Vue d’ensemble des indicateurs dans Microsoft Defender pour point de terminaison

  • S’applique à: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Vue d’ensemble de l’indicateur de compromission (IoC)

Un indicateur de compromission (IoC) est un artefact d’investigation observé sur le réseau ou l’hôte. Un IoC indique, avec un niveau de confiance élevé, qu’une intrusion d’ordinateur ou de réseau s’est produite. Les ioC sont observables, ce qui les lie directement à des événements mesurables. Voici quelques exemples d’IoC :

  • hachages de programmes malveillants connus
  • signatures du trafic réseau malveillant
  • URL ou domaines qui sont des distributeurs de programmes malveillants connus

Pour arrêter d’autres compromissions ou empêcher les violations d’IoC connus, les outils IoC réussis doivent être en mesure de détecter toutes les données malveillantes énumérées par l’ensemble de règles de l’outil. La mise en correspondance des IoC est une fonctionnalité essentielle de toute solution de protection des terminaux. Cette fonctionnalité permet à SecOps de définir une liste d’indicateurs de détection et de blocage (prévention et réponse).

Les organisations peuvent créer des indicateurs qui définissent la détection, la prévention et l’exclusion des entités IoC. Vous pouvez définir l’action à entreprendre, ainsi que la durée d’application de l’action et l’étendue du groupe d’appareils auquel l’appliquer.

Cette vidéo montre une procédure pas à pas de création et d’ajout d’indicateurs :

À propos des indicateurs Microsoft

En règle générale, vous devez uniquement créer des indicateurs pour les ioC défectueux connus, ou pour tous les fichiers/sites web qui doivent être explicitement autorisés dans votre organization. Pour plus d’informations sur les types de sites que Microsoft Defender pour point de terminaison peut bloquer par défaut, consultez Vue d’ensemble de Microsoft Defender SmartScreen.

Un faux positif (FP) fait référence à un faux positif dans le renseignement sur les menaces de Microsoft. Si une ressource donnée ne constitue pas réellement une menace, vous pouvez créer une autorisation « Allow IoC » afin d’autoriser cette ressource. Vous pouvez également contribuer à améliorer les informations de sécurité de Microsoft en envoyant des faux positifs et des ioC suspects ou connus pour analyse. Si un avertissement ou un blocage est affiché de manière incorrecte pour un fichier ou une application, ou si vous pensez qu’un fichier non détecté est un logiciel malveillant, vous pouvez envoyer un fichier à Microsoft pour révision. Pour plus d’informations, consultez Envoyer des fichiers à des fins d’analyse.

Ip/URL/Indicateurs de domaine

Vous pouvez utiliser des indicateurs d’adresse IP et d’URL/domaine pour gérer l’accès au site.

Pour bloquer les connexions à une adresse IP, tapez l’adresse IPv4 au format pointillé-quad (par exemple, 8.8.8.8). Pour les adresses IPv6, spécifiez les huit segments (par exemple, 2001:4860:4860:0:0:0:0:8888). Notez que les caractères génériques et les plages ne sont pas pris en charge.

Pour bloquer les connexions à un domaine et à l’un de ses sous-domaines, spécifiez le domaine (par exemple, contoso.com). Cet indicateur correspond contoso.com ainsi qu’à sub.contoso.com et anything.sub.contoso.com.

Pour bloquer un chemin d’URL spécifique, spécifiez le chemin d’URL (par exemple, https://contoso.com/block). Cet indicateur correspond aux ressources sous le chemin d’accès /block sur contoso.com. Notez que les chemins d’URL HTTPS sont mis en correspondance uniquement dans Microsoft Edge . Les chemins d’URL HTTP peuvent être mis en correspondance dans n’importe quel navigateur.

Vous pouvez également créer des indicateurs d’ADRESSE IP et d’URL pour débloquer les utilisateurs d’un bloc SmartScreen ou contourner de manière sélective les blocs de filtrage de contenu web des sites que vous souhaitez autoriser à charger. Par exemple, prenons le cas où le filtrage de contenu web est défini pour bloquer tous les sites web de réseaux sociaux. Toutefois, l’équipe marketing a l’obligation d’utiliser un site de médias sociaux spécifique pour surveiller ses placements publicitaires. Dans ce cas, vous pouvez autoriser l’accès au site de réseau social concerné en créant un indicateur de domaine de type Autoriser et en l’affectant au groupe d’appareils de l’équipe marketing.

Consultez Protection web et filtrage de contenu web

Indicateurs IP/URL : protection du réseau et poignée de main TCP en trois temps

Avec la protection réseau, la décision d’autoriser ou de bloquer l’accès à un site est prise une fois la négociation en trois temps TCP/IP terminée. Par conséquent, lorsqu’un site est bloqué par la protection réseau, vous pouvez voir un type d’action sous ConnectionSuccessNetworkConnectionEvents dans le portail Microsoft Defender, même si le site a été bloqué. NetworkConnectionEvents sont signalés par la couche TCP, et non par la protection du réseau. Une fois la connexion en trois étapes établie, l'accès au site est autorisé ou bloqué par la protection réseau.

Voici un exemple de fonctionnement :

  1. Supposons qu’un utilisateur tente d’accéder à un site web sur son appareil. Le site est hébergé sur un domaine dangereux et doit être bloqué par la protection réseau.

  2. La poignée de main en trois temps via TCP/IP commence. Avant qu’elle ne se termine, une NetworkConnectionEvents action est journalisée et son ActionType est répertorié en tant que ConnectionSuccess. Toutefois, dès que le processus de handshake en trois temps est terminé, la protection réseau bloque l’accès au site. Tout cela se produit rapidement. Un processus similaire a lieu avec Microsoft Defender SmartScreen ; c’est lorsque la poignée de main en trois temps est terminée qu’une décision est prise, et l’accès au site est soit bloqué, soit autorisé.

  3. Dans le portail Microsoft Defender, une alerte est répertoriée dans la file d’attente des alertes. Les détails de cette alerte incluent à la fois NetworkConnectionEvents et AlertEvents. Vous pouvez voir que le site a été bloqué, même si vous avez également un NetworkConnectionEvents élément avec l’ActionType de ConnectionSuccess.

Indicateurs de hachage de fichier

Dans certains cas, créer un nouvel indicateur pour un fichier nouvellement identifié comme IoC, en tant que mesure provisoire immédiate, peut être approprié pour bloquer des fichiers ou même des applications. Toutefois, l’utilisation d’indicateurs pour tenter de bloquer une application peut ne pas fournir les résultats attendus, car les applications sont généralement composées de nombreux fichiers différents. Les méthodes recommandées pour bloquer les applications sont d’utiliser Windows Defender Application Control (WDAC) ou AppLocker.

Étant donné que chaque version d’une application a un hachage de fichier différent, l’utilisation d’indicateurs pour bloquer les hachages n’est pas recommandée.

Windows Defender Application Control (WDAC)

Indicateurs de certificat

Vous pouvez créer un IoC pour autoriser ou bloquer les fichiers et les applications signés par ce certificat. Les indicateurs de certificat peuvent être fournis au format de fichier .CER ou .PEM. Pour plus d’informations, consultez Créer des indicateurs basés sur des certificats .

Moteurs de détection d’IoC

Actuellement, les sources Microsoft prises en charge pour les ioC sont les suivantes :

Moteur de détection du cloud

Le moteur de détection cloud de Defender pour point de terminaison analyse régulièrement les données collectées et tente de faire correspondre les indicateurs que vous définissez. En cas de correspondance, l’action est effectuée en fonction des paramètres que vous avez spécifiés pour l’IoC.

Moteur de prévention des points de terminaison

La même liste d’indicateurs est respectée par l’agent de prévention. En d’autres termes, si Microsoft Defender Antivirus est l’antivirus principal configuré, les indicateurs correspondants sont traités en fonction des paramètres. Par exemple, si l’action est bloquer et corriger, Microsoft Defender Antivirus empêche les exécutions de fichiers et une alerte correspondante s’affiche. En revanche, si l’Action est définie sur Autoriser, Microsoft Defender Antivirus ne détecte pas ou ne bloque pas le fichier.

Moteur automatisé d’investigation et de correction

L’examen et la correction automatisés se comportent de la même façon que le moteur de prévention des points de terminaison. Si un indicateur est défini sur Autoriser, l’investigation et la correction automatisées ignorent un verdict incorrect . S’il est défini sur Bloquer, l’investigation et la correction automatisées le traitent comme incorrect.

Le EnableFileHashComputation paramètre calcule le hachage de fichier pendant les analyses de fichiers. Il prend en charge l’application de l’IoC contre les hachages appartenant à des applications approuvées. Il est activé simultanément avec le paramètre autoriser ou bloquer le fichier. EnableFileHashComputationest activé manuellement via stratégie de groupe et est désactivé par défaut.

Types d’application pour les indicateurs

Lorsque votre équipe de sécurité crée un indicateur (IoC), les actions suivantes sont disponibles :

  • Autoriser : l’IoC est autorisé à s’exécuter sur vos appareils.
  • Audit : une alerte est déclenchée lorsque l’IoC s’exécute.
  • Avertir : l’IoC affiche un avertissement indiquant que l’utilisateur peut contourner
  • Bloquer l’exécution : l’IoC n’est pas autorisé à s’exécuter.
  • Bloquer et corriger : l’IoC n’est pas autorisé à s’exécuter et une action de correction est appliquée à l’IoC.

Remarque

L’utilisation du mode Avertissement invite les utilisateurs à indiquer un avertissement s’ils ouvrent une application ou un site web à risque. L’invite ne les empêche pas d’autoriser l’exécution de l’application ou du site web, mais vous pouvez fournir un message personnalisé et des liens vers une page d’entreprise qui décrit l’utilisation appropriée de l’application. Les utilisateurs peuvent toujours ignorer l’avertissement et continuer à utiliser l’application si nécessaire. Pour plus d’informations, consultez Gérer les applications découvertes par Microsoft Defender for Endpoint.

Remarque

Pour l’action « Avertir », pour recevoir la notification toast afin de pouvoir contourner l’IoC, assurez-vous que l’option « Des fichiers ou des activités sont bloqués » est activée dans Notifications de protection contre les virus et menaces. La clé de Registre correspondante doit être définie comme suit : HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Defender Security Center\Virus et protection contre les menaces\FilesBlockedNotificationDisabled = 0.

Pour plus de détails, consultez Paramètres de l’application Sécurité Windows.

Vous pouvez créer un indicateur pour :

Le tableau ci-dessous montre les actions disponibles par type d’indicateur (IoC) :

Type d’IoC Actions disponibles
Files Autoriser
Audit
Avertir
Bloquer l’exécution
Bloquer et corriger
Adresses IP Autoriser
Audit
Avertir
Bloquer l’exécution
URL et domaines Autoriser
Audit
Avertir
Bloquer l’exécution
Certificats Autoriser
Bloquer et corriger

Les fonctionnalités des ioC préexistantes ne changent pas. Toutefois, les indicateurs sont renommés pour correspondre aux actions de réponse actuellement prises en charge :

  • L’action de réponse d’alerte uniquement a été renommée pour auditer avec le paramètre d’alerte généré activé.
  • La réponse d’alerte et de blocage a été renommée blocage et remédiation, avec le paramètre facultatif « générer une alerte ».

Le schéma de l’API IoC et les ID de menace dans Advanced Hunting sont mis à jour pour s’aligner sur le changement de nom des actions de réponse IoC. Les modifications apportées au schéma d’API s’appliquent à tous les types IoC.

Remarque

Il existe une limite de 15 000 indicateurs par locataire. Les augmentations de cette limite ne sont pas prises en charge.

Les indicateurs de fichier et de certificat ne bloquent pas les exclusions définies pour Microsoft Defender Antivirus. Les indicateurs ne sont pas pris en charge dans Microsoft Defender Antivirus lorsqu’il est en mode passif.

Le format d’importation des nouveaux indicateurs (IoC) a changé en fonction des nouveaux paramètres d’actions et d’alertes mis à jour. Nous vous recommandons de télécharger le nouveau format CSV qui se trouve en bas du panneau d’importation.

Si les indicateurs sont synchronisés avec le portail Defender à partir de Microsoft Defender for Cloud Apps pour les applications approuvées ou non approuvées, les paramètres sont remplacés lorsqu’ils sont synchronisés avec Microsoft Defender portail. L’option Generate Alert est activée par défaut dans le portail Microsoft Defender pour les applications non approuvées. Si vous essayez de désactiver l’option Generate Alert pour Defender for Endpoint, elle est réactivée après un certain temps, car la stratégie Defender for Cloud Apps prend le pas sur ce paramètre. Applications approuvées ou autorisées dont la valeur n’est pas définie sur Generate Alert.

Problèmes connus et limites

Les applications Microsoft ne peuvent pas être bloquées par Microsoft Defender car elles sont signées par Microsoft.

Les clients peuvent rencontrer des problèmes avec les alertes pour les ioC. Les scénarios suivants sont des situations où les alertes ne sont pas créées ou sont créées avec des informations inexactes.

  • Indicateurs de blocage et d’avertissement : des alertes génériques de gravité informative uniquement sont créées. Les alertes personnalisées (c’est-à-dire le titre et la gravité personnalisés) ne sont pas déclenchées dans ces cas.
  • Autoriser : aucune alerte n’est générée (par conception).
  • Audit : les alertes sont générées en fonction du niveau de gravité défini par le client (comme prévu).
  • Dans certains cas, les alertes provenant des détections EDR peuvent être prioritaires sur les alertes provenant de blocs antivirus, auquel cas une alerte d’informations est générée.
  • Last updated on