Utiliser l’analytique de correspondance pour détecter les menaces

  • Article
  • S’applique à:
    Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

Tirez parti de la veille des menaces générée par Microsoft pour générer des alertes et des incidents haute fidélité avec la règle Microsoft Defender Threat Intelligence Analytics. Cette règle intégrée dans Microsoft Sentinel met en correspondance des indicateurs avec des journaux CEF (Common Event Format), des événements DNS Windows avec des domaines et indicateurs de menace IPv4, des données Syslog, etc.

Important

L’analyse de correspondance est actuellement en PRÉVERSION. Consultez l’Avenant aux conditions d’utilisation pour les préversions de Microsoft Azure pour connaître les conditions juridiques supplémentaires s’appliquant aux fonctionnalités Azure sont en version bêta, en préversion ou non encore en disponibilité générale.

Prérequis

Pour produire des alertes et des incidents haute fidélité, un ou plusieurs connecteurs de données pris en charge doivent être installés, mais une licence MDTI Premium n’est pas nécessaire. Installez les solutions appropriées à partir du hub de contenu pour connecter ces sources de données.

  • CEF (Common Event Format)
  • DNS (préversion)
  • syslog
  • Journaux d’activité Office
  • Journaux d’activité Azure

Capture d’écran montrant les connexions de sources de données de la règle Microsoft Defender Threat Intelligence Analytics.

Par exemple, en fonction de votre source de données, vous pouvez utiliser les solutions et connecteurs de données suivants.

Solution Connecteur de données
Solution Common Event Format pour Sentinel Connecteur Common Event Format (CEF) pour Microsoft Sentinel
Windows Server DNS Connecteur DNS pour Microsoft Sentinel
Solution Syslog pour Sentinel Connecteur Syslog pour Microsoft Sentinel
Solution Microsoft 365 pour Sentinel Connecteur Office 365 pour Microsoft Sentinel
Solution d’activité Azure pour Sentinel Connecteur Azure Activity pour Microsoft Sentinel

Configurer la règle d’analytique de correspondance

L’analytique de correspondance est configurée lorsque vous activez la règle Microsoft Defender Threat Intelligence Analytics.

  1. Cliquez sur le menu Analytique dans la section Configuration.

  2. Sélectionnez l’onglet de menu Modèles de règle.

  3. Dans la fenêtre de recherche, tapez threat intelligence.

  4. Sélectionnez le modèle de règle Microsoft Defender Threat Intelligence Analytics.

  5. Cliquez sur Créer une règle. Les détails de la règle sont en lecture seule et son état par défaut est activé.

  6. Cliquez sur Vérifier et Créer.

Capture d’écran montrant la règle Microsoft Defender Threat Intelligence Analytics activée sous l’onglet Règles actives.

Sources de données et indicateurs

Microsoft Defender Threat Intelligence (MDTI) Analytics établit une correspondance entre vos journaux et les indicateurs de domaine, d’adresse IP et d’URL de la façon suivante :

  • Les journaux CEF ingérés dans la table CommonSecurityLog Log Analytics sont associés aux indicateurs d’URL et de domaine s’ils sont renseignés dans le champ RequestURL et aux indicateurs IPv4 dans le champ DestinationIP.

  • Les journaux DNS Windows où l’événement SubType == "LookupQuery" est ingéré dans la table DnsEvents correspondent aux indicateurs de domaine renseignés dans le champ Name et aux indicateurs IPv4 dans le champ IPAddresses.

  • Les événements Syslog où Facility == "cron" est ingéré dans la table Syslog correspondent aux indicateurs de domaine et IPv4 directement à partir du champ SyslogMessage.

  • Les journaux d’activité Office ingérés dans la table OfficeActivity correspondent aux indicateurs IPv4 directement depuis le champ ClientIP.

  • Les journaux d’activité Azure ingérés dans la table AzureActivity correspondent aux indicateurs IPv4 directement depuis le champ CallerIpAddress.

Triage d’un incident généré par l’analytique de correspondance

Si l’analytique de Microsoft trouve une correspondance, toutes les alertes générées sont regroupées dans des incidents.

Effectuez les étapes suivantes pour trier les incidents générés par la règle Microsoft Defender Threat Intelligence Analytics :

  1. Dans l’espace de travail Microsoft Sentinel dans lequel vous avez activé la règle Microsoft Defender Threat Intelligence Analytics, sélectionnez Incidents, puis recherchez Microsoft Defender Threat Intelligence Analytics.

    Tous les incidents détectés sont affichés dans la grille.

  2. Sélectionnez Afficher tous les détails pour voir les entités et d’autres détails sur l’incident, tels que des alertes spécifiques.

    Par exemple :

    Capture d’écran de l’incident généré par l’analytique de correspondance avec le volet des détails.

  3. Observez la gravité attribuée aux alertes et à l’incident. Selon la mise en correspondance de l’indicateur, une gravité appropriée de Informational à High est attribuée à une alerte. Par exemple, si l’indicateur est mis en correspondance avec des journaux de pare-feu qui ont autorisé le trafic, une alerte de gravité élevée est générée. Si le même indicateur est mis en correspondance avec des journaux de pare-feu qui ont bloqué le trafic, l’alerte générée est de gravité faible ou moyenne.

    Les alertes sont ensuite regroupées par aspect observable de l’indicateur. Par exemple, toutes les alertes générées sur une période de 24 heures qui correspondent au domaine contoso.com sont regroupées dans un seul incident avec une gravité attribuée selon la gravité d’alerte la plus élevée.

  4. Observez les détails de l’indicateur. Quand une correspondance est trouvée, l’indicateur est publié dans le tableau ThreatIntelligenceIndicators de l’analytique des journaux et affiché dans la page Threat Intelligence. Pour tous les indicateurs publiés à partir de cette règle, la source est définie comme Microsoft Defender Threat Intelligence Analytics.

Par exemple, dans la table ThreatIntelligenceIndicators :

Capture d’écran de la table ThreatIntelligenceIndicator dans Log Analytics montrant un indicateur avec SourceSystem de Microsoft Threat Intelligence Analytics.

Dans la page Threat Intelligence :

Capture d’écran de la vue d’ensemble de Threat Intelligence avec un indicateur sélectionné montrant comme source Microsoft Threat Intelligence Analytics.

Obtenir du contexte supplémentaire de Microsoft Defender Threat Intelligence

En plus des alertes et incidents haute fidélité, certains indicateurs MDTI incluent le lien vers un article de référence dans le portail de la communauté MDTI.

Capture d’écran d’un incident avec un lien vers l’article MDTI de référence.

Pour plus d’informations, consultez le portail MDTI et Qu’est-ce que Microsoft Defender Threat Intelligence ?

Contenu connexe

Dans cet article, vous avez appris à connecter la veille des menaces générée par Microsoft pour générer des alertes et des incidents. Pour plus d’informations sur la veille des menaces dans Microsoft Sentinel, consultez les articles suivants :