Partager via

Lier les résultats d'une requête à un incident

  • Article

S’applique à :

  • Microsoft Defender XDR

Vous pouvez utiliser la fonctionnalité lien vers l’incident pour ajouter des résultats de requête de repérage avancés à un incident nouveau ou existant en cours d’investigation. Cette fonctionnalité vous permet de capturer facilement des enregistrements à partir d’activités de chasse avancées, ce qui vous permet de créer une chronologie ou un contexte plus riche d’événements concernant un incident.

  1. Dans la page de requête de repérage avancé, entrez d’abord votre requête dans le champ de requête fourni, puis sélectionnez Exécuter la requête pour obtenir vos résultats.

    Page Requête dans le portail Microsoft Defender

  2. Dans la page Résultats, sélectionnez les événements ou enregistrements liés à une investigation nouvelle ou en cours sur laquelle vous travaillez, puis sélectionnez Lien vers l’incident.

    Option Lien vers l’incident de l’onglet Résultats dans le portail Microsoft Defender

  3. Recherchez la section Détails de l’alerte dans le volet Lien vers l’incident, puis sélectionnez Créer un incident pour convertir les événements en alertes et les regrouper en un nouvel incident :

    La section Détails de l’alerte dans le volet Lien vers l’incident du portail Microsoft Defender

    Ou sélectionnez Lier à un incident existant pour ajouter les enregistrements sélectionnés à un incident existant. Choisissez l’incident associé dans la liste déroulante des incidents existants. Vous pouvez également entrer les premiers caractères du nom ou de l’ID de l’incident pour trouver l’incident existant.

    Section Détails de l’alerte dans le portail Microsoft Defender

  4. Pour l’une ou l’autre sélection, fournissez les détails suivants, puis sélectionnez Suivant :

    • Titre de l’alerte : fournissez un titre descriptif pour les résultats que vos répondants aux incidents peuvent comprendre. Ce titre descriptif devient le titre de l’alerte.
    • Gravité : choisissez la gravité applicable au groupe d’alertes.
    • Catégorie : choisissez la catégorie de menace appropriée pour les alertes.
    • Description : donnez une description utile pour les alertes groupées.
    • Actions recommandées : fournissez des actions de correction.

  5. Dans la section Entités impactées, sélectionnez l’entité main affectée ou impactée. Seules les entités applicables basées sur les résultats de la requête apparaissent dans cette section. Dans notre exemple, nous avons utilisé une requête pour rechercher les événements liés à un éventuel incident d’exfiltration d’e-mail. Par conséquent, l’expéditeur est l’entité affectée. S’il existe quatre expéditeurs différents, par instance, quatre alertes sont créées et liées à l’incident choisi.

    Entité impactée dans la section Lien vers l’incident du portail Microsoft Defender

  6. Sélectionnez Suivant.

  7. Passez en revue les détails que vous avez fournis dans la section Résumé . Page de résultats dans la section Lien vers l’incident dans le portail Microsoft Defender

  8. Sélectionnez Terminé.

Afficher les enregistrements liés dans l’incident

Vous pouvez sélectionner le nom de l’incident pour afficher l’incident auquel les événements sont liés. Écran des détails de l’événement sous l’onglet Résumé du portail Microsoft Defender

Dans notre exemple, les quatre alertes, représentant les quatre événements sélectionnés, ont été liées avec succès à un nouvel incident.

Dans chacune des pages d’alerte, vous pouvez trouver les informations complètes sur l’événement ou les événements dans chronologie vue (si disponible) et la vue des résultats de la requête. Détails complets d’un événement sous l’onglet Chronologie du portail Microsoft Defender

Vous pouvez également sélectionner l’événement pour ouvrir le volet Inspecter l’enregistrement . Inspecter les détails de l’enregistrement d’un événement sous l’onglet Chronologie du portail Microsoft Defender

Filtrer les événements ajoutés à l’aide de la chasse avancée

Vous pouvez afficher les alertes générées à partir de la chasse avancée en filtrant la file d’attente Incidents et la file d’attente Alertes par source de détection manuelle .

Filtrage manuel de la file d’attente Des incidents et des alertes dans la page Filtres du portail Microsoft Defender

Conseil

Voulez-vous en savoir plus ? Collaborez avec la communauté Microsoft Security dans notre communauté technique : communauté technique Microsoft Defender XDR.