La nouvelle expérience de sécurité pour les serveurs Defender

S’applique à: Microsoft Defender for Endpoint Plan 2

La nouvelle expérience de sécurité pour les serveurs Defender réunit Defender pour point de terminaison et Defender pour serveurs dans le portail Microsoft Defender. Utilisez-le pour gérer la protection des serveurs et enquêter sur les menaces en utilisant les informations cloud et endpoint en un seul endroit.

Cette version publique couvre les environnements Azure et les serveurs sur site. Découvrez les Nouveautés pour consulter le résumé de la version.

Sur cette page : | Enquêter sur un incident | Lancer la chasse | RBAC et groupes d’appareils.

Les serveurs exécutent déjà Defender for Endpoint

Les serveurs déjà sous Defender for Endpoint continuent de fonctionner avec leur configuration existante. Vous n’avez pas besoin de les inscrire, de les réinstaller ou de les migrer pour maintenir leur protection existante. Examinez les exigences de chaque capacité unifiée avant de modifier votre configuration.

Consultez la page des assets serveur

La page d’assets serveur regroupe les informations disponibles sur les ressources cloud et les dispositifs de point de terminaison pour le même serveur, au lieu de nécessiter des pages d’investigation séparées.

Dans Microsoft Defender, ouvrez une alerte concernant le serveur et sélectionnez Ouvrir la page d'asset dans le menu du serveur. Depuis un graphique de l’incident, ouvrez le menu du nœud serveur et sélectionnez Détails de la ressource.
Vérifiez l’ID de l’appareil de terminaison et, lorsque disponible, l’ID de ressource Azure. N’identifiez pas un serveur uniquement par son nom.
Examinez l’identité du serveur, son statut d’intégration, ainsi que les informations disponibles sur les ressources et le système d’exploitation.
Sélectionnez Ouvrir la chronologie de l’appareil pour inspecter l’activité du point de terminaison, ou Go hunt pour enquêter sur les événements liés.

Si les dossiers semblent dupliqués ou incorrectement correspondus, vérifiez les deux identifiants avant d’agir. Le contexte disponible dépend des sources de données connectées ; l'intégration manuelle ne crée pas de ressource Azure.

Les actions de réponse dépendent de vos permissions, de la plateforme et de l’état du serveur. Utilisez les guides de réponse pour les appareils pris en charge avant d’entreprendre une action pouvant affecter la charge de travail.

Examiner les alertes et les incidents

Pour enquêter sur un serveur, vous devez accéder à ses données d’enquête, et le serveur doit avoir une alerte ou un incident associé.

Ouvrez un incident impliquant le serveur et examinez son graphe d’attaque.
Sélectionnez le nœud serveur. Pour un serveur avec des enregistrements cloud et endpoint corrélés, le graphe fournit une identité de serveur et un menu d’investigation.
Faites un clic droit sur le nœud ou ouvrez son menu à points de suspension. Choisissez Détails de la ressource pour le contexte, Épingler les alertes liées pour inspecter les détections connexes, ou Lancer la chasse pour enquêter sur l’activité.
Ouvrez une alerte associée et suivez son lien serveur. Confirmez qu’elle mène à la même identité serveur avant d’envisager une action de réponse.

Les alertes cloud et endpoint peuvent se référer au même serveur sans devenir une seule alerte. Une identité d’actif partagée ne garantit pas que chaque alerte soit regroupée en un seul incident.

Utiliser Go hunt

Vous avez besoin d’un accès à la recherche avancée sur les données interrogées. Pouvoir ouvrir une page d’assets ne donne pas accès à toutes les tables de chasse.

Depuis le graphique d’incident, ouvrez le menu du nœud de serveur et sélectionnez Go hunt. Vous pouvez aussi utiliser l’action depuis le contexte d’alerte ou de ressource du serveur lorsque disponible.
Choisissez Toutes les activités, Alertes connexes ou Voir toutes les requêtes disponibles, puis sélectionnez la requête dont vous avez besoin.
Inspectez la requête générée et ses résultats dans Advanced hunting. Go Hunt peut exécuter la requête générée automatiquement au lieu de l’afficher uniquement pour examen.
Vérifiez que la requête cible le serveur prévu. Lorsque les deux identités sont disponibles, examinez ses identifiants d’appareil de point de terminaison et de ressource cloud, les tables sélectionnées et la plage de temps.
Pour enquêter sur une autre fenêtre temporelle, ajustez le filtre d’horodatage de la requête et relancez-la. Utilisez UTC dans les expressions de requête.
Ouvrez les résultats pertinents, comparez leurs horodatages avec l’alerte, puis retournez à l’incident pour poursuivre l’enquête.

Pour un événement endpoint spécifique, ouvrez Chronologie de l’appareil, sélectionnez l’événement et utilisez Rechercher les événements associés lorsque cette option est disponible. Cela recherche autour de cet événement plutôt que de partir du serveur entier.

Toutes les activités ne garantit pas que toutes les sources de données sont incluses. Si les résultats sont vides ou incomplets, vérifiez les filtres de requête, les tables disponibles, la rétention, la création de rapports sur les points de terminaison et vos permissions de données. Un résultat de requête vide n’établit pas que le serveur n’est pas affecté. Voir Go hunt query behavior pour des conseils d’ajustement des requêtes.

Vérifier le RBAC et l’accès au serveur

Les rôles définissent ce qu’une personne peut faire ; les périmètres définissent les données auxquelles elle peut accéder.

Contrôler	Purpose
Groupe d’utilisateurs Microsoft Entra	Identifie les personnes recevant l’accès, comme une équipe d’opérations serveur.
Rôle Defender RBAC	Accorde les autorisations de lecture, d’examen, de réponse ou d’administration sélectionnées.
Groupe d’appareils	Regroupe les points de terminaison et contrôle l’accès à leurs données via les groupes d’utilisateurs Entra assignés. Il peut également définir un comportement de remédiation automatisée.
Étendue du cloud	Les groupes sélectionnés d’environnements cloud, tels que les abonnements Azure, pour l’accès aux données cloud. Il est distinct d’Azure RBAC.

Pour un serveur représenté à la fois dans les données cloud et les données des terminaux, configurez le périmètre cloud et le groupe d’appareils concernés. Lier un groupe d’appareils à un scope cloud aligne l’appartenance au serveur ; cela ne remplace pas les attributions de rôles ni n’accorde l’accès aux utilisateurs en soi. Les déploiements existants uniquement sur les terminaux n’ont pas besoin d’une connexion cloud juste pour continuer à fonctionner.

Attribuer les permissions de l’équipe

Utilisez le modèle d’autorisations actif dans votre tenant. N’activez pas un autre modèle simplement pour suivre ce guide.

Pour les locataires utilisant Microsoft Defender RBAC unifié, un administrateur de sécurité ou un administrateur disposant des autorisations d’autorisation déléguées requises peut :

Ouvrez Autorisations>Microsoft Defender XDR>Rôles et créez ou modifiez le rôle approprié.
Sélectionnez les autorisations dont l’équipe a besoin. Gardez l’accès à l’examen séparé des autorisations de réponse et d’administration.
Ajoutez une affectation pour le groupe de sécurité Microsoft Entra de l’équipe et les sources de données requises. L'accès aux données de Defender for Endpoint seul ne permet pas d'accéder aux données Defender for Cloud.
Pour les données du cloud, sélectionnez les étendues cloud prévues. Vérifiez et envoyez l’attribution.

Suivez Créer des rôles personnalisés pour afficher l’assistant complet. Les locataires utilisant encore le modèle de point de terminaison précédent devraient utiliser Defender for Endpoint RBAC ; les rôles existants ne sont pas remplacés par cette expérience.

Définir un groupe de dispositifs serveurs

Créez un groupe d’appareils pour gérer l’accès aux serveurs en utilisant les conditions des appareils ou les étendues cloud existantes. Avant de commencer, assurez-vous que les groupes d’utilisateurs Microsoft Entra que vous souhaitez assigner disposent des rôles appropriés de contrôle d’accès basé sur les rôles (RBAC).

Dans le portail Microsoft Defender, allez dans Paramètres>Points de terminaison>Permissions>Groupes de périphériques.
Sélectionnez Ajouter un groupe d’appareil ou modifiez un groupe existant. Saisissez un nom descriptif et examinez le niveau de remédiation automatisée.

Sur la page Appareils , choisissez comment remplir le groupe :

Option	Description
Définir à l’aide de conditions	Associez les serveurs en utilisant les attributs du périphérique pris en charge, tels que le nom du périphérique, le domaine, les tags ou la plateforme du système d’exploitation.
Sélectionnez des scopes cloud pour peupler ce groupe	Sélectionnez une ou plusieurs étendues cloud existantes. Des appareils de tous les périmètres sélectionnés sont inclus. (version préliminaire)

Sélectionnez Suivant et vérifiez les appareils correspondants sur la page Aperçu des appareils avant de continuer.
Sur la page Accès utilisateur, sélectionnez les groupes d’utilisateurs Microsoft Entra qui devraient y accéder, puis sélectionnez Soumettre.
Examinez l’appartenance à un groupe et les affectations d’accès. Pour les groupes basés sur la condition, examinez le classement du groupe : un dispositif correspondant à plusieurs groupes basés sur la condition appartient au groupe le mieux classé.

Remarque

L’appartenance d’étendue cloud inclut tous les appareils des étendues sélectionnées. Examinez les étendues sélectionnées pour vous assurer que le groupe ne comprend que les appareils prévus.

Aligner une étendue cloud et un groupe d’appareils

Si nécessaire, créez le scope Azure sous Système>Autorisations>Microsoft Defender XDR>Scopes>Ajouter un scope cloud. Sélectionnez les abonnements Azure connectés souhaités.
Attribuez les permissions de données cloud de l’équipe à cette étendue, puis sélectionnez-la dans l’étape Appareils du groupe d’appareils.
Maintenez en place le rôle de point de terminaison de l’équipe et l’attribution Accès utilisateur au groupe d’appareils. Vérifiez l’accès aux deux sources de données.

Consultez Gérer les scopes cloud si une activation de scope est requise. L’activation est un changement de configuration irréversible : vérifiez les affectations existantes et l’assistant d’activation avant de continuer.

Le lien d’étendue cloud met à jour l’appartenance des appareils au fur et à mesure que le contenu de l’étendue sélectionnée change. Les environnements nouvellement connectés ne sont pas automatiquement ajoutés à la portée du cloud. Vérifiez l’appartenance du scope lors de l’ajout d’un environnement Azure.

Vérifiez l’accès effectif

Testez avec des comptes d’analystes ordinaires, pas seulement un compte d’administrateur de sécurité ; un accès large d’administrateur peut masquer les erreurs de cadrage. Un filtre d’affichage réduit une vue mais ne remplace pas les permissions.

Vérifier	Résultat requis
Ouvrir un serveur dans le périmètre d’accès attribué à l’utilisateur	Le serveur prévu et les données autorisées sont disponibles.
Naviguer depuis une alerte ou un incident vers la ressource et la chasse	L’identité du serveur reste correcte et l’accès reste approprié.
Tentative d’ouverture d’un serveur hors périmètre	Les données et les actions restreintes restent inaccessibles.
Vérifier une action de réponse ou de configuration	L’action n’est disponible que pour un utilisateur autorisé ; n’exécutez pas d’actions perturbatrices juste pour tester l’accès.

Si l’accès attendu manque, vérifiez les permissions de role, les attributions de sources de données, l’appartenance au groupe Entra, le groupe effectif de l’appareil et sa portée cloud. Si un analyste détecte des données de serveur visibles par erreur, examinez les autres attributions de rôles et un accès large avant d’étendre le déploiement.

Supprimer la protection du serveur

Voir Retirer des appareils pour la désintégration automatique Azure et d’autres méthodes de désintégration prises en charge.

Commentaires

Est-ce que cette page vous a été utile?

Dernière mise à jour : 2026-10-08