Gérer les règles de détection personnalisées existantes

Gérer les règles de détection personnalisées

Vous pouvez afficher la liste des règles de détection personnalisées existantes, vérifier leurs exécutions précédentes et passer en revue les alertes qui ont été déclenchées. Vous pouvez également exécuter une règle à la demande, la modifier ou créer une règle de détection personnalisée directement à partir de la liste.

Conseil

Les alertes déclenchées par des détections personnalisées sont disponibles sur les api d’alerte et d’incident. Pour plus d’informations, consultez API Microsoft Defender prises en charge.

Pour les utilisateurs qui ont intégré un espace de travail Microsoft Sentinel au portail Microsoft Defender unifié, la liste des règles de détection personnalisées inclut des règles d’analyse. Les sections Afficher les règles existantes et Afficher les détails de la règle, modifier la règle et exécuter la règle s’appliquent également aux règles d’analyse, sauf indication contraire.

Afficher les règles existantes

Pour afficher vos règles de détection personnalisées et vos règles d’analyse existantes, accédez à Chasse>Règles de détection personnalisées.

Pour créer une règle de détection personnalisée directement à partir de la page Règles de détection personnalisées , sélectionnez + Créer une règle de détection. Le fait de sélectionner + Créer une règle de détection ouvre l’assistant de création de règle de détection personnalisée, dans lequel vous pouvez définir la requête, les détails de l’alerte et les actions de réponse. Pour plus d’informations, consultez Créer des règles de détection personnalisées.

Vous pouvez filtrer pour n’importe quelle colonne en accédant à Ajouter un filtre, en sélectionnant les colonnes pour lesquelles vous souhaitez filtrer, puis en sélectionnant Ajouter. Pour chacune des colonnes choisies, sélectionnez la pilule correspondante en regard de Filtres :, sélectionnez les colonnes, puis Appliquer.

Pour rechercher des règles spécifiques, accédez à la zone de recherche en haut à droite de la page et entrez le nom ou l’ID de règle de la règle que vous recherchez.

Pour les organisations multi-espaces de travail qui ont intégré plusieurs espaces de travail à Microsoft Defender, vous pouvez filtrer les espaces de travail à l’aide des colonnes ID d’espace de travail ou Nom de l’espace de travail.

La page répertorie toutes les règles avec les informations d’exécution suivantes:

• Dernière exécution - Date/heure à laquelle une règle a été exécutée pour la dernière fois afin de vérifier les correspondances avec la requête et de générer des alertes
• Dernière exécution status : indique si une règle s’est exécutée correctement (pour les règles de détection personnalisées uniquement)
• Prochaine exécution : la prochaine exécution planifiée
• État : indique si une règle a été activée ou désactivée

Afficher les détails de la règle, modifier la règle et exécuter la règle

Pour afficher des informations complètes sur une règle de détection personnalisée ou une règle d’analyse, accédez à Chasse>Règles de détection personnalisées , puis sélectionnez le nom de la règle. Vous pouvez ensuite afficher des informations générales sur la règle, notamment des informations, son status d’exécution et son étendue. La page fournit également la liste des alertes et actions déclenchées.

Vous pouvez également effectuer les actions suivantes sur la règle à partir de la page de détails de la règle :

• Ouvrir la page des règles de détection : ouvre la page des règles de détection pour afficher les alertes déclenchées et examiner les actions (pour les règles de détection personnalisées uniquement)
• Exécuter : exécute la règle immédiatement ; cela réinitialise également l’intervalle pour l’exécution suivante (pour les règles de détection personnalisées uniquement)
• Modifier : ouvre l’Assistant Règle dans lequel vous pouvez modifier les paramètres de la règle et la requête
• Modifier la requête : ouvre la requête directement dans la recherche avancée pour modification
• Activer / Désactiver : vous permet d’activer la règle ou de l’arrêter de s’exécuter
• Supprimer : désactive la règle et la supprime définitivement
• Inclure ou exclure de la corrélation : vous permet d’inclure ou d’exclure une règle d’analyse de la corrélation. Pour plus d’informations, consultez Gérer les paramètres de corrélation des règles d’analyse dans Microsoft Defender XDR.

Afficher et gérer les alertes déclenchées

Dans l’écran des détails de la règle (Hunting>Détections personnalisées>[Nom de la règle]), accédez à Alertes déclenchées, qui répertorie les alertes générées par les correspondances à la règle. Sélectionner une alerte pour afficher des informations détaillées à son sujet et effectuer les actions suivantes:

• Gérer l’alerte en définissant son état et sa classification (alerte vraie ou fausse)
• Lier l’alerte à un incident
• Exécuter la requête qui a déclenché l’alerte en cas de repérage avancé

Passer en revue les actions

Dans l’écran des détails de la règle (Hunting>Détections personnalisées>[Nom de la règle]), accédez à Actions déclenchées, qui répertorie les actions entreprises en fonction des correspondances avec la règle.

Conseil

Pour afficher rapidement des informations et prendre des mesures sur un élément d’une table, utilisez la colonne de sélection [✓] à gauche de la table.

Contenu connexe

• Vue d’ensemble des détections personnalisées
• Vue d’ensemble de la chasse avancée
• Découvrir le langage de requête de repérage avancé
• Migrer les requêtes de recherche avancée depuis Microsoft Defender pour point de terminaison
• API de sécurité Microsoft Graph pour les détections personnalisées

Conseil

Voulez-vous en savoir plus ? Collaborez avec la communauté Sécurité Microsoft dans notre communauté technique : Communauté technique Microsoft Defender XDR.