Gérer et répondre aux alertes de sécurité

Pour connaître les éléments prérequis et requis, consultez Matrices de prise en charge pour Defender pour le cloud.

Effectuez les étapes suivantes :

1. Connectez-vous au portail Azure.

2. Accédez à Microsoft Defender pour le cloud>Alertes de sécurité.

   

3. (Facultatif) Filtrez la liste des alertes à l’aide de l’un des filtres appropriés. Vous pouvez ajouter des filtres supplémentaires avec l’option Ajouter un filtre.

   

   La liste est mise à jour en fonction des filtres sélectionnés. Supposons que vous souhaitiez vérifier les alertes de sécurité qui se sont produites au cours des dernières 24 heures, car vous recherchez une violation de sécurité potentielle du système.

Chaque alerte contient des informations concernant l’alerte qui vous aide dans votre examen.

Pour examiner une alerte de sécurité :

1. Sélectionnez une alerte. Un volet latéral s’ouvre, affichant une description de l’alerte et de toutes les ressources affectées.

   

2. Passez en revue les informations générales relatives à l’alerte de sécurité.

   • Gravité de l’alerte, état et durée d’activité
   • Description qui explique l’activité précise détectée
   • Ressources affectées
   • Intention de la chaîne d’arrêt de l’activité sur la matrice MITRE ATT&CK (le cas échéant)

3. Sélectionnez Afficher les détails complets.

   Le volet droit comprend l’onglet Détails de l’alerte contenant des détails supplémentaires sur l’alerte pour vous aider à examiner le problème : adresses IP, fichiers, processus et bien plus encore.

   

   Dans le volet droit figure aussi l’onglet Entreprendre une action. Utilisez cet onglet pour prendre d’autres mesures concernant l’alerte de sécurité. Actions telles que :

   • Inspecter le contexte de la ressource : vous envoie les journaux d’activité de la ressource qui prennent en charge l’alerte de sécurité
   • Atténuer la menace : fournit des étapes de correction manuelle pour cette alerte de sécurité
   • Empêcher les attaques futures : fournit des recommandations de sécurité pour aider à réduire la surface d’attaque, améliorer la posture de sécurité et ainsi empêcher les attaques futures
   • Déclencher une réponse automatisée : permet de déclencher une application logique en guide de réponse à cette alerte de sécurité.
   • Supprimer les alertes similaires : permet de supprimer les alertes futures ayant des caractéristiques similaires si l’alerte n’est pas pertinente pour votre organisation.

   

   Pour plus d’informations, contactez le propriétaire de la ressource pour vérifier si l’activité détectée est un faux positif. Vous pouvez également examiner les journaux bruts générés par la ressource attaquée.

La liste des alertes inclut des cases à cocher qui vous permettent de gérer plusieurs alertes en même temps. Par exemple, à des fins de triage, vous pouvez décider d’ignorer toutes les alertes d’information pour une ressource spécifique.

1. Filtrez en fonction des alertes que vous souhaitez gérer en bloc.

   Dans cet exemple, les alertes avec gravité de Informational pour la ressource ASC-AKS-CLOUD-TALK sont sélectionnées.

   

2. Utilisez les cases à cocher pour sélectionner les alertes à traiter.

   Dans cet exemple, toutes les alertes sont sélectionnées. Le bouton Modifier l’état est maintenant disponible.

   

3. Utilisez les options Modifier l’état pour définir l’état souhaité.

   

   L’état des alertes affichées dans la page active est remplacé par la valeur sélectionnée.

Après avoir examiné une alerte de sécurité, vous pouvez répondre à l’alerte à partir de Microsoft Defender pour le cloud.

Répondre à une alerte de sécurité :

1. Ouvrez l’onglet Entreprendre une action pour voir les réponses recommandées.

   

2. Consultez la section Atténuer la menace, qui indique les étapes d’investigation manuelle nécessaires à l’atténuation du problème.

3. Pour renforcer vos ressources et empêcher les futures attaques de ce genre, appliquez les recommandations de sécurité indiquées dans la section Empêcher les attaques futures.

4. Pour déclencher une application logique avec des étapes de réponse automatisée, utilisez la section Déclencher une réponse automatisée et sélectionnez Déclencher une application logique.

5. Si l’activité détectée n’est pas malveillante, vous pouvez supprimer les alertes futures de ce genre à l’aide de la section Supprimer les alertes similaires et en sélectionnant Créer une règle de suppression.

6. Sélectionnez Configurer les paramètres de notification par e-mail pour afficher qui reçoit des e-mails concernant les alertes de sécurité sur cet abonnement. Contactez le propriétaire de l’abonnement pour configurer les paramètres des e-mails.

7. Lorsque vous avez terminé d’examiner l’alerte et y avez répondu de manière appropriée, changez l’état en Ignoré.

   

   L’alerte est supprimée de la liste principale des alertes. Vous pouvez utiliser le filtre de la page de la liste des alertes pour voir toutes les alertes ayant l’état Ignoré.

8. Nous vous encourageons à fournir à Microsoft des commentaires sur l’alerte,

   1. en la signalant comme étant Utile ou Inutile.
   2. Sélectionnez une raison et ajoutez un commentaire.

   

   Conseil

   Nous examinons vos commentaires afin d’améliorer nos algorithmes et de fournir de meilleures alertes de sécurité.

   Pour en savoir plus sur les différents types d’alertes, consultez Alertes de sécurité – guide de référence.

   Pour une vue d’ensemble de la façon dont Defender pour le cloud génère des alertes, consultez Comment Microsoft Defender pour le cloud détecte et répond aux menaces.

   Passer en revue les résultats de l’analyse sans agent

   Les résultats d’une analyse à la fois basée sur un agent et sans agent s’affichent dans la page Alertes de sécurité.

   

   Remarque

   La correction de l’une de ces alertes ne corrige pas l’autre tant que l’analyse suivante n’est pas terminée.