doit être mis à jour vers la dernière version pour votre application de fonction - Python doit être mis à jour vers la dernière version pour votre application web - La conservation des audits pour les serveurs SQL Server doit être définie sur au moins 90 jours

Liens connexes :

• En savoir plus sur le Benchmark de sécurité Azure
• En savoir plus sur les applications API Azure
• En savoir plus sur les applications de fonction Azure
• En savoir plus sur les applications web Azure
• En savoir plus sur Azure Database for MariaDB
• En savoir plus sur Azure Database pour MySQL
• En savoir plus sur Azure Database pour PostgreSQL

Ajout de NIST SP 800 171 R2 au tableau de bord de conformité réglementaire Security Center

Le standard NIST SP 800-171 R2 est désormais disponible sous la forme d’une initiative intégrée à utiliser avec le tableau de bord de conformité réglementaire Azure Security Center. Les mappages des contrôles sont décrits dans Détails de l’initiative intégrée de conformité réglementaire NIST SP 800-171 R2.

Pour appliquer le standard à vos abonnements et superviser votre état de conformité en permanence, suivez les instructions fournies dans Personnaliser l’ensemble de normes du tableau de bord de conformité réglementaire.

Pour plus d’informations sur cette norme de conformité, consultez NIST SP 800-171 R2.

La liste des recommandations comprend désormais des filtres

Vous pouvez maintenant filtrer la liste des recommandations de sécurité en fonction d’une plage de critères. Dans l’exemple suivant, la liste des recommandations est filtrée pour afficher celles qui :

• sont généralement disponibles (c’est-à-dire, pas en préversion)
• concernent les comptes de stockage
• prennent en charge la correction rapide

Amélioration et développement de l’expérience de provisionnement automatique

La fonctionnalité de provisionnement automatique permet de réduire la surcharge de gestion en installant les extensions requises sur les machines virtuelles Azure nouvelles et existantes, afin qu’elles puissent tirer parti des protections de Security Center.

À mesure qu’Azure Security Center se développe, davantage d’extensions ont été développées et Security Center peut superviser une liste plus importante de types de ressources. Les outils de provisionnement automatique ont été développés pour prendre en charge d’autres extensions et types de ressources en tirant parti des fonctionnalités d’Azure Policy.

Vous pouvez maintenant configurer le provisionnement automatique des éléments suivants :

• Agent Log Analytics
• (Nouveau) Azure Policy pour Kubernetes
• (Nouveau) Microsoft Dependency Agent

Pour en savoir plus, consultez Provisionnement automatique d’agents et d’extensions à partir d’Azure Security Center.

Le score sécurisé est désormais disponible dans l’exportation continue (préversion)

Avec l’exportation continue du score sécurisé, vous pouvez diffuser en streaming les modifications apportées à votre score en temps réel vers Azure Event Hubs ou un espace de travail Log Analytics. Utilisez cette fonctionnalité pour :

• effectuer le suivi de votre score sécurisé au fur et à mesure avec des rapports dynamiques
• exporter les données de score sécurisé vers Azure Sentinel (ou tout autre système SIEM)
• intégrer ces données à tous les processus que vous utilisez peut-être déjà pour surveiller le score sécurisé dans votre organisation

Apprenez-en plus sur la façon d’exporter en continu des données Security Center.

La recommandation « Les mises à jour système doivent être installées sur vos machines » inclut désormais des sous-recommandations

La recommandation Les mises à jour système doivent être installées sur vos machines a été améliorée. La nouvelle version inclut des sous-recommandations pour chaque mise à jour manquante et apporte les améliorations suivantes :

• Une expérience repensée dans les pages Azure Security Center du portail Azure. La page Détails de la recommandation pour Les mises à jour système doivent être installées sur vos machines comprend la liste des résultats, comme illustré ci-dessous. Lorsque vous sélectionnez une recherche unique, le volet d’informations s’ouvre avec un lien vers des informations de correction et une liste de ressources affectées.

  

• Des données enrichies pour la recommandation provenant d’Azure Resource Graph (ARG). ARG est un service Azure conçu pour fournir une exploration efficace des ressources. Vous pouvez utiliser ARG pour effectuer une requête à grande échelle sur un ensemble d’abonnements donné, et ainsi gérer de façon optimale votre environnement.

  Pour Azure Security Center, vous pouvez utiliser ARG et le langage de requête Kusto (KQL) pour interroger un large éventail de données relatives à la posture de sécurité.

  Avant, si vous interrogiez cette recommandation dans ARG, les seules informations disponibles étaient que la recommandation devait être corrigée sur une machine. La requête suivante de la version améliorée retournera toutes les mises à jour système manquantes, regroupées par machine.

  securityresources
  | where type =~ "microsoft.security/assessments/subassessments"
  | where extract(@"(?i)providers/Microsoft.Security/assessments/([^/]*)", 1, id) == "4ab6e3c5-74dd-8b35-9ab9-f61b30875b27"
  | where properties.status.code == "Unhealthy"
  

La page Gestion des stratégies du portail Azure affiche maintenant l’état des affectations de stratégie par défaut

Vous pouvez maintenant voir si la stratégie Security Center par défaut est affectée à vos abonnements, dans la page Stratégie de sécurité de Security Center du portail Azure.

Octobre 2020

Les mises à jour d’octobre sont les suivantes :

• Évaluation des vulnérabilités pour les machines locales et multicloud (préversion)
• Ajout d’une recommandation concernant le pare-feu Azure (préversion)
• Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes - Recommandation mise à jour avec correctif rapide
• Le tableau de bord de conformité réglementaire comprend désormais une option de suppression des normes
• Suppression de la table Microsoft.Security/securityStatuses d’Azure Resource Graph (ARG)

Évaluation des vulnérabilités pour les machines locales et multicloud (préversion)

L’analyseur d’évaluation des vulnérabilités intégré d’Azure Defender pour les serveurs (avec Qualys) analyse désormais les serveurs Azure Arc.

Une fois que vous avez activé Azure Arc sur vos machines non-Azure, Security Center propose de déployer l’analyseur de vulnérabilité intégré dessus, manuellement et à grande échelle.

Avec cette mise à jour, vous pouvez libérer la puissance d’Azure Defender pour les serveurs afin de consolider votre programme de gestion des vulnérabilités dans l’ensemble de vos ressources Azure et non-Azure.

Principales fonctionnalités :

• Supervision de l’état de provisionnement de l’analyseur d’évaluation des vulnérabilités sur les machines Azure Arc
• Provisionnement de l’agent d’évaluation des vulnérabilités intégré sur des machines Windows Azure Arc Windows et Linux non protégées (manuellement et à grande échelle)
• Réception et analyse des vulnérabilités détectées par les agents déployés (manuellement et à grande échelle)
• Expérience unifiée pour les machines virtuelles Azure et Azure Arc

Découvrez-en plus sur le déploiement de l’analyseur de vulnérabilité Qualys intégré sur vos machines hybrides.

Découvrez-en plus sur les serveurs Azure Arc.

Ajout d’une recommandation concernant le pare-feu Azure (préversion)

Une nouvelle recommandation a été ajoutée pour protéger tous vos réseaux virtuels à l’aide du pare-feu Azure.

La recommandation Les réseaux virtuels doivent être protégés par le pare-feu Azure vous conseille de limiter l’accès à vos réseaux virtuels et d’éviter les menaces potentielles à l’aide du pare-feu Azure.

Découvrez le Pare-feu Azure.

Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes - Recommandation mise à jour avec correctif rapide

La recommandation Des plages d’adresses IP autorisées doivent être définies sur les services Kubernetes a maintenant une option de correctif rapide.

Pour plus d’informations sur cette recommandation et toutes les autres recommandations Security Center, consultez Recommandations de sécurité – Guide de référence.

Le tableau de bord de conformité réglementaire comprend désormais une option de suppression des normes

Le tableau de bord de conformité réglementaire fournit des insights sur votre posture de conformité d’après la façon dont vous répondez à des exigences et contrôles de conformité spécifiques.

Le tableau de bord comprend un ensemble de normes réglementaires par défaut. Si certaines des normes fournies ne sont pas pertinentes pour votre organisation, il est désormais facile de les supprimer de l’interface utilisateur d’un abonnement. Les normes ne peuvent être supprimées qu’au niveau de l’abonnement, et non à l’étendue du groupe d’administration.

Pour plus d’informations, consultez Supprimer une norme de votre tableau de bord.

Suppression de la table Microsoft.Security/securityStatuses d’Azure Resource Graph (ARG)

Azure Resource Graph est un service d’Azure conçu pour fournir une exploration efficace des ressources avec la possibilité de lancer des requêtes à grande échelle sur un ensemble donné d’abonnements pour vous permettre d’optimiser la gestion de votre environnement.

Pour Azure Security Center, vous pouvez utiliser ARG et le langage de requête Kusto (KQL) pour interroger un large éventail de données relatives à la posture de sécurité. Par exemple :

• L’inventaire des ressources utilise Azure Resource Graph (ARG)
• Nous avons documenté un exemple de requête ARG pour savoir comment identifier les comptes sans authentification multifacteur (MFA) activée

Dans ARG, il existe des tables de données que vous pouvez utiliser dans vos requêtes.

Conseil

La documentation ARG liste toutes les tables disponibles dans Informations de référence sur les types de ressource et les tables Azure Resource Graph.

À compter de cette mise à jour, la table Microsoft.Security/securityStatuses a été supprimée. L’API securityStatuses est toujours disponible.

Le remplacement de données peut être utilisé par la table Microsoft.Security/Assessments.

La principale différence entre Microsoft.Security/securityStatuses et Microsoft.Security/Assessments est que la première montre l’agrégation des évaluations tandis que la deuxième contient un enregistrement unique pour chacune d’entre elles.

Par exemple, Microsoft. Microsoft.Security/securityStatuses retourne un résultat avec un tableau de deux valeurs policyAssessments :

{
id: "/subscriptions/449bcidd-3470-4804-ab56-2752595 felab/resourceGroups/mico-rg/providers/Microsoft.Network/virtualNetworks/mico-rg-vnet/providers/Microsoft.Security/securityStatuses/mico-rg-vnet",
name: "mico-rg-vnet",
type: "Microsoft.Security/securityStatuses",
properties:  {
    policyAssessments: [
        {assessmentKey: "e3deicce-f4dd-3b34-e496-8b5381bazd7e", category: "Networking", policyName: "Azure DDOS Protection should be enabled",...},
        {assessmentKey: "sefac66a-1ec5-b063-a824-eb28671dc527", category: "Compute", policyName: "",...}
    ],
    securitystateByCategory: [{category: "Networking", securityState: "None" }, {category: "Compute",...],
    name: "GenericResourceHealthProperties",
    type: "VirtualNetwork",
    securitystate: "High"
}

Tandis que Microsoft.Security/Assessments contient un enregistrement pour chaque évaluation de stratégie de ce type, comme suit :

{
type: "Microsoft.Security/assessments",
id:  "/subscriptions/449bc1dd-3470-4804-ab56-2752595f01ab/resourceGroups/mico-rg/providers/Microsoft. Network/virtualNetworks/mico-rg-vnet/providers/Microsoft.Security/assessments/e3delcce-f4dd-3b34-e496-8b5381ba2d70",
name: "e3deicce-f4dd-3b34-e496-8b5381ba2d70",
properties:  {
    resourceDetails: {Source: "Azure", Id: "/subscriptions/449bc1dd-3470-4804-ab56-2752595f01ab/resourceGroups/mico-rg/providers/Microsoft.Network/virtualNetworks/mico-rg-vnet"...},
    displayName: "Azure DDOS Protection should be enabled",
    status: (code: "NotApplicable", cause: "VnetHasNOAppGateways", description: "There are no Application Gateway resources attached to this Virtual Network"...}
}

{
type: "Microsoft.Security/assessments",
id:  "/subscriptions/449bc1dd-3470-4804-ab56-2752595f01ab/resourcegroups/mico-rg/providers/microsoft.network/virtualnetworks/mico-rg-vnet/providers/Microsoft.Security/assessments/80fac66a-1ec5-be63-a824-eb28671dc527",
name: "8efac66a-1ec5-be63-a824-eb28671dc527",
properties: {
    resourceDetails: (Source: "Azure", Id: "/subscriptions/449bc1dd-3470-4804-ab56-2752595f01ab/resourcegroups/mico-rg/providers/microsoft.network/virtualnetworks/mico-rg-vnet"...),
    displayName: "Audit diagnostic setting",
    status:  {code: "Unhealthy"}
}

Exemple de conversion d’une requête ARG existante à l’aide de securityStatuses pour utiliser à présent la table des évaluations (Assessments) :

Requête qui référence securityStatuses :

SecurityResources
| where type == 'microsoft.security/securitystatuses' and properties.type == 'virtualMachine'
| where name in ({vmnames})
| project name, resourceGroup, policyAssesments = properties.policyAssessments, resourceRegion = location, id, resourceDetails = properties.resourceDetails

Requête de remplacement pour la table Assessments :

securityresources
| where type == "microsoft.security/assessments" and id contains "virtualMachine"
| extend resourceName = extract(@"(?i)/([^/]*)/providers/Microsoft.Security/assessments", 1, id)
| extend source = tostring(properties.resourceDetails.Source)
| extend resourceId = trim(" ", tolower(tostring(case(source =~ "azure", properties.resourceDetails.Id,
source =~ "aws", properties.additionalData.AzureResourceId,
source =~ "gcp", properties.additionalData.AzureResourceId,
extract("^(.+)/providers/Microsoft.Security/assessments/.+$",1,id)))))
| extend resourceGroup = tolower(tostring(split(resourceId, "/")[4]))
| where resourceName in ({vmnames})
| project resourceName, resourceGroup, resourceRegion = location, id, resourceDetails = properties.additionalData

Pour en savoir plus, consultez les liens suivants :

• Procédure pour créer des requêtes avec l’Explorateur Azure Resource Graph
• Langage de requête Kusto (KQL)

Septembre 2020

Les mises à jour en septembre sont les suivantes :

• Security Center fait peau neuve !
• Publication d’Azure Defender
• Azure Defender pour Key Vault est mis à la disposition générale
• Azure Defender pour la protection du stockage des fichiers et d’ADLS Gen2 est mis à la disposition générale
• Les outils d’inventaire des ressources sont désormais mis à la disposition générale
• Désactiver le résultat d’une vulnérabilité précise pour les images de registres de conteneurs et les machines virtuelles
• Exempter une ressource d’une recommandation
• Les connecteurs AWS et GCP dans Security Center apportent une expérience multicloud
• Bundle Kubernetes de recommandations sur la protection des charges de travail
• Les résultats de l’évaluation des vulnérabilités sont désormais disponibles dans l’exportation continue
• Empêcher les erreurs de configurations de sécurité en appliquant des recommandations lors de la création de nouvelles ressources
• Recommandations de groupe de sécurité réseau améliorées
• Recommandation de la préversion AKS déconseillée : « Des stratégies de sécurité de pods doivent être définies sur les services Kubernetes »
• Notifications par e-mail améliorées dans Azure Security Center
• Le degré de sécurisation n’inclut pas de recommandations sur la préversion
• Les recommandations incluent désormais un indicateur de gravité et l’intervalle d’actualisation

Security Center fait peau neuve

Nous avons publié une interface utilisateur actualisée pour les pages du portail de Security Center. Les nouvelles pages incluent une page de vue d’ensemble inédite et des tableaux de bord pour le niveau de sécurité, l’inventaire des ressources et Azure Defender.

La page vue d’ensemble repensée présente désormais une vignette permettant d’accéder aux tableaux de bord du degré de sécurisation, de l’inventaire des ressources et d’Azure Defender. Elle comporte également une vignette qui renvoie au tableau de bord de conformité réglementaire.

En savoir plus sur la page vue d’ensemble.

Publication d’Azure Defender

Azure Defender est une plate-forme de protection de la charge de travail Cloud (CWPP) intégrée à Security Center pour une protection intelligente et avancée de vos charges de travail Azure et hybrides. Elle remplace l’option de niveau tarifaire standard de Security Center.

Lorsque vous activez Azure Defender à partir de la zone Tarification et paramètres d’Azure Security Center, les plans Defender suivants sont tous activés simultanément et fournissent des défenses complètes pour les couches de calcul, de données et de service de votre environnement :

• Azure Defender pour les serveurs
• Azure Defender pour App Service
• Azure Defender pour Stockage
• Azure Defender pour SQL
• Azure Defender pour Key Vault
• Azure Defender pour Kubernetes
• Azure Defender pour les registres de conteneurs

Chacun de ces plans est expliqué séparément dans la documentation relative à Security Center.

Avec ses tableaux de bord dédiés, Azure Defender propose des alertes de sécurité ainsi que la protection avancée contre les menaces pour les machines virtuelles, les bases de données SQL, les conteneurs, les applications web, votre réseau, et bien plus encore.

En savoir plus sur Azure Defender

Azure Defender pour Key Vault est mis à la disposition générale

Azure Key Vault est un service cloud qui protège les clés et secrets de chiffrement comme les certificats, chaînes de connexion et mots de passe.

Azure Defender pour Key Vault fournit une protection native Azure avancée contre les menaces pour Azure Key Vault, apportant une couche supplémentaire de renseignements de sécurité. Par extension, Azure Defender pour Key Vault protège de nombreuses ressources dépendantes de vos comptes de Key Vault.

Le plan facultatif est désormais en disponibilité générale. Dans la préversion, cette fonctionnalité s’appelait « protection avancée contre les menaces pour Azure Key Vault ».

En outre, les pages de Key Vault dans le portail Azure comprennent désormais une page dédiée à la Sécurité pour gérer les recommandations et les alertes de Security Center.

Consultez Azure Defender pour Key Vault pour en savoir plus.

Azure Defender pour la protection du stockage des fichiers et d’ADLS Gen2 est mis à la disposition générale

Azure Defender pour Stockage détecte les activités potentiellement dangereuses sur vos comptes de stockage Azure. Vos données peuvent être protégées, qu’elles soient stockées en tant que conteneurs blob, de partages de fichiers ou de lacs de données.

Le support d’Azure Files et d’Azure Data Lake Storage Gen2 est désormais mis à la disposition générale.

À partir du 1er octobre 2020, nous commencerons à facturer la protection des ressources présentes dans ces services.

Consultez Azure Defender pour Stockage pour en savoir plus.

Les outils d’inventaire des ressources sont désormais mis à la disposition générale

La page d’inventaire des ressources d’Azure Security Center fournit une page unique pour visualiser la posture de sécurité des ressources que vous avez connectées à Security Center.

Security Center analyse périodiquement l’état de sécurité de vos ressources Azure pour identifier les vulnérabilités de sécurité potentielles. Il fournit ensuite des recommandations sur la façon de corriger ces vulnérabilités.

Lorsqu’une ressource contient des recommandations en suspens, celles-ci apparaissent dans l’inventaire.

Pour en savoir plus, consultez Explorer et gérer vos ressources avec l’inventaire des ressources.

Désactiver le résultat d’une vulnérabilité précise pour les images de registres de conteneurs et les machines virtuelles

Azure Defender comprend des analyseurs de vulnérabilités pour examiner les images dans votre Azure Container Registry et vos machines virtuelles.

Si votre organisation préfère ignorer un résultat, plutôt que de le corriger, vous pouvez éventuellement désactiver cette fonction. Les résultats désactivés n’ont pas d’impact sur votre Niveau de sécurité ni ne génèrent de bruit indésirable.

Lorsqu’un résultat correspondra aux critères que vous avez définis dans vos règles de désactivation, il n’apparaîtra plus dans la liste des résultats.

Cette option est disponible dans les pages « Détails des recommandations » pour :

• Les vulnérabilités dans les images Azure Container Registry doivent être corrigées
• Les vulnérabilités de vos machines virtuelles doivent être corrigées

Pour plus d’informations, consultez Désactiver des résultats spécifiques pour vos images de conteneur et Désactiver des résultats spécifiques pour vos machines virtuelles.

Exempter une ressource d’une recommandation

Il peut arriver qu’une ressource soit signalée comme non saine en ce qui concerne une recommandation spécifique (faisant baisser par conséquent le degré de sécurisation), même si vous estimez qu’elle ne devrait pas l’être. Elle a peut-être été corrigée par un processus non suivi par Security Center. Ou bien votre organisation a décidé d’accepter le risque pour cette ressource spécifique.

Dans ce cas, vous pouvez créer une règle d’exemption et veiller à ce que la ressource ne figure plus parmi les ressources non saines à l’avenir. Ces règles peuvent contenir des justifications documentées comme décrit ci-dessous.

Pour plus d’informations, consultez Exempter une ressource des recommandations et du degré de sécurisation.

Les connecteurs AWS et GCP dans Security Center apportent une expérience multicloud

Les charges de travail cloud couvrant généralement plusieurs plates-formes cloud, les services de sécurité cloud se doivent d’en faire de même.

Azure Security Center protège désormais les charges de travail dans Azure, Amazon Web Services (AWS) et Google Cloud Platform (GCP).

Lorsque vous intégrez les projets AWS et GCP dans Security Center intègre AWS Security Hub, GCP Security Command et Azure Security Center.

Pour en savoir plus, consultez Connecter vos comptes AWS à Azure Security Center et Connecter vos projets GCP à Azure Security Center.

Bundle Kubernetes de recommandations sur la protection des charges de travail

Pour vous assurer que les charges de travail Kubernetes sont sécurisées par défaut, Security Center ajoute des recommandations de renforcement au niveau de Kubernetes, y compris des options de mise en œuvre avec le contrôle d’admission Kubernetes.

Lorsque vous avez installé Azure Policy pour Kubernetes sur votre cluster AKS, toutes les requêtes adressées au serveur d’API Kubernetes sont analysées par rapport à l’ensemble prédéfini de meilleures pratiques avant d’être conservées sur le cluster. Vous pouvez ensuite configurer la mise en œuvre des meilleures pratiques et les imposer aux charges de travail futures.

Par exemple, vous pouvez interdire la création de conteneurs privilégiés, et faire en sorte que toutes les demandes ultérieures soient bloquées.

Consultez Meilleures pratiques de protection de charge de travail à l’aide du contrôle d’admission Kubernetes pour en savoir plus.

Les résultats de l’évaluation des vulnérabilités sont désormais disponibles dans l’exportation continue

Utilisez l’exportation continue pour diffuser vos alertes et vos recommandations vers Azure Event Hubs, les espaces de travail Log Analytics ou Azure Monitor. À partir de là, vous pouvez intégrer ces données à des informations de sécurité et gestion d’événements (par exemple, Azure Sentinel, Power BI, Azure Data Explorer et bien plus.)

Les outils d’évaluation des vulnérabilités intégrés à Security Center renvoient des résultats sur vos ressources comme recommandations exploitables dans le cadre d’une recommandation « parent », telle que « les vulnérabilités de vos machines virtuelles doivent être corrigées ».

Les résultats de sécurité sont désormais disponibles pour l’exportation via l’exportation continue lorsque vous sélectionnez recommandations et activez l’option Inclure les résultats de sécurité.

Pages connexes :

• Solution intégrée d’évaluation des vulnérabilités Qualys de Security Center pour les machines virtuelles Azure
• Solution d’évaluation des vulnérabilités intégrée à Security Center pour les images Azure Container Registry
• Exportation continue

Empêcher les erreurs de configurations de sécurité en appliquant des recommandations lors de la création de nouvelles ressources

Les erreurs de configuration de la sécurité sont à l’origine de la plupart des incidents. Security Center vous permet désormais de prévenir les erreurs de configuration des nouvelles ressources en ce qui concerne les recommandations spécifiques.

Cette fonctionnalité peut vous aider à sécuriser vos charges de travail et à stabiliser votre degré de sécurisation.

Vous pouvez appliquer une configuration sécurisée, basée sur une recommandation spécifique, est proposée en deux modes :

• En utilisant l’effet Refuser d’Azure Policy, vous pouvez empêcher la création de ressources non saines

• En utilisant l’option Appliquer, vous pouvez tirer parti de l’effet DeployIfNotExist d’Azure Policy et corriger automatiquement les ressources non conformes lors de leur création

Cette option est disponible pour les recommandations de sécurité sélectionnées et se trouve en haut de la page Détails de la ressource.

Pour plus d’informations, consultez Empêcher des configurations incorrectes à l’aide des recommandations Appliquer/Refuser.

Recommandations de groupe de sécurité réseau améliorées

Les recommandations de sécurité suivantes relatives aux groupes de sécurité réseau ont été améliorées pour réduire certaines instances de faux positifs.

• Tous les ports réseau doivent être limités sur le groupe de sécurité réseau associé à votre machine virtuelle
• Les ports de gestion doivent être fermés sur vos machines virtuelles
• Les machines virtuelles accessibles à partir d’Internet doivent être protégées avec des groupes de sécurité réseau
• Les sous-réseaux doivent être associés à un groupe de sécurité réseau

Recommandation de la préversion AKS déconseillée : « Des stratégies de sécurité de pods doivent être définies sur les services Kubernetes »

La recommandation de préversion « Des stratégies de sécurité de pods doivent être définies sur les services Kubernetes » est déconseillée comme décrit dans la documentation Azure Kubernetes Service.

La fonctionnalité « stratégie de sécurité des pods (en préversion) », sera bientôt dépréciée et ne sera plus disponible après le 15 octobre 2020 pour laisser place à Azure Policy pour AKS.

Une fois que la stratégie de sécurité des pods (préversion) sera déconseillée, vous devrez désactiver la fonctionnalité sur tous les clusters existants à l’aide de la fonctionnalité déconseillée pour effectuer les futures mises à niveau de cluster et continuer à bénéficier du support Azure.

Notifications par e-mail améliorées dans Azure Security Center

Les zones suivantes des e-mails concernant les alertes de sécurité ont été améliorées :

• ajout de la possibilité d’envoyer des notifications par e-mail concernant les alertes pour tous les niveaux de gravité
• La possibilité d’informer les utilisateurs avec différents rôles Azure sur l’abonnement a été ajoutée
• Nous avertissons de manière proactive les propriétaires d’abonnements par défaut sur les alertes de gravité élevée (qui ont une probabilité élevée d’être des violations authentiques)
• Nous avons supprimé le champ du numéro de téléphone de la page de configuration des notifications par e-mail

Consultez Configurer les notifications par e-mail pour les alertes de sécurité pour en savoir plus.

Le degré de sécurisation n’inclut pas de recommandations sur la préversion

Security Center évalue continuellement vos ressources, vos abonnements et votre organisation en recherchant d’éventuels problèmes de sécurité. Il agrège ensuite toutes ses découvertes sous la forme d’un score qui vous permet de déterminer d’un coup d’œil votre niveau de sécurité actuel : plus le score est élevé, plus le niveau de risque identifié est faible.

À mesure que de nouvelles menaces sont découvertes, de nouveaux conseils en matière de sécurité sont mis à disposition dans Security Center via la création de recommandations. Pour éviter que des modifications ne soient apportées à votre degré de sécurisation et pour fournir une période de grâce pendant laquelle vous pouvez découvrir de nouvelles recommandations avant qu’elles n’aient un impact sur vos scores, les recommandations marquées Preview (Préversion) ne sont plus incluses dans les calculs du degré de sécurisation. Elles doivent tout de même être corrigées dans la mesure du possible, ainsi lorsque la période de préversion se termine, elles seront prises en compte dans le calcul.

En outre, les recommandations Preview (Préversion) de préversion n’affichent pas de ressources « non saines ».

Exemple de recommandation de préversion :

En savoir plus sur le degré de sécurisation.

Les recommandations incluent désormais un indicateur de gravité et l’intervalle d’actualisation

La page de détails des recommandations comprend désormais un indicateur d’intervalle d’actualisation (le cas échéant) et affiche clairement la gravité de la recommandation.

Août 2020

Les mises à jour en août sont les suivantes :

• Inventaire des ressources : nouvelle vue puissante de la position de sécurité de vos ressources
• Ajout de la prise en charge des paramètres de sécurité par défaut d’Azure Active Directory (pour l’authentification multifacteur)
• Ajout d’une recommandation en faveur des principaux de service
• Évaluation des vulnérabilités sur les machines virtuelles - recommandations et stratégies consolidées
• Nouvelles stratégies de sécurité AKS ajoutées à ASC_default initiative : pour une utilisation par les clients de la préversion privée uniquement

Inventaire des ressources : nouvelle vue puissante de la position de sécurité de vos ressources

L’inventaire des ressources de Security Center (actuellement en préversion) permet de visualiser la posture de sécurité des ressources que vous avez connectées à Security Center.

Security Center analyse périodiquement l’état de sécurité de vos ressources Azure pour identifier les vulnérabilités de sécurité potentielles. Il fournit ensuite des recommandations sur la façon de corriger ces vulnérabilités. Lorsqu’une ressource contient des recommandations en suspens, celles-ci apparaissent dans l’inventaire.

Vous pouvez utiliser la vue et ses filtres pour explorer les données relatives à votre posture de sécurité et prendre d’autres mesures en fonction de vos conclusions.

En savoir plus sur l’inventaire des ressources.

Ajout de la prise en charge des paramètres de sécurité par défaut d’Azure Active Directory (pour l’authentification multifacteur)

Security Center a ajouté la prise en charge complète des paramètres de sécurité par défaut, les protections gratuites de Microsoft en matière de sécurité de l’identité.

Les paramètres de sécurité par défaut fournissent des paramètres de sécurité d’identité préconfigurés pour défendre votre organisation contre les attaques courantes liées aux identités. Les paramètres de sécurité par défaut protègent déjà plus de 5 millions de locataires ; 50 000 locataires sont également protégés par Security Center.

Security Center fournit désormais une recommandation de sécurité chaque fois qu’il identifie un abonnement Azure sans activation des paramètres de sécurité par défaut. Jusqu’à présent, Security Center recommandait d’activer l’authentification multifacteur à l’aide de l’accès conditionnel, qui fait partie de la licence Premium d’Azure Active Directory (AD). Pour les clients qui utilisent Azure AD gratuitement, nous vous recommandons maintenant d’activer les paramètres de sécurité par défaut.

Notre objectif est d’encourager un plus grand nombre de clients à sécuriser leurs environnements cloud grâce à l’authentification multifacteur et d’atténuer l’un des risques les plus élevés, qui est également le plus important pour votre score de sécurité.

En savoir plus sur les paramètres de sécurité par défaut.

Ajout d’une recommandation en faveur des principaux de service

Une nouvelle recommandation a été ajoutée pour recommander aux clients de Security Center qui utilisent des certificats de gestion pour gérer leurs abonnements de basculer vers des principaux de service.

La recommandation Des principaux de service doivent être utilisés pour protéger vos abonnements à la place des certificats de gestion vous conseille d’utiliser des principaux de service ou Azure Resource Manager de gérer vos abonnements de manière plus sécurisée.

En savoir plus sur Objets du principal du service et de l’application dans Azure Active Directory.

Évaluation des vulnérabilités sur les machines virtuelles - recommandations et stratégies consolidées

Security Center inspecte vos machines virtuelles pour vérifier si elles exécutent une solution d’évaluation des vulnérabilités. Si aucune solution d’évaluation des vulnérabilités n’est trouvée, Security Center fournit une recommandation pour simplifier le déploiement.

Lorsque des vulnérabilités sont détectées, Security Center fournit une recommandation résumant les résultats à examiner et à corriger si nécessaire.

Pour garantir une expérience cohérente pour tous les utilisateurs, quel que soit le type d’analyse utilisé, nous avons unifié quatre recommandations dans les deux cas suivants :

Recommandation unifiée	Description de la modification
Une solution d’évaluation des vulnérabilités doit être activée sur vos machines virtuelles	Remplace les deux recommandations suivantes : ***** Activer la solution intégrée d’évaluation des vulnérabilités sur les machines virtuelles (par Qualys) (désormais déconseillée) (incluse avec le niveau standard) ***** La solution d’évaluation des vulnérabilités doit être installée sur vos machines virtuelles (désormais déconseillée) (niveaux standard et gratuits)
Les vulnérabilités de vos machines virtuelles doivent être corrigées	Remplace les deux recommandations suivantes : ***** Corriger les vulnérabilités trouvées sur vos machines virtuelles (avec Qualys) (à présent déconseillée) ***** Les vulnérabilités doivent être corrigées avec une solution d’évaluation des vulnérabilités (à présent déconseillée)

Vous allez maintenant utiliser la même recommandation pour déployer l’extension d’évaluation de la vulnérabilité de Security Center ou une solution sous licence privée (« BYOL ») d’un partenaire tel que Qualys ou Rapid7.

De plus, lorsque des vulnérabilités sont détectées et signalées à Security Center, une recommandation unique vous avertit des conclusions, quelle que soit la solution d’évaluation des vulnérabilités qui les a identifiées.

Mise à jour des dépendances

Si vous avez des scripts, des requêtes ou des automations qui font référence aux recommandations ou aux clés/noms de stratégie précédents, utilisez les tableaux ci-dessous pour mettre à jour les références :

Avant août 2020

Recommandation	Étendue
Activer la solution intégrée d’évaluation des vulnérabilités sur les machines virtuelles (par Qualys) Clé : 550e890b-e652-4d22-8274-60b3bdb24c63	Intégré
Corriger les vulnérabilités trouvées sur vos machines virtuelles (avec Qualys) Clé : 1195afff-c881-495e-9bc5-1486211ae03f	Intégré
La solution d’évaluation des vulnérabilités doit être installée sur vos machines virtuelles Clé : 01b1ed4c-b733-4fee-b145-f23236e70cf3	BYOL
Les vulnérabilités doivent être corrigées avec une solution d’évaluation des vulnérabilités Clé : 71992a2a-d168-42e0-b10e-6b45fa2ecddb	BYOL

Policy	Étendue
L’évaluation des vulnérabilités doit être activée sur les machines virtuelles ID de stratégie : 501541f7-f7e7-4cd6-868c-4190fdad3ac9	Intégré
Les vulnérabilités doivent être corrigées avec une solution d’évaluation des vulnérabilités ID de stratégie : 760a85ff-6162-42b3-8d70-698e268f648c	BYOL

À partir d’août 2020

Recommandation	Étendue
Une solution d’évaluation des vulnérabilités doit être activée sur vos machines virtuelles Clé : ffff0522-1e88-47fc-8382-2a80ba848f5d	Intégré + BYOL
Les vulnérabilités de vos machines virtuelles doivent être corrigées Clé : 1195afff-c881-495e-9bc5-1486211ae03f	Intégré + BYOL

Policy	Étendue
L’évaluation des vulnérabilités doit être activée sur les machines virtuelles ID de stratégie : 501541f7-f7e7-4cd6-868c-4190fdad3ac9	Intégré + BYOL

Nouvelles stratégies de sécurité AKS ajoutées à ASC_default initiative : pour une utilisation par les clients de la préversion privée uniquement

Pour vous assurer que les charges de travail Kubernetes sont sécurisées par défaut, Security Center ajoute des stratégies de niveau Kubernetes et des suggestions de renforcement, y compris des options de mise en œuvre avec le contrôle d’admission Kubernetes.

La première phase de ce projet comprend une préversion privée et l’ajout de nouvelles stratégies (désactivées par défaut) à l’initiative ASC_default.

Vous pouvez ignorer ces stratégies en toute sécurité et il n’y aura aucun impact sur votre environnement. Si vous souhaitez les activer, inscrivez-vous à la préversion par le biais de la communauté privée Microsoft Cloud Security et sélectionnez une des options suivantes :

1. Préversion unique : pour rejoindre uniquement cette préversion privée. Mentionnez explicitement « Analyse continu ASC » comme préversion que vous souhaitez rejoindre.
2. Programme en cours : à ajouter à cette préversion privée et aux prochaines. Vous devrez remplir un profil et une déclaration de confidentialité.

Juillet 2020

Les mises à jour du mois de juillet incluent :

• L’évaluation des vulnérabilités des machines virtuelles est désormais disponible pour les images qui ne sont pas dans le marketplace
• Protection contre les menaces pour Stockage Azure étendue pour inclure Azure Files et Azure Data Lake Storage Gen2 (préversion)
• Huit nouvelles recommandations pour activer les fonctionnalités de protection contre les menaces
• Améliorations de la sécurité des conteneurs – Analyse du registre plus rapide et documentation actualisée
• Mise à jour des contrôles d’application adaptatifs avec une nouvelle recommandation et la prise en charge des caractères génériques dans les règles de chemin d’accès
• Dépréciation de six stratégies pour la sécurité avancée des données SQL

L’évaluation des vulnérabilités des machines virtuelles est désormais disponible pour les images non-Place de marché

Lorsque vous déployez une solution d’évaluation des vulnérabilités, Security Center effectuait un contrôle de validation avec le déploiement. Le contrôle visait à vérifier une référence (SKU) de la Place de marché sur la machine virtuelle de destination.

À partir de cette mise à jour, le contrôle est supprimé et vous pouvez désormais déployer les outils d’évaluation des vulnérabilités sur des machines Windows et Linux « personnalisées ». Les images personnalisées sont celles que vous avez modifiées à partir des images par défaut de la Place de marché.

Bien que vous puissiez désormais déployer l’extension d’évaluation des vulnérabilités intégrée (optimisée par Qualys) sur de nombreuses autres machines, le support n’est disponible que si vous utilisez un système d’exploitation répertorié dans Déployer l’analyseur de vulnérabilité intégré sur des machines virtuelles de niveau Standard.

Apprenez-en davantage sur l’analyseur de vulnérabilité intégré pour machines virtuelles (Azure Defender requis).

Pour en savoir plus sur l’utilisation de votre propre solution d’évaluation des vulnérabilités sous licence privée de Qualys ou Rapid7, consultez Déploiement d’une solution d’analyse des vulnérabilités des partenaires.

Protection contre les menaces pour Stockage Azure étendue pour inclure Azure Files et Azure Data Lake Storage Gen2 (préversion)

La protection contre les menaces pour Stockage Azure détecte les activités potentiellement dangereuses sur vos comptes Stockage Azure. Security Center affiche des alertes lorsqu’il détecte des tentatives d’accès ou d’exploitation de vos comptes de stockage.

Vos données peuvent être protégées, qu’elles soient stockées en tant que conteneurs blob, de partages de fichiers ou de lacs de données.

Huit nouvelles recommandations pour activer les fonctionnalités de protection contre les menaces

Huit nouvelles recommandations ont été ajoutées pour fournir un moyen simple d’activer les fonctionnalités de protection contre les menaces d’Azure Security Center pour les types de ressources suivants : machines virtuelles, plans App Service, serveurs Azure SQL Database, serveurs SQL Server, comptes de Stockage Azure, clusters Azure Kubernetes Service, registres Azure Container Registry et coffres Azure Key Vault.

Les nouvelles recommandations sont les suivantes :

• Advanced Data Security doit être activé sur les serveurs Azure SQL Database
• Advanced Data Security doit être activé sur les serveurs SQL sur les machines
• Advanced Threat Protection doit être activé sur les plans Azure App Service
• Advanced Threat Protection doit être activé sur les registres Azure Container Registry
• Advanced Threat Protection doit être activé sur les coffres Azure Key Vault
• Advanced Threat Protection doit être activé sur les clusters Azure Kubernetes Service
• Advanced Threat Protection doit être activé sur les comptes Stockage Azure
• Advanced Threat Protection doit être activé sur les machines virtuelles

Ces nouvelles recommandations sont associées au contrôle de sécurité Activer Azure Defender.

Les recommandations incluent également la fonctionnalité de correction rapide.

Important

L’application de n’importe laquelle de ces recommandations entraîne des frais pour la protection des ressources pertinentes. Ces frais s’appliquent immédiatement si vous avez des ressources associées dans l’abonnement actuel. Ou ils s’appliqueront à l’avenir si vous les ajoutez à une date ultérieure.

Par exemple, si vous n’avez pas de clusters Azure Kubernetes Service dans votre abonnement et que vous activez la protection contre les menaces, cela n’entraîne pas de frais. Si, à l’avenir, vous ajoutez un cluster sur le même abonnement, il sera automatiquement protégé et des frais seront facturés à ce moment-là.

Pour plus d’informations sur ces cas de figure, consultez la page de référence sur les recommandations en matière de sécurité.

Apprenez-en davantage sur la protection contre les menaces dans Azure Security Center.

Améliorations de la sécurité des conteneurs – Analyse du registre plus rapide et documentation actualisée

Dans le cadre de nos investissements continus dans le domaine de la sécurité des conteneurs, nous avons le plaisir d’annoncer une amélioration significative des performances du Security Center en lien avec les analyses dynamiques d’images de conteneur stockées dans Azure Container Registry. Désormais, les analyses prennent généralement environ en deux minutes. Dans certains cas, elles peuvent prendre jusqu’à 15 minutes.

Afin d’améliorer la clarté et les recommandations concernant les fonctionnalités de sécurité des conteneurs d’Azure Security Center, nous avons également actualisé les pages de documentation sur la sécurité des conteneurs.

Pour en savoir plus sur la sécurité des conteneurs qu’offre Security Center, consultez les articles suivants :

• Vue d’ensemble des fonctionnalités de sécurité des conteneurs du Security Center
• Détails de l’intégration avec Azure Container Registry
• Détails de l’intégration avec Azure Kubernetes Service
• Comment analyser vos registres et renforcer vos hôtes Docker
• Alertes de sécurité des fonctionnalités de protection contre les menaces pour les clusters Azure Kubernetes Service
• Recommandations en matière de sécurité pour les conteneurs

Mise à jour des contrôles d’application adaptatifs avec une nouvelle recommandation et la prise en charge des caractères génériques dans les règles de chemin d’accès

La fonctionnalité de contrôles d’application adaptatifs a fait l’objet de deux mises à jour importantes :

• Une nouvelle recommandation identifie les comportements potentiellement légitimes qui n’étaient pas autorisés auparavant. La nouvelle recommandation, intitulée Les règles de liste verte dans votre stratégie de contrôle d’application adaptatif doivent être mises à jour, vous invite à ajouter de nouvelles règles à la stratégie existante afin de réduire le nombre de faux positifs dans les alertes de violation des contrôles d’application adaptatifs.

• Les règles de chemin d’accès prennent désormais en charge les caractères génériques. À compter de cette mise à jour, vous pouvez configurer des règles de chemin d’accès autorisé avec des caractères génériques. Il existe deux scénarios pris en charge :

  • Utilisation d’un caractère générique à la fin d’un chemin d’accès pour autoriser tous les exécutables dans ce dossier et ses sous-dossiers.

  • Utilisation d’un caractère générique au milieu d’un chemin pour activer un nom d’exécutable connu avec un nom de dossier variable (par exemple, des dossiers utilisateur personnels avec un exécutable connu, des noms de dossiers générés automatiquement, etc.).

Apprenez-en davantage sur les contrôles d’application adaptatifs.

Dépréciation de six stratégies pour la sécurité avancée des données SQL

Six stratégies relatives à la sécurité avancée des données pour les machines SQL sont déconseillées :

• Les types de protection avancée contre les menaces doivent être définis sur « Tous » dans les paramètres avancés de sécurité des données de l’instance gérée SQL.
• Les types de protection avancée contre les menaces doivent être définis sur « Tous » dans les paramètres avancés de sécurité des données du serveur SQL.
• Les paramètres Advanced Data Security pour l’instance gérée SQL doivent inclure une adresse e-mail pour la réception des alertes de sécurité.
• Les paramètres Advanced Data Security pour le serveur SQL doivent inclure une adresse e-mail pour la réception des alertes de sécurité.
• Les notifications par e-mail aux administrateurs et propriétaires d’abonnements doivent être activées dans les paramètres Advanced Data Security de l’instance managée SQL
• Les notifications par e-mail aux administrateurs et propriétaires d’abonnements doivent être activées dans les paramètres Advanced Data Security SQL Server

En savoir plus sur les stratégies intégrées.

Juin 2020

Les mises à jour du mois de juin incluent :

• API Degré de sécurisation (préversion)
• Sécurité avancée des données pour les machines SQL (Azure, autres clouds et en local) (préversion)
• Deux nouvelles recommandations pour déployer l’agent Log Analytics sur des machines Azure Arc (préversion)
• Nouvelles stratégies pour créer des configurations d’exportation continue et d’automatisation de flux de travail à l’échelle
• Nouvelle recommandation pour l’utilisation de NSG afin de protéger les machines virtuelles non accessibles sur Internet
• Nouvelles stratégies pour activer la protection contre les menaces et la sécurité avancée des données

API Degré de sécurisation (préversion)

Vous pouvez maintenant accéder à votre degré de sécurisation par le biais de l’API Degré de sécurisation (actuellement en préversion). Les méthodes de l’API offrent la flexibilité nécessaire pour interroger les données et créer votre propre mécanisme de création de rapports sur vos degrés de sécurisation au fil du temps. Par exemple, vous pouvez utiliser l’API Degré de sécurisation pour obtenir le degré de sécurisation d’un abonnement spécifique. En outre, vous pouvez utiliser l’API Contrôles du degré de sécurisation pour répertorier les contrôles de sécurité et le degré de sécurisation actuel de vos abonnements.

Pour obtenir des exemples d’outils externes accessibles avec l’API Degré de sécurisation, consultez la zone consacrée au degré de sécurisation de notre communauté GitHub.

En savoir plus sur le degré de sécurisation et les contrôles de sécurité dans Azure Security Center.

Sécurité avancée des données pour les machines SQL (Azure, autres clouds et en local) (préversion)

La sécurité des données avancée d’Azure Security Center pour les machines SQL protège désormais les serveurs SQL hébergés dans Azure, dans d’autres environnements cloud et même sur des machines locales. Cela étend les protections de vos serveurs SQL Azure natifs pour prendre entièrement en charge les environnements hybrides.

La sécurité avancée des données fournit une évaluation des vulnérabilités et une protection avancée contre les menaces pour vos machines SQL où qu’elles soient.

La configuration se fait en deux étapes :

1. Déploiement de l’agent Log Analytics sur l’ordinateur hôte de votre serveur SQL Server pour fournir la connexion au compte Azure.

2. Activation du bundle facultatif dans la page de tarification et des paramètres de Security Center.

En savoir plus sur la sécurité avancée des données pour les machines SQL.

Deux nouvelles recommandations pour déployer l’agent Log Analytics sur des machines Azure Arc (préversion)

Deux nouvelles recommandations ont été ajoutées pour vous aider à déployer l’agent Log Analytics sur vos machines Azure Arc et vous assurer qu’elles sont protégées par Azure Security Center :

• L’agent Log Analytics doit être installé sur vos machines Azure Arc basées sur Windows (préversion)
• L’agent Log Analytics doit être installé sur vos machines Azure Arc basées sur Linux (préversion)

Ces nouvelles recommandations s’affichent dans les quatre mêmes contrôles de sécurité que la recommandation existante (associée), L’agent d’analyse doit être installé sur vos machines : corriger les configurations de sécurité, appliquer le contrôle d’application adaptatif, appliquer les mises à jour système et activer la protection de point de terminaison.

Les recommandations incluent également la fonctionnalité de correction rapide pour accélérer le processus de déploiement.

Pour plus d’informations sur ces deux nouvelles recommandations, consultez le tableau Recommandations relatives au calcul et aux applications.

En savoir plus sur la façon dont Azure Security Center utilise l’agent dans Qu’est-ce que l’agent Log Analytics ?.

En savoir plus sur les extensions pour les machines Azure Arc.

Nouvelles stratégies pour créer des configurations d’exportation continue et d’automatisation de flux de travail à l’échelle

L’automatisation des processus d’analyse et de réponse aux incidents de votre organisation peut réduire de manière significative le temps requis pour examiner et atténuer les incidents de sécurité.

Pour déployer vos configurations d’automatisation à l’échelle de votre organisation, utilisez ces stratégies Azure « DeployIfdNotExist » intégrées pour créer et configurer les procédures d’exportation continue et d’automatisation de flux de travail :

Les définitions de stratégie se trouvent dans Azure Policy :

Objectif	Policy	ID de stratégie
Exportation continue vers Event Hubs	Déployer l’exportation vers Event Hubs pour les alertes et les recommandations Azure Security Center	cdfcce10-4578-4ecd-9703-530938e4abcb
Exportation continue vers l’espace de travail Log Analytics	Déployer l’exportation vers un espace de travail Log Analytics pour les alertes et les recommandations Azure Security Center	ffb6f416-7bd2-4488-8828-56585fef2be9
Automatisation du flux de travail pour les alertes de sécurité	Déployer l’automatisation de workflow pour les alertes Azure Security Center	f1525828-9a90-4fcf-be48-268cdd02361e
Automatisation du flux de travail pour les recommandations de sécurité	Déployer l’automatisation de workflow pour les recommandations Azure Security Center	73d6ab6c-2475-4850-afd6-43795f3492ef

Prise en main des modèles d’automatisation de flux de travail.

Apprenez-en davantage sur l’utilisation des deux stratégies d’exportation dans Configurer l’automatisation du workflow à grande échelle à l’aide des stratégies fournies et Configurer une exportation continue.

Nouvelle recommandation pour l’utilisation de NSG afin de protéger les machines virtuelles non accessibles sur Internet

Le contrôle de sécurité « implémenter les meilleures pratiques de sécurité » comprend désormais la nouvelle recommandation suivante :

• Les machines virtuelles non connectées à Internet doivent être protégées avec des groupes de sécurité réseau

Une recommandation existante, Les machines virtuelles accessibles à partir d’Internet doivent être protégées avec des groupes de sécurité réseau, ne fait pas la distinction entre les machines virtuelles accessibles sur Internet et celles qui ne le sont pas. Pour les deux types de machines virtuelles, une recommandation à gravité élevée était générée si une machine virtuelle n’était pas affectée à un groupe de sécurité réseau. Cette nouvelle recommandation sépare les machines non accessibles à partir d’Internet pour réduire les faux positifs et éviter les alertes à gravité élevée inutiles.

En savoir plus dans le tableau Recommandations pour le réseau.

Nouvelles stratégies pour activer la protection contre les menaces et la sécurité avancée des données

Les nouvelles définitions de stratégie ci-dessous ont été ajoutées à l’initiative ASC par défaut et sont conçues pour aider à activer la protection contre les menaces ou la sécurité avancée des données pour les types de ressources appropriés.

Les définitions de stratégie se trouvent dans Azure Policy :

Policy	ID de stratégie
Advanced Data Security doit être activé sur les serveurs Azure SQL Database	7fe3b40f-802b-4cdd-8bd4-fd799c948cc2
Advanced Data Security doit être activé sur les serveurs SQL sur les machines	6581d072-105e-4418-827f-bd446d56421b
Advanced Threat Protection doit être activé sur les comptes Stockage Azure	308fbb08-4ab8-4e67-9b29-592e93fb94fa
Advanced Threat Protection doit être activé sur les coffres Azure Key Vault	0e6763cc-5078-4e64-889d-ff4d9a839047
Advanced Threat Protection doit être activé sur les plans Azure App Service	2913021d-f2fd-4f3d-b958-22354e2bdbcb
Advanced Threat Protection doit être activé sur les registres Azure Container Registry	c25d9a16-bc35-4e15-a7e5-9db606bf9ed4
Advanced Threat Protection doit être activé sur les clusters Azure Kubernetes Service	523b5cd1-3e23-492f-a539-13118b6d1e3a
Advanced Threat Protection doit être activé sur les machines virtuelles	4da35fc9-c9e7-4960-aec9-797fe7d9051d

En savoir plus sur la protection contre les menaces dans Azure Security Center.

Mai 2020

Les mises à jour du mois de mai incluent :

• Règles de suppression d’alerte (préversion)
• Disponibilité de l’évaluation des vulnérabilités des machines virtuelles
• Modifications apportées à l’accès juste-à-temps (JAT) des machines virtuelles
• Déplacement des recommandations personnalisées vers un contrôle de sécurité distinct
• Ajout d’une option permettant d’afficher les recommandations dans les contrôles ou sous forme de liste plate
• Extension du contrôle de sécurité « Implémenter les bonnes pratiques de sécurité »
• Disponibilité générale des stratégies personnalisées avec des métadonnées personnalisées
• Migration des fonctionnalités d’analyse du vidage sur incident vers la détection d’attaque sans fichier

Règles de suppression d’alerte (préversion)

Cette nouvelle fonctionnalité (actuellement en préversion) permet de réduire la fréquence des alertes. Utilisez des règles pour masquer automatiquement les alertes connues pour être anodines ou liées à des activités normales au sein votre organisation. Cela vous permet de vous concentrer sur les menaces les plus pertinentes.

Les alertes correspondant à vos règles de suppression activées sont toujours générées, mais leur état est défini sur ignoré. Vous pouvez voir leur état sur le portail Azure ou en accédant aux alertes de votre Security Center.

Les règles de suppression définissent les critères en vertu desquels les alertes doivent être automatiquement ignorées. En règle générale, vous utilisez une règle de suppression pour effectuer les opérations suivantes :

• supprimer des alertes identifiées comme faux positifs ;

• supprimer des alertes déclenchées trop souvent pour être utiles.

Apprenez-en davantage sur la suppression des alertes à partir de la protection contre les menaces d’Azure Security Center.

Disponibilité de l’évaluation des vulnérabilités des machines virtuelles

Le niveau standard de Security Center intègre désormais l’évaluation des vulnérabilités des machines virtuelles sans frais supplémentaires. Cette extension est fournie par Qualys mais renvoie ses résultats directement à Security Center. Vous n’avez pas besoin d’une licence Qualys ni même de compte Qualys : tout est traité de manière fluide dans Security Center.

La nouvelle solution peut analyser en continu vos machines virtuelles pour trouver des vulnérabilités et présenter les résultats au Security Center.

Pour déployer la solution, suivez la nouvelle recommandation de sécurité :

« Activer la solution intégrée d’évaluation des vulnérabilités sur les machines virtuelles (optimisées par Qualys) (Préversion)

Apprenez-en davantage sur l’évaluation des vulnérabilités des machines virtuelles intégrée dans le Security Center.

Modifications apportées à l’accès juste-à-temps (JAT) des machines virtuelles

Le Security Center intègre une fonctionnalité facultative destinée à protéger les ports de gestion de vos machines virtuelles. Celle-ci offre une protection contre la forme la plus courante d’attaques par force brute.

Cette mise à jour apporte à cette fonctionnalité les modifications suivantes :

• La recommandation suggérant d’activer l’accès JAT sur une machine virtuelle a été reformulée. Précédemment « le contrôle d’accès du réseau Juste-à-temps doit être appliqué sur les machines virtuelles », maintenant : « Les ports de gestion des machines virtuelles doivent être protégés avec un contrôle d’accès réseau juste-à-temps ».

• La recommandation n’est déclenchée que s’il existe des ports de gestion ouverts.

Apprenez-en davantage sur la fonctionnalité accès JAT.

Déplacement des recommandations personnalisées vers un contrôle de sécurité distinct

L’un des contrôles de sécurité introduits avec le degré de sécurisation amélioré était « Implémenter les meilleures pratiques de sécurité ». Toutes les recommandations personnalisées créées pour vos abonnements ont été placées automatiquement dans ce contrôle.

Pour faciliter la recherche de vos recommandations personnalisées, nous les avons déplacées vers un contrôle de sécurité dédié nommé « Recommandations personnalisées ». Ce contrôle n’a aucun impact sur votre degré de sécurisation.

Pour en savoir plus sur les contrôles de sécurité, consultez Version améliorée du degré de sécurisation (préversion) dans Azure Security Center.

Ajout d’une option permettant d’afficher les recommandations dans les contrôles ou sous forme de liste plate

Les contrôles de sécurité sont des groupes logiques de recommandations de sécurité associées. Ceux-ci reflètent vos surfaces d’attaque vulnérables. Un contrôle est un ensemble de recommandations de sécurité, avec des instructions qui vous permettent de les implémenter.

Pour voir immédiatement dans quelle mesure votre organisation sécurise chacune des surfaces d’attaque, examinez le degré de chaque contrôle de sécurité.

Par défaut, vos recommandations s’affichent dans les contrôles de sécurité. À partir de cette mise à jour, vous pouvez également les afficher sous forme de liste. Pour les afficher sous la forme d’une liste simple triée en fonction de l’état d’intégrité des ressources affectées, utilisez la nouvelle option « Grouper par contrôles ». Cette option se trouve au-dessus de la liste dans le portail.

Les contrôles de sécurité, et cette option, font partie de la nouvelle expérience de degré de sécurisation. N’oubliez pas de nous envoyer vos commentaires à partir du portail.

Pour en savoir plus sur les contrôles de sécurité, consultez Version améliorée du degré de sécurisation (préversion) dans Azure Security Center.

Extension du contrôle de sécurité « Implémenter les bonnes pratiques de sécurité »

L’un des contrôles de sécurité introduits avec le degré de sécurisation amélioré est « Implémenter les meilleures pratiques de sécurité ». Quand ce contrôle contient une recommandation, celle-ci n’a aucun impact sur le degré de sécurisation.

Avec cette mise à jour, trois recommandations ont été déplacées des contrôles dans lesquels elles étaient placées à l’origine vers ce contrôle des bonnes pratiques. Nous avons pris cette mesure parce que nous avons constaté que le risque que ces trois recommandations visaient à prévenir était moindre que le risque initialement prévu.

En outre, deux nouvelles recommandations ont été introduites et ajoutées à ce contrôle.

Les trois recommandations déplacées sont les suivantes :

• L’authentification multifacteur doit être activée sur les comptes disposant d’autorisations de lecture de votre abonnement (à l’origine, dans le contrôle « Activer la MFA »).
• Les comptes externes disposant d’autorisations de lecture doivent être supprimés de votre abonnement (à l’origine, dans le contrôle « Gérer l’accès et les autorisations »).
• Trois propriétaires au plus doivent être désignés pour votre abonnement (à l’origine, dans le contrôle « Gérer l’accès et les autorisations »).

Les deux nouvelles recommandations ajoutées au contrôle sont les suivantes :

• L’extension de configuration d’invité doit être installée sur les machines virtuelles Windows (préversion) : la Configuration d’invité Azure Policy apporte une visibilité des machines virtuelles aux paramètres de serveur et d’application (Windows uniquement).

• Windows Defender Exploit Guard doit être activé sur vos machines (préversion) : Windows Defender Exploit Guard tire parti de l’agent de configuration d’invité (Guest Configuration) Azure Policy. Windows Defender Exploit Guard compte quatre composants conçus pour verrouiller les appareils afin de les protéger contre un vaste éventail de vecteurs d’attaque et comportements de blocage couramment utilisés par les programmes malveillants, tout en permettant aux entreprises de trouver un juste équilibre entre sécurité et productivité (Windows uniquement).

Pour en savoir plus sur Windows Defender exploit Guard, consultez Créer et déployer une stratégie Windows Defender Exploit Guard.

Pour en savoir plus sur les contrôles de sécurité, consultez Version améliorée du degré de sécurisation (préversion).

Disponibilité générale des stratégies personnalisées avec des métadonnées personnalisées

Les stratégies personnalisées font désormais partie de l’expérience des Recommandations relatives à Azure Security Center, du degré de sécurisation et du tableau de bord des normes de conformité réglementaire. Cette fonctionnalité désormais généralement disponible vous permet d’étendre la couverture de l’évaluation de la sécurité de votre organisation dans Azure Security Center.

Créez une initiative personnalisée dans Azure Policy, ajoutez-y des stratégies, intégrez-la à Azure Security Center et visualisez-la sous la forme de recommandations.

Nous avons également ajouté une option permettant de modifier les métadonnées de recommandation personnalisées. Les options des métadonnées incluent la gravité, des mesures de correction, des informations sur les menaces, etc.

Pour en savoir plus, consultez Amélioration de vos recommandations personnalisées avec des informations détaillées.

Migration des fonctionnalités d’analyse du vidage sur incident vers la détection d’attaque sans fichier

Nous intégrons les fonctionnalités de détection de l’analyse du vidage sur incident Windows dans la détection d’attaque sans fichier. L’analytique de la détection d’attaque sans fichier offre des versions améliorées des alertes de sécurité suivantes pour les ordinateurs Windows : injection de code découverte, usurpation d’identité de module Windows détectée, code Shell détecté et segment de code suspect détecté.

Voici quelques-uns des avantages de cette transition :

• Détection proactive et en temps opportun des programmes malveillants : l’approche de l’analyse du vidage sur incident impliquait l’attente de la survenance d’un incident, puis l’exécution d’une analyse pour trouver des artefacts malveillants. La détection d’attaque sans fichier introduit l’identification de manière proactive des menaces en mémoire pendant leur exécution.

• Alertes enrichies : les alertes de sécurité liées à la détection d’attaque sans fichier apportent des enrichissements par rapport à une simple analyse du vidage sur incident, tels que les informations de connexions réseau actives.

• Agrégation d’alertes : quand l’analyse du vidage sur incident détectait plusieurs modèles d’attaque au sein d’un même vidage sur incident, elle déclenchait plusieurs alertes de sécurité. La détection d’attaque sans fichier combine tous les modèles d’attaque identifiés participant d’un même processus dans une alerte unique, ce qui évite d’avoir à mettre en corrélation plusieurs alertes.

• Exigences réduites concernant votre espace de travail Log Analytics : les vidages sur incident contenant des données potentiellement sensibles ne sont plus chargés dans votre espace de travail Log Analytics.

Avril 2020

Les mises à jour du mois d’avril incluent :

• Disponibilité générale des packages de conformité dynamique
• Inclusion des recommandations relatives aux identités dans le niveau gratuit d’Azure Security Center

Disponibilité générale des packages de conformité dynamique

Le tableau de bord de conformité réglementaire d’Azure Security Center inclut désormais des packages de conformité dynamique (en disponibilité générale) pour suivre des normes réglementaires et sectorielles supplémentaires.

Vous pouvez ajouter ces packages de conformité dynamique à votre abonnement ou à votre groupe d’administration à partir de la page Stratégie de sécurité d’Azure Security Center. Après l’intégration d’une norme ou un benchmark, ceux-ci apparaissent dans votre tableau de bord de conformité réglementaire avec toutes les données de conformité associées en tant qu’évaluations. Un rapport de synthèse pour toutes les normes intégrées sera disponible en téléchargement.

Désormais, vous pouvez ajouter des normes telles que les suivantes :

• NIST SP 800-53 R4
• SWIFT CSP CSCF-v2020
• UK Official et UK NHS
• PBMM fédéral du Canada
• Azure CIS 1.1.0 (nouveau) (représentation plus complète d’Azure CIS 1.1.0)

De plus, nous avons récemment ajouté le Benchmark de sécurité Azure, les directives spécifiques d’Azure créées par Microsoft pour les meilleures pratiques de sécurité et de conformité, basées sur des infrastructures de conformité courantes. Des normes supplémentaires seront prises en charge dans le tableau de bord dès qu’elles seront disponibles.

Apprenez-en davantage sur la personnalisation de l’ensemble de normes de votre tableau de bord de conformité réglementaire.

Inclusion des recommandations relatives aux identités dans le niveau gratuit d’Azure Security Center

Les recommandations de sécurité relatives aux identités et aux accès sont désormais généralement disponibles dans le niveau gratuit d’Azure Security Center. Cela fait partie de l’effort visant à atteindre la gratuité des fonctionnalités de gestion de la posture de sécurité cloud. Jusqu’à présent, ces recommandations n’étaient disponibles qu’au niveau tarifaire standard.

Voici des exemples de recommandations relatives aux identités et aux accès :

• « L’authentification multifacteur doit être activée sur les comptes disposant d’autorisations de propriétaire sur votre abonnement. »
• « Au maximum trois propriétaires doivent être désignés pour votre abonnement. »
• « Les comptes déconseillés doivent être supprimés de votre abonnement. »

Si vous avez des abonnements au niveau tarifaire gratuit, ce changement affectera leurs degrés de sécurisation, car ils n’ont jamais été évalués sur le plan de la sécurité des identités et des accès.

Apprenez-en davantage sur les recommandations relatives aux identités et aux accès.

Apprenez-en davantage sur la gestion de la mise en œuvre de l’authentification multifacteur (MFA) sur vos abonnements.

Mars 2020

Les mises à jour du mois de mars incluent :

• Disponibilité générale de l’automatisation de flux de travail
• Intégration d’Azure Security Center avec le Centre d’administration Windows
• Protection pour Azure Kubernetes Service
• Amélioration de l’expérience juste-à-temps
• Deux recommandations de sécurité pour les applications web déconseillées

Disponibilité générale de l’automatisation de flux de travail

La fonctionnalité d’automatisation de flux de travail d’Azure Security Center est désormais généralement disponible. Elle permet de déclencher automatiquement Logic Apps sur des alertes et recommandations de sécurité. En outre, des déclencheurs manuels sont disponibles pour les alertes et toutes les recommandations pour lesquelles l’option de correction rapide est disponible.

Chaque programme de sécurité comprend plusieurs workflows pour la réponse aux incidents. Ces processus peuvent inclure l’envoi de notifications aux parties prenantes concernées, le lancement d’un processus de gestion des changements et l’application d’étapes de correction spécifiques. Les experts en sécurité vous conseillent d’automatiser le plus possible les étapes de ces processus. L’automatisation contribue à réduire la surcharge et à renforcer votre sécurité en garantissant que les étapes du processus se déroulent rapidement, de manière cohérente et selon les exigences que vous avez prédéfinies.

Pour plus d’informations sur les fonctionnalités automatiques et manuelles d’Azure Security Center pour l’exécution de vos flux de travail, consultez Automatisation des workflows.

Apprenez-en davantage sur la création de Logic Apps.

Intégration d’Azure Security Center avec le Centre d’administration Windows

Vous pouvez désormais déplacer vos serveurs Windows locaux du Centre d’administration Windows directement vers Azure Security Center. Azure Security Center devient alors votre unique fenêtre pour l’affichage des informations de sécurité de toutes vos ressources du Centre d’administration Windows, à savoir les serveurs locaux, les machines virtuelles et les charges de travail PaaS supplémentaires.

Après avoir déplacé un serveur du Centre d’administration Windows vers Azure Security Center, vous pourrez effectuer les opérations suivantes :

• Afficher les alertes et recommandations de sécurité dans l’extension Security Center du Centre d’administration Windows.
• Afficher la posture de sécurité et des informations détaillées supplémentaires sur vos serveurs gérés par le Centre d’administration Windows dans le Security Center à l’intérieur du portail Azure (ou via une API).

Apprenez-en davantage sur la façon d’intégrer Azure Security Center avec le Centre d’administration Windows.

Protection pour Azure Kubernetes Service

Azure Security Center développe ses fonctionnalités de sécurité de conteneur pour protéger Azure Kubernetes Service (AKS).

La plateforme open source populaire Kubernetes est adoptée si largement qu’elle fait désormais figure de norme sectorielle pour l’orchestration de conteneurs. En dépit de cette implémentation largement répandue, il subsiste un manque de compréhension de la manière de sécuriser un environnement Kubernetes. La défense des surfaces d’attaque d’une application en conteneur requiert de l’expertise pour s’assurer que l’infrastructure est configurée de façon totalement sécurisée et constamment surveillée pour détecter des menaces potentielles.

La défense orchestrée par Azure Security Center comprend les composantes suivantes :

• Détection et visibilité : détection continue des instances AKS gérées à l’intérieur des abonnements inscrits auprès d’Azure Security Center.
• Recommandations de sécurité : recommandations actionnables pour vous aider à vous conformer aux meilleures pratiques en matière de sécurité pour AKS. Ces recommandations sont incluses dans votre degré de sécurisation pour garantir leur visibilité en lien avec la posture de sécurité de votre organisation. Voici un exemple de recommandation relative à AKS : « Le contrôle d’accès en fonction du rôle doit être utilisé pour limiter l’accès à un cluster Kubernetes Service ».
• Protection contre les menaces : grâce à une analyse continue de votre déploiement AKS, Azure Security Center vous avertit des menaces et activités malveillantes détectées au niveau de l’hôte et du cluster AKS.

Pour en savoir plus, consultez Intégration d’Azure Kubernetes Service avec Security Center.

Apprenez-en davantage sur les fonctionnalités de sécurité de conteneur d’Azure Security Center.

Amélioration de l’expérience juste-à-temps

Les fonctionnalités, le fonctionnement et l’interface utilisateur des outils juste-à-temps de l’Azure Security Center qui sécurisent vos ports de gestion ont été améliorés comme suit :

• Champ de justification : lors de la demande d’accès à une machine virtuelle via la page Juste-à-temps du portail Azure, un nouveau champ facultatif est disponible pour entrer une justification de la demande. Le journal d’activité permet de suivre les informations entrées dans ce champ.
• Nettoyage automatique des règles JAT redondantes : chaque fois que vous mettez à jour une stratégie JAT, un outil de nettoyage s’exécute automatiquement pour vérifier la validité de votre ensemble de règles. L’outil recherche les incompatibilités entre les règles de votre stratégie et les règles du groupe de sécurité réseau. Si l’outil de nettoyage détecte une incompatibilité, il en détermine la cause et, lorsque cela ne présente aucun risque, supprime les règles intégrées qui ne sont plus nécessaires. Le nettoyeur ne supprime jamais les règles que vous avez créées.

Apprenez-en davantage sur la fonctionnalité d’accès JAT.

Deux recommandations de sécurité pour les applications web déconseillées

Deux recommandations de sécurité relatives aux applications web sont déconseillées :

• Les règles relatives aux applications web sur des groupes de sécurité réseau IaaS doivent être renforcées. (Stratégie associée : Les règles de groupe de sécurité réseau pour les applications web IaaS doivent être renforcées)

• L’accès à App Services doit être limité. (Stratégie associée : L’accès à App Services doit être restreint [préversion])

Ces recommandations n’apparaissent plus dans la liste de recommandations d’Azure Security Center. Les stratégies associées ne seront plus incluses dans l’initiative nommée « Security Center par défaut ».

Apprenez-en davantage sur les recommandations de sécurité.

Février 2020

Détection d’attaque sans fichier pour Linux (préversion)

À mesure que les attaquants intensifient le recours à des méthodes de plus en plus furtives pour éviter d’être détectés, Azure Security Center étend la détection d’attaque sans fichier pour Linux, en plus de Windows. Les attaques sans fichier exploitent des vulnérabilités logicielles, injectent des charges utiles malveillantes dans des processus système inoffensifs et se cachent en mémoire. Ces techniques sont les suivantes :

• réduire ou éliminer les traces de logiciels malveillants sur disque ;
• réduire considérablement les risques de détection par des solutions d’analyse de programmes malveillants sur disque.

Pour contrer cette menace, Azure Security Center a publié une fonctionnalité de détection d’attaque sans fichier pour Windows en octobre 2018, et a maintenant étendu la détection d’attaque sans fichier également sur Linux.

Janvier 2020

Amélioration du degré de sécurisation (préversion)

Une version améliorée de la fonctionnalité de degré de sécurisation d’Azure Security Center est désormais disponible en préversion. Dans cette version, plusieurs recommandations sont regroupées en contrôles de sécurité qui reflètent mieux vos surfaces d’attaque vulnérables (et, par exemple, restreignent l’accès aux ports de gestion).

Familiarisez-vous avec les changements apportés au degré de sécurisation au cours de la phase de préversion, et épinglez d’autres corrections qui vous aideront à sécuriser davantage votre environnement.

Pour en savoir plus, consultez Version améliorée du degré de sécurisation (préversion).

Novembre 2019

Les mises à jour en novembre sont les suivantes :

• Protection contre les menaces pour Azure Key Vault dans les régions d’Amérique du Nord (préversion)
• La protection contre les menaces pour Stockage Azure inclut le filtrage de la réputation des programmes malveillants
• Automatisation des workflows avec Azure Logic Apps (préversion)
• Disponibilité générale d’un correctif rapide pour les ressources en bloc
• Analyser des images conteneur pour détecter les vulnérabilités (préversion)
• Autres normes de conformité réglementaire (préversion)
• Protection contre les menaces pour Azure Kubernetes Service (préversion)
• Évaluation des vulnérabilités des machines virtuelles (préversion)
• Advanced Data Security pour les serveurs SQL sur Machines virtuelles Microsoft Azure (préversion)
• Prise en charge de stratégies personnalisées (préversion)
• Extension de la couverture d’Azure Security Center avec une plateforme pour la communauté et les partenaires
• Intégrations avancées avec exportation de recommandations et d’alertes (préversion)
• Intégrer des serveurs locaux à Security Center à partir du Centre d’administration Windows (préversion)

Protection contre les menaces pour Azure Key Vault dans les régions d’Amérique du Nord (préversion)

Azure Key Vault est un service essentiel pour la protection des données et l’amélioration des performances des applications cloud, offrant la possibilité de gérer de manière centralisée les clés, les secrets, les clés de chiffrement et les stratégies dans le cloud. Étant donné qu’Azure Key Vault stocke des données sensibles et stratégiques, ses coffres de clés et les données qui y sont stockées exigent une sécurité maximale.

La prise en charge par Azure Security Center de la protection d’Azure Key Vault contre les menaces fournit une couche supplémentaire de veille de sécurité qui détecte les tentatives inhabituelles et potentiellement nuisibles d’accès aux coffres de clés ou d’exploitation de ceux-ci. Cette nouvelle couche de protection permet aux clients de traiter les menaces pesant sur leurs coffres de clés sans être experts en sécurité, ainsi que de gérer des systèmes de surveillance de la sécurité. Cette fonctionnalité est en préversion publique dans les régions d’Amérique du Nord.

La protection contre les menaces pour Stockage Azure inclut le filtrage de la réputation des logiciels malveillants

La protection contre les menaces pour le service Stockage Azure offre de nouvelles fonctionnalités de détection optimisées par les renseignements sur les menaces Microsoft, qui permettent de détecter les chargements de programmes malveillants sur le service Stockage Azure à partir d’une de réputation de hachage et des accès suspects en provenance d’un nœud de sortie Tor actif (proxy d’anonymisation). Vous pouvez désormais afficher les programmes malveillants détectés parmi les comptes de stockage à l’aide d’Azure Security Center.

Automatisation des flux de travail avec Azure Logic Apps (préversion)

Les organisations dont la sécurité, l’informatique et les opérations sont gérées de manière centralisée implémentent des processus de flux de travail internes pour conduire les actions requises en leur sein en cas de détection d’incohérences dans leur environnement. Dans de nombreux cas, ces flux de travail étant des processus reproductibles, une automatisation peut considérablement simplifier leur exécution au sein de l’organisation.

Aujourd’hui, nous introduisons dans Security Center une nouvelle fonctionnalité qui permet aux clients de créer des configurations d’automatisation tirant parti d’Azure Logic Apps, et d’élaborer des stratégies qui les déclencheront automatiquement en fonction de résultats d’ASC spécifiques, tels que des recommandations ou des alertes. Il est possible de configurer une application logique pour effectuer toute action personnalisée prise en charge par le vaste éventail de connecteurs d’applications logiques, ou d’utiliser l’un des modèles fournis par Security Center, tels que l’envoi d’un e-mail ou l’ouverture d’un ticket ServiceNow™.

Pour plus d’informations sur les fonctionnalités automatiques et manuelles d’Azure Security Center disponibles pour l’exécution de vos flux de travail, consultez Automatisation des workflows.

Pour en savoir plus sur la création d’applications logiques, consultez Azure Logic Apps.

Disponibilité générale d’un correctif rapide pour les ressources en bloc

Compte tenu des nombreuses tâches confiées aux utilisateurs en lien avec le degré de sécurisation, il peut devenir difficile de résoudre efficacement les problèmes survenant au sein d’un part informatique de grande taille.

Utilisez la correction de correctif rapide pour corriger les configurations incorrectes de sécurité, corriger les recommandations sur plusieurs ressources et améliorer votre score de sécurité.

Cette opération vous permet de sélectionner les ressources auxquelles à corriger et de lancer une action de correction qui configure le paramètre à votre place.

Un correctif rapide est dès aujourd’hui en disponibilité générale pour les clients dans la page Recommandations du Security Center.

Pour connaître les recommandations assorties d’un correctif rapide, consultez le guide de référence relatif aux recommandations de sécurité.

Analyser des images de conteneur pour détecter des vulnérabilités (préversion)

Azure Security Center peut désormais analyser des images de conteneur dans Azure Container Registry pour rechercher des vulnérabilités.

Le balayage d’image fonctionne en analysant le fichier image du conteneur, puis en vérifiant s’il existe des vulnérabilités connues (optimisées par Qualys).

L’analyse proprement dite est déclenchée automatiquement lors de l’envoi (push) de nouvelles images de conteneur au Registre de conteneurs Azure (Azure Container Registry). Les vulnérabilités découvertes feront l’objet de recommandations de Security Center et seront incluses dans le degré de sécurisation avec des informations sur la façon de les corriger afin de réduire la surface d’attaque qu’elles offrent.

Normes de conformité réglementaire supplémentaires (préversion)

Le tableau de bord Conformité réglementaire fournit des insights sur votre posture de conformité en fonction des évaluations du Security Center. Le tableau de bord indique la conformité de votre environnement avec des contrôles et exigences stipulés par des normes réglementaires et des benchmarks sectoriels spécifiques, et fournit des recommandations prescriptives sur la façon de s’y conformer.

À ce jour, ce tableau de bord prend en charge quatre normes intégrées : Azure CIS 1.1.0, PCI-DSS, ISO 27001 et SOC-TSP. Nous annonçons à présent la pris en charge en préversion publique de normes supplémentaires, à savoir : NIST SP 800-53 R4, SWIFT CSP CSCF v2020, Canada Federal PBMM et UK Official avec UK NHS. Nous publions également une version mise à jour d’Azure CIS 1.1.0, qui couvre davantage de contrôles à partir de l’extensibilité standard et améliorée.

Apprenez-en davantage sur la personnalisation de l’ensemble de normes de votre tableau de bord de conformité réglementaire.

Protection contre les menaces pour Azure Kubernetes Service (préversion)

Kubernetes devient rapidement la nouvelle norme pour le déploiement et la gestion de logiciels dans le cloud. Rares sont les utilisateurs qui ont une expérience approfondie de Kubernetes et nombreux sont ceux qui se concentrent uniquement sur l’ingénierie et l’administration générales en négligeant la sécurité. Il convient de configurer l’environnement Kubernetes avec soin pour le sécuriser en s’assurant qu’aucune porte laissée ouverte, donnant sur une surface d’attaque de conteneurs, n’est exposée pour des attaquants. Azure Security Center étend son support en lien avec les conteneurs à un service Azure qui connaît une croissance des plus rapides, à savoir Azure Kubernetes Service (AKS).

Les nouvelles fonctionnalités de cette préversion publique sont les suivantes :

• Détection et visibilité : détection continue des instances AKS gérées à l’intérieur des abonnements inscrits de Security Center.
• Recommandations concernant le degré de sécurisation : éléments actionnables pour aider les clients à se conformer aux meilleures pratiques de sécurité pour AKS, et renforcer leur degré de sécurisation. Ces recommandations incluent des éléments tels que « Le contrôle d’accès en fonction du rôle doit être utilisé pour limiter l’accès à un cluster de service Kubernetes ».
• Détection des menaces : analyses basées sur un hôte ou un cluster, par exemple, « un conteneur privilégié détecté ».

Évaluation des vulnérabilités des machines virtuelles (préversion)

Les applications installées sur les machines virtuelles peuvent souvent présenter des vulnérabilités susceptibles d’entraîner une violation de ces machines. Nous annonçons que le niveau de service Standard de Security Center comprend une évaluation des vulnérabilités intégrée pour les machines virtuelles sans frais supplémentaires. L’évaluation des vulnérabilités, optimisée par Qualys dans la préversion publique, vous permet d’analyser en continu toutes les applications installées sur une machine virtuelle afin d’épingler celles qui sont vulnérables, et de présenter les résultats sur le portail Security Center. Security Center prend en charge toutes les opérations de déploiement afin que l’utilisateur n’ait aucun travail supplémentaire à accomplir. À l’avenir, nous envisageons de fournir des options d’évaluation des vulnérabilités pour satisfaire aux besoins uniques de nos clients.

Apprenez-en davantage sur l’évaluation des vulnérabilités de vos machines virtuelles Azure.

Advanced Data Security pour SQL Server sur machines virtuelles Azure (préversion)

Le support d’Azure Security Center en lien avec la protection contre les menaces et l’évaluation des vulnérabilités pour les bases de données SQL s’exécutant sur des machines virtuelles IaaS est désormais en préversion.

La fonctionnalité Évaluation des vulnérabilités est un service simple à configurer, qui vous permet de découvrir, suivre et de corriger des vulnérabilités de base de données potentielles. Il offre une visibilité sur votre posture de sécurité dans le cadre du degré de sécurisation et inclut des étapes pour résoudre les problèmes de sécurité et renforcer la protection de votre base de données.

La protection avancée contre les menaces détecte des activités anormales indiquant des tentatives inhabituelles et potentiellement dangereuses d’accès à votre serveur SQL ou d’exploitation de celui-ci. Elle supervise en permanence votre base de données pour détecter des activités suspectes, et envoie des alertes de sécurité orientées action en cas de modèles d’accès anormaux à la base de données. Ces alertes fournissent des détails sur les activités suspectes et des mesures recommandées pour examiner et atténuer la menace.

Prise en charge de stratégies personnalisées (préversion)

Azure Security Center prend désormais en charge les stratégies personnalisées (en préversion).

Nos clients ont exprimé le souhait d’étendre la couverture de leurs évaluations de la sécurité actuelles dans Security Center en y ajoutant leurs propres évaluations de la sécurité, basées sur des stratégies qu’ils créent dans Azure Policy. Grâce à la prise en charge des stratégies personnalisées, c’est désormais possible.

Ces stratégies personnalisées font désormais partie des recommandations d’Azure Security Center, du degré de sécurisation et du tableau de bord des normes de conformité réglementaire. Avec la prise en charge des stratégies personnalisées, vous pouvez désormais créer une initiative personnalisée dans Azure Policy, puis l’ajouter en tant que stratégie dans Azure Security Center et la visualiser en tant que recommandation.

Extension de la couverture d’Azure Security Center avec une plateforme pour la communauté et les partenaires

Utilisez Security Center pour recevoir des recommandations, non seulement de Microsoft, mais aussi de solutions existantes de partenaires tels que Check Point, Tenable et CyberArk, avec de nombreuses intégrations supplémentaires à venir. Le flux d’intégration simple de Security Center peut connecter vos solutions existantes à Security Center, ce qui vous permet d’afficher les recommandations relatives à votre posture de sécurité dans un emplacement unique, de générer des rapports unifiés et de tirer parti de toutes les fonctionnalités de Security Center en lien avec les recommandations intégrées et de partenaires. Vous pouvez également exporter les recommandations de Security Center vers des produits partenaires.

Apprenez-en davantage sur l’Association de sécurité intelligente de Microsoft.

Intégrations avancées avec exportation de recommandations et d’alertes (préversion)

Afin d’activer des scénarios de niveau entreprise en plus de Security Center, il est désormais possible d’utiliser des alertes et recommandations du Security Center dans des emplacements supplémentaires, à l’exception du portail Azure ou de l’API. Vous pouvez les exporter directement vers un Event Hub et des espaces de travail Log Analytics. Voici quelques flux de travail que vous pouvez créer autour de ces nouvelles fonctionnalités :

• Avec une exportation vers un espace de travail Log Analytics, vous pouvez créer des tableaux de bord personnalisés avec Power BI.
• Avec une exportation vers Event Hubs, vous pouvez exporter les alertes et recommandations d’Azure Security Center vers vos informations de sécurité et gestion d’événements (SIEM) tierces, vers une solution tierce ou vers Azure Data Explorer.

Intégrer des serveurs locaux à Security Center à partir du Centre d’administration Windows (préversion)

Le Centre d’administration Windows est un portail de gestion pour les serveurs Windows non déployés dans Azure, qui offre à ceux-ci plusieurs fonctionnalités de gestion Azure, telles que la sauvegarde et les mises à jour système. Nous avons récemment ajouté la possibilité d’intégrer ces serveurs non-Azure de façon à ce qu’ils soient protégés par ASC directement à partir du Centre d’administration Windows.

Avec cette nouvelle expérience, les utilisateurs peuvent intégrer un serveur WAC à Azure Security Center et activer l’affichage de des alertes et recommandations de sécurité de celui-ci directement dans le Centre d’administration Windows.

Septembre 2019

Les mises à jour en septembre sont les suivantes :

• Gestion des règles avec des améliorations des contrôles d’application adaptatifs
• Contrôler la recommandation de sécurité de conteneur à l’aide d’Azure Policy

Gestion des règles avec des améliorations des contrôles d’application adaptatifs

L’expérience de gestion des règles pour les machines virtuelles à l’aide de contrôles d’application adaptatifs a été améliorée. Les contrôles d’application adaptatifs d’Azure Security Center vous aident à contrôler les applications qui peuvent s’exécuter sur vos machines virtuelles. En plus d’une amélioration générale de la gestion des règles, un nouvel avantage vous permet de contrôler les types de fichiers qui seront protégés lorsque vous ajoutez une nouvelle règle.

Apprenez-en davantage sur les contrôles d’application adaptatifs.

Contrôler la recommandation de sécurité de conteneur à l’aide d’Azure Policy

La recommandation d’Azure Security Center pour corriger des vulnérabilités dans la sécurité de conteneur peut désormais être activée ou désactivée via Azure Policy.

Pour afficher vos stratégies de sécurité activées, dans le Security Center, ouvrez la page Stratégie de sécurité.

Août 2019

Les mises à jour en août sont les suivantes :

• Accès de machine virtuelle juste-à-temps (JAT) pour Pare-feu Azure
• Correction en un seul clic pour améliorer votre posture de sécurité (préversion)
• Gestion multilocataire

Accès de machine virtuelle juste-à-temps (JAT) pour le Pare-feu Azure

L’accès de machine virtuelle juste-à-temps (JAT) pour le Pare-feu Azure est désormais généralement disponible. Utilisez-le pour sécuriser vos environnements protégés par un Pare-feu Azure en plus de vos environnements protégés par un groupe de sécurité réseau.

L’accès de machine virtuelle JAT réduit l’exposition aux attaques volumétriques de réseau en fournissant aux machines virtuelles un accès contrôlé uniquement si nécessaire, à l’aide de vos règles de groupe de sécurité réseau et de Pare-feu Azure.

Lorsque vous activez l’accès JAT pour vos machines virtuelles, vous créez une stratégie qui détermine les ports à protéger, la durée pendant laquelle les ports doivent rester ouverts et les adresses IP approuvées à partir desquelles ces ports sont accessibles. Cette stratégie vous permet contrôler ce que les utilisateurs peuvent faire quand ils demandent l’accès.

Les demandes étant consignées dans le journal d’activité Azure, vous pouvez surveiller et vérifier facilement l’accès. La page juste-à-temps vous aide également à identifier rapidement les machines virtuelles existantes pour lesquelles l’accès JAT est activé et celles pour lesquelles il est recommandé.

Apprenez-en davantage sur le Pare-feu Azure.

Correction en un seul clic pour améliorer votre posture de sécurité (préversion)

Le degré de sécurisation est un outil qui vous aide à évaluer la sécurité de la charge de travail. Il examine vos recommandations de sécurité et les hiérarchise de façon à ce que vous sachiez celles que vous devez appliquer en premier. Cela vous aide à épingler les vulnérabilités de sécurité les plus graves pour hiérarchiser l’investigation.

Afin de simplifier la correction des configurations de sécurité incorrectes et de vous aider à améliorer rapidement votre degré de sécurisation, nous avons ajouté une nouvelle fonctionnalité qui vous permet d’appliquer une recommandation à un lot de ressources en un seul clic.

Cette opération vous permettra de sélectionner les ressources auxquelles vous souhaitez appliquer la correction, et de lancer une action de correction qui configurera le paramètre pour vous.

Pour connaître les recommandations assorties d’un correctif rapide, consultez le guide de référence relatif aux recommandations de sécurité.

Gestion multilocataire

Azure Security Center prend désormais en charge les scénarios de gestion mutualisée dans Azure Lighthouse. Cela vous permet d’acquérir une visibilité et de gérer la posture de sécurité de plusieurs locataires dans Azure Security Center.

Apprenez-en davantage sur les expériences de gestion mutualisée.

Juillet 2019

Mises à jour des recommandations pour le réseau

Azure Security Center a publié de nouvelles recommandations pour la mise en réseau, et amélioré des recommandations existantes. Désormais, l’utilisation d’Azure Security Center garantit une meilleure protection réseau pour vos ressources.

Apprenez-en davantage sur les recommandations pour le réseau.

Juin 2019

Renforcement adaptatif du réseau - mise à la disposition générale

L’une des principales surfaces d’attaque pour les charges de travail s’exécutant dans le cloud public est celle des interconnexions avec l’Internet public. Nos clients trouvent difficile de savoir quelles règles de groupe de sécurité mettre en place pour s’assurer que les charges de travail Azure ne sont disponibles que pour les plages sources requises. Cette fonctionnalité permet à Security Center d’apprendre le trafic réseau et les modèles de connectivité des charges de travail Azure, et fournit des recommandations de règle de groupe de sécurité réseau pour les machines virtuelles accessibles via Internet. Cela permet à nos clients de mieux configurer leurs stratégies d’accès réseau et de limiter leur exposition aux attaques.

Apprenez-en davantage sur le renforcement du réseau adaptative.