Travailler avec des incidents dans de nombreux espaces de travail à la fois

Pour tirer pleinement parti des fonctionnalités de Microsoft Sentinel, Microsoft recommande d’utiliser un environnement à espace de travail unique. Toutefois, il existe certains cas d’usage qui nécessitent d’avoir plusieurs espaces de travail, dans certains cas ( par exemple, celui d’un fournisseur de services de sécurité managé (MSSP) et de ses clients – sur plusieurs locataires. L’affichage de plusieurs espaces de travail vous permet de voir et d’utiliser les incidents de sécurité dans plusieurs espaces de travail en même temps, même sur les locataires, ce qui vous permet de conserver une visibilité et un contrôle complets de la réactivité de sécurité de votre organization.

Remarque

Pour plus d’informations sur la disponibilité des fonctionnalités dans les clouds du gouvernement des États-Unis, consultez les tables Microsoft Sentinel dans Disponibilité des fonctionnalités cloud pour les clients du gouvernement des États-Unis.

Si vous intégrez Microsoft Sentinel au portail Microsoft Defender, consultez :

• Plusieurs espaces de travail Microsoft Sentinel dans le portail Defender
• Microsoft Defender gestion multilocataire

Entrée de plusieurs affichages d’espace de travail

Lorsque vous ouvrez Microsoft Sentinel, une liste de tous les espaces de travail auxquels vous disposez des droits d’accès s’affiche sur tous les locataires et abonnements sélectionnés. La sélection du nom d’un espace de travail unique vous permet d’accéder à cet espace de travail. Pour choisir plusieurs espaces de travail, cochez toutes les cases correspondantes, puis sélectionnez le bouton Afficher les incidents en haut de la page.

Importante

L’affichage multiple d’espace de travail prend désormais en charge un maximum de 100 espaces de travail affichés simultanément.

Dans la liste des espaces de travail, vous pouvez voir l’annuaire, l’abonnement, l’emplacement et le groupe de ressources associés à chaque espace de travail. Le répertoire correspond au locataire.

Utilisation des incidents

L’affichage de plusieurs espaces de travail est actuellement disponible uniquement pour les incidents. Cette page ressemble et fonctionne à la plupart des égards comme la page Incidents standard, avec les différences importantes suivantes :

• Les compteurs en haut de la page ( Incidents ouverts, Nouveaux incidents, Incidentsactifs, etc.) affichent collectivement les nombres de tous les espaces de travail sélectionnés.

• Vous voyez les incidents de tous les espaces de travail et répertoires sélectionnés (locataires) dans une seule liste unifiée. Vous pouvez filtrer la liste par espace de travail et répertoire, en plus des filtres de l’écran Incidents standard.

• Vous devez disposer d’autorisations de lecture et d’écriture sur tous les espaces de travail à partir desquels vous avez sélectionné des incidents. Si vous disposez uniquement d’autorisations de lecture sur certains espaces de travail, des messages d’avertissement s’affichent si vous sélectionnez des incidents dans ces espaces de travail. Vous ne pouvez pas modifier ces incidents ou d’autres que vous avez sélectionnés avec eux (même si vous disposez d’autorisations pour les autres).

• Si vous choisissez un seul incident et sélectionnez Afficher les détails complets ou Actions>investiguer, vous serez alors dans le contexte des données de l’espace de travail de cet incident et aucun autre.

Étapes suivantes

Dans cet article, vous avez appris à afficher et à utiliser simultanément les incidents dans plusieurs espaces de travail Microsoft Sentinel. Pour en savoir plus sur Microsoft Sentinel, consultez les articles suivants :

• Découvrez comment obtenir une visibilité sur vos données et les menaces potentielles.
• Commencez à détecter les menaces avec Microsoft Sentinel.