Examiner les incidents dans le portail Microsoft Defender

Le portail Microsoft Defender présente des alertes corrélées, des ressources, des enquêtes et des preuves provenant de toutes vos ressources dans un incident pour vous donner un aperçu complet de l’étendue d’une attaque.

Dans un incident, vous analysez les alertes, comprenez ce qu’elles signifient et rassemblez les preuves afin de pouvoir concevoir un plan de correction efficace.

Enquête initiale

Avant de vous plonger dans les détails, jetez un coup d’œil aux propriétés et à l’histoire complète de l’attaque de l’incident.

Vous pouvez commencer par sélectionner la ligne de l’incident, mais pas le nom de l’incident. Un volet récapitulatif s’ouvre avec des informations clés sur l’incident, notamment l’évaluation de la priorité, les facteurs qui influencent le score de priorité, les détails de l’incident, les actions recommandées et les menaces associées. Utilisez les flèches haut et bas en haut du volet pour accéder à l’incident précédent ou suivant dans la file d’attente des incidents.

À partir de là, vous pouvez sélectionner Ouvrir la page d’incident. Cela ouvre la page principale de l’incident dans laquelle vous trouverez les informations et les onglets complets du récit d’attaque pour les alertes, les appareils, les utilisateurs, les enquêtes et les preuves. Vous pouvez également ouvrir la page principale d’un incident en sélectionnant le nom de l’incident dans la file d’attente des incidents.

Remarque

Les utilisateurs disposant d’un accès approvisionné à Microsoft Security Copilot voient le volet Copilot sur le côté droit de l’écran lorsqu’ils ouvrent un incident. Copilot fournit des informations et des recommandations en temps réel pour vous aider à examiner les incidents et à y répondre. Pour plus d’informations, consultez Microsoft Copilot dans Microsoft Defender.

Histoire de l’attaque

Les récits d’attaque vous aident à examiner, examiner et corriger rapidement les attaques tout en affichant l’histoire complète de l’attaque sous le même onglet. Il vous permet également d’examiner les détails de l’entité et de prendre des mesures correctives, telles que la suppression d’un fichier ou l’isolation d’un appareil sans perdre le contexte.

L’histoire de l’attaque est brièvement décrite dans la vidéo suivante.

Dans le récit d’attaque, vous trouverez la page d’alerte et le graphique de l’incident.

La page d’alerte d’incident comprend les sections suivantes :

• Récit d’alerte, qui comprend :

  • Que s’est-il passé
  • Actions prises
  • Événements connexes

• Propriétés d’alerte dans le volet droit (état, détails, description, etc.)

Toutes les alertes ne possèdent pas toutes les sous-sections répertoriées dans la section Article de l’alerte .

Le graphique montre l’étendue complète de l’attaque, la façon dont l’attaque s’est propagée sur votre réseau au fil du temps, où elle a commencé et jusqu’où l’attaquant est allé. Il connecte les différentes entités suspectes qui font partie de l’attaque à leurs ressources associées, telles que les utilisateurs, les appareils et les boîtes aux lettres.

À partir du graphique, vous pouvez :

• Lisez les alertes et les nœuds sur le graphique tels qu’ils se sont produits au fil du temps pour comprendre la chronologie de l’attaque.

  

• Ouvrez un volet d’entité, ce qui vous permet d’examiner les détails de l’entité et d’agir sur les actions de correction, telles que la suppression d’un fichier ou l’isolation d’un appareil.

  

• Mettez en surbrillance les alertes en fonction de l’entité à laquelle elles sont liées.

• Recherchez les informations d’entité d’un appareil, d’un fichier, d’une adresse IP, d’une URL, d’un utilisateur, d’un e-mail, d’une boîte aux lettres ou d’une ressource cloud.

Accédez à la recherche

L’action go hunt tire parti de la fonctionnalité de chasse avancée pour trouver des informations pertinentes sur une entité. La requête go hunt vérifie les tables de schéma pertinentes pour tous les événements ou alertes impliquant l’entité spécifique que vous examinez. Vous pouvez sélectionner l’une des options pour trouver des informations pertinentes sur l’entité :

• Afficher toutes les requêtes disponibles : l’option retourne toutes les requêtes disponibles pour le type d’entité que vous examinez.
• Toutes les activités : la requête retourne toutes les activités associées à une entité, ce qui vous fournit une vue complète du contexte de l’incident.
• Alertes associées : la requête recherche et retourne toutes les alertes de sécurité impliquant une entité spécifique, ce qui garantit que vous ne manquez aucune information.
• Toutes les anomalies utilisateur (préversion) : la requête retourne toutes les anomalies associées à l’utilisateur des 30 derniers jours, ce qui vous aide à identifier les comportements inhabituels susceptibles d’être pertinents pour l’incident. Disponible uniquement pour les entités utilisateur si vous avez activé Microsoft Sentinel User and Entity Behavior Analytics (UEBA).

Les journaux ou alertes résultants peuvent être liés à un incident en sélectionnant un résultat, puis en sélectionnant Lier à l’incident.

Si l’incident ou les alertes associées sont le résultat d’une règle d’analyse que vous avez définie, vous pouvez également sélectionner Exécuter la requête pour afficher les autres résultats associés.

Importante

Certaines informations contenues dans cet article concernent un produit en préversion qui peut être considérablement modifié avant sa commercialisation. Microsoft n’offre aucune garantie, explicite ou implicite, concernant les informations fournies ici.

Analyse du rayon d’explosion

L’analyse du rayon d’explosion est une visualisation graphique avancée intégrée à l’expérience d’investigation des incidents. Basé sur l’infrastructure de lac de données et de graphe Microsoft Sentinel, il génère un graphe interactif montrant les chemins de propagation possibles du nœud sélectionné vers des cibles critiques prédéfinies limitées aux autorisations de l’utilisateur.

Remarque

L’analyse du rayon d’explosion étend et remplace l’analyse du chemin d’attaque.

Le graphe du rayon d’explosion fournit une vue unifiée unique des informations avant et après la violation sur la page de l’incident. Au cours d’une enquête d’incident, les analystes peuvent voir l’impact actuel d’une violation et l’impact futur possible dans un graphique consolidé. Étant donné qu’il est intégré au graphique des incidents, le graphe rayon d’explosion aide les équipes de sécurité à mieux comprendre l’étendue de l’incident de sécurité plus rapidement et à améliorer leurs mesures défensives pour réduire la probabilité de dommages généralisés. L’analyse du rayon d’explosion aide les analystes à mieux évaluer le risque pour les cibles très appréciées et à comprendre l’impact sur l’activité.

Les conditions préalables suivantes sont requises pour utiliser le graphe de rayon d’explosion :

• Vous devez être intégré à Microsoft Sentinel lac de données. Pour plus d’informations, consultez Intégration à Microsoft Sentinel lac de données et graphique.
• Autorisation de gestion de l’exposition (lecture) ou supérieure. Pour plus d’informations, consultez Gérer les autorisations avec Microsoft Defender XDR contrôle d’accès en fonction du rôle unifié (RBAC).

Importante

Les chemins d’attaque et les fonctionnalités de rayon d’explosion sont calculés en fonction des données d’environnement disponibles de l’organization. La valeur du graphique augmente à mesure que davantage de données sont disponibles pour son calcul. Si aucune charge de travail supplémentaire n’est activée ou si les ressources critiques ne sont pas entièrement définies, les graphiques de rayon d’explosion ne représentent pas entièrement vos risques environnementaux. Pour plus d’informations sur la définition des ressources critiques, consultez Examiner et classifier les ressources critiques.

Le tableau suivant récapitule les cas d’usage de l’analyse du rayon d’explosion pour différents rôles d’utilisateur :

Rôle de l’utilisateur	Cas d’utilisation
Analyste de sécurité	Utilisez l’analyse du rayon d’explosion pour examiner un incident. Voyez instantanément le composant compromis au centre du graphe et les chemins d’accès aux cibles potentiellement compromises. Le graphique fournit une compréhension visuelle intuitive de l’incident et vous aide à découvrir rapidement l’étendue potentielle d’une violation. En fonction de la cible et des chemins d’accès, vous pouvez remonter et déclencher des actions pour interrompre, isoler et contenir l’incident sur les nœuds le long des chemins d’accès à la cible.
Administrateurs informatiques et ingénieurs SOC	Utilisez l’analyse du rayon d’explosion pour mobiliser des ressources en fonction de l’impact commercial et de l’estimation des dommages potentiels. Les ingénieurs peuvent hiérarchiser les vulnérabilités les plus critiques qui nécessitent une attention immédiate. L’ingénieur peut allouer de manière proactive les ressources requises en fonction de la portée du rayon d’explosion aux cibles critiques dans le organization en examinant plusieurs nœuds marqués de vulnérabilités sur la carte. L’ingénieur peut clairement communiquer ce qui a été protégé et ce qui a été impacté et planifier et hiérarchiser les défenses supplémentaires et les segmentations réseau nécessaires pour réduire davantage l’impact des attaques potentielles futures.
Équipe de réponse aux incidents	Déterminez rapidement l’étendue de l’incident, avec une carte dynamique des incidents visuels qui leur permet d’effectuer des actions ciblées sur les systèmes indiqués sur le graphique.
CISO ou responsables de la sécurité	Utilisez la fonctionnalité de rayon d’explosion pour indiquer les status actuelles, définir des objectifs et des indicateurs de métriques, et utilisez-la pour signaler et auditer pour des raisons de conformité. La fonctionnalité peut être utilisée pour suivre la progression des investissements des actions de défense et des mesures de protection.

Afficher les graphiques de rayon d’explosion

Après avoir sélectionné un incident dans la liste dans la page Incidents , une vue graphique s’affiche montrant les entités et les ressources impliquées dans l’incident.

Sélectionnez un nœud pour ouvrir le menu contextuel, puis sélectionnez Afficher le rayon d’explosion. Pour afficher le rayon d’explosion d’un nœud unique dans un groupe, utilisez le bouton bascule de dissociage au-dessus de la grille pour présenter tous les nœuds.

Une nouvelle vue graphique se charge avec les 8 chemins d’attaque les mieux notés. Une liste complète des chemins d’accès est visible dans le panneau latéral droit lorsque vous sélectionnez Afficher la liste des rayons d’explosion complets au-dessus du graphique. Dans la liste des cibles accessibles, vous pouvez explorer davantage le chemin en sélectionnant l’une des cibles répertoriées. Le panneau droit affiche le chemin d’accès potentiel du point d’entrée à cette cible. Certains nœuds n’ont peut-être pas de chemins d’accès associés.

Pour obtenir une explication des icônes utilisées pour les nœuds et les arêtes dans le graphe de rayon d’explosion, consultez Présentation des graphiques et visualisations dans Microsoft Defender.

Sélectionnez Afficher la liste des rayons d’explosion pour afficher la liste des ressources cibles. Sélectionnez une ressource cible dans la liste pour afficher ses détails et ses chemins d’attaque potentiels. La sélection des badges dans connexions affiche plus de détails sur la connexion.

Lorsque les chemins d’accès mènent à des cibles groupées des mêmes types, pour afficher les chemins d’accès discrets aux cibles, sélectionnez les icônes groupées. Un panneau de droite s’ouvre et affiche toutes les cibles du groupe. En sélectionnant la zone case activée à gauche et en sélectionnant le bouton Développer en haut, chaque cible et ses chemins d’accès sont affichés séparément.

Masquez le graphique de rayon d’explosion et revenez au graphique d’incident d’origine en sélectionnant le nœud et en choisissant Masquer le rayon d’explosion.

Limitations

Les limitations suivantes s’appliquent au graphe de rayon d’explosion :

• Limitations de la longueur du chemin d’accès (étendue de l’analyse) : Les calculs de longueur du graphe de rayon d’explosion sont limités jusqu’à 7 tronçons à partir du nœud source. Le rayon d’explosion est une approximation de la portée d’attaque complète. Le nombre maximal de tronçons dépend de l’environnement :

  • 5 tronçons pour le cloud
  • 5 tronçons pour l’environnement local
  • 3 tronçons pour l’hybride

• Actualisation des données : Des latences peuvent exister entre une modification de l’environnement de l’organization et la réflexion de cette modification dans le graphique de rayon d’explosion. Pendant ce temps, le modèle peut être incomplet.

• Chemins possibles : Le graphique du rayon d’explosion montre les chemins possibles. Cela ne garantit pas qu’un attaquant prendrait tous les chemins indiqués.

• Vecteurs d’attaque connus : Le graphique s’appuie sur des vecteurs d’attaque connus. Si les attaquants trouvent un nouveau mouvement latéral ou une nouvelle technique qui n’a pas encore été modélisé, il ne sera pas affiché dans le graphique de rayon d’explosion.

• Étendues utilisateur : Le graphique affiché est basé sur les étendues autorisées pour l’utilisateur d’affichage. Seuls les nœuds et les arêtes délimités pour l’utilisateur en fonction du RBAC et des paramètres d’étendue définis sont visibles sur le graphique. Les chemins contenant des nœuds ou des arêtes hors portée ne sont pas visibles.

• Nœuds d’îlot : Les nœuds non connectés peuvent apparaître sur le graphique en raison de modifications qui peuvent se produire entre le moment où les données sont collectées et le calcul du rayon d’explosion.

Détails de l’incident

Vous pouvez afficher les détails d’un incident dans le volet droit d’une page d’incident. Les détails de l’incident incluent l’attribution, l’ID, la classification, les catégories et la date et l’heure de la première et de la dernière activité. Il inclut également une description de l’incident, des ressources impactées, des alertes actives et, le cas échéant, les menaces associées, les recommandations, ainsi que le résumé et l’impact des interruptions. Voici un exemple des détails de l’incident où la description de l’incident est mise en surbrillance.

La description de l’incident fournit une brève vue d’ensemble de l’incident. Dans certains cas, la première alerte de l’incident est utilisée comme description de l’incident. Dans ce cas, la description est affichée uniquement dans le portail et n’est pas stockée dans le journal d’activité, les tables de chasse avancées ou les Microsoft Sentinel dans Portail Azure.

Conseil

Microsoft Sentinel clients peuvent également afficher et remplacer la même description d’incident dans le Portail Azure en définissant la description de l’incident via l’API ou l’automatisation.

Alertes

Sous l’onglet Alertes , vous pouvez afficher la file d’attente des alertes liées à l’incident et d’autres informations les concernant, comme les suivantes :

• Gravité des alertes.
• Entités impliquées dans l’alerte.
• Source des alertes (Microsoft Defender pour Identity, Microsoft Defender pour point de terminaison, Microsoft Defender pour Office 365, Defender for Cloud Appset le module complémentaire de gouvernance des applications).
• La raison pour laquelle ils ont été liés.

Par défaut, les alertes sont classées par ordre chronologique pour vous permettre de voir comment l’attaque s’est jouée au fil du temps. Lorsque vous sélectionnez une alerte dans un incident, Microsoft Defender XDR affiche les informations d’alerte spécifiques au contexte de l’incident global.

Vous pouvez voir les événements de l’alerte, les autres alertes déclenchées à l’origine de l’alerte actuelle, ainsi que toutes les entités et activités affectées impliquées dans l’attaque, notamment les appareils, les fichiers, les utilisateurs, les applications cloud et les boîtes aux lettres.

Découvrez comment utiliser la file d’attente d’alertes et les pages d’alerte dans examiner les alertes.

Remarque

Si vous disposez d’un accès provisionné à Gestion des risques internes Microsoft Purview, vous pouvez afficher et gérer les alertes de gestion des risques internes et rechercher les événements de gestion des risques internes dans le portail Microsoft Defender. Pour plus d’informations, consultez Examiner les menaces à risque internes dans le portail Microsoft Defender.

Activités

L’onglet Activités affiche une chronologie unifiée de toutes les actions manuelles et automatisées qui se produisent dans un incident. Vous pouvez filtrer par origine, catégorie, fournisseur, déclencheur, status d’activité, status de stratégie, type, nom cible, type de cible ou effectué par. Vous pouvez également accéder à ces informations en tant que panneau latéral dans le journal d’activité.

Avec l’onglet Activités, les analystes peuvent trier et examiner les incidents. Cela inclut l’identification des étapes clés prises par les humains et les systèmes automatisés, la vérification des modifications récentes (par exemple, les balises, les fusions, les mises à jour de gravité), l’examen des commentaires et des transferts, ainsi que l’inspection des métadonnées détaillées dans les panneaux latéraux et le suivi des workflows automatisés lancés par des règles d’automatisation, des playbooks ou des agents.

Éléments

Affichez et gérez facilement toutes vos ressources au même endroit avec l’onglet Ressources . Cette vue unifiée inclut les appareils, les utilisateurs, les boîtes aux lettres et les applications.

L’onglet Ressources affiche le nombre total de ressources en regard de son nom. Une liste de différentes catégories avec le nombre de ressources au sein de cette catégorie est présentée lors de la sélection de l’onglet Ressources.

Appareils

La vue Appareils répertorie tous les appareils liés à l’incident.

La sélection d’un appareil dans la liste ouvre une barre qui vous permet de gérer l’appareil sélectionné. Vous pouvez rapidement exporter, gérer les étiquettes, lancer une investigation automatisée, etc.

Vous pouvez sélectionner la marque case activée pour un appareil pour afficher les détails de l’appareil, les données d’annuaire, les alertes actives et les utilisateurs connectés. Sélectionnez le nom de l’appareil pour afficher les détails de l’appareil dans l’inventaire des appareils Defender pour point de terminaison.

À partir de la page de l’appareil, vous pouvez collecter des informations supplémentaires sur l’appareil, telles que toutes ses alertes, un chronologie et des recommandations de sécurité. Par exemple, à partir de l’onglet Chronologie, vous pouvez faire défiler l’appareil chronologie et afficher tous les événements et comportements observés sur l’ordinateur dans l’ordre chronologique, entrecoupés des alertes déclenchées.

Utilisateurs

La vue Utilisateurs répertorie tous les utilisateurs qui ont été identifiés comme faisant partie ou liés à l’incident.

Vous pouvez sélectionner la marque case activée pour un utilisateur afin d’afficher les détails de la menace, de l’exposition et des informations de contact du compte d’utilisateur. Sélectionnez le nom d’utilisateur pour afficher des détails supplémentaires sur le compte d’utilisateur.

Découvrez comment afficher des informations supplémentaires sur les utilisateurs et gérer les utilisateurs d’un incident dans examiner les utilisateurs.

Boîtes aux lettres

L’affichage Boîtes aux lettres répertorie toutes les boîtes aux lettres qui ont été identifiées comme faisant partie ou liées à l’incident.

Vous pouvez sélectionner la marque case activée d’une boîte aux lettres pour afficher la liste des alertes actives. Sélectionnez le nom de la boîte aux lettres pour afficher des détails supplémentaires sur la page Explorer de Defender pour Office 365.

Applications

La vue Applications répertorie toutes les applications identifiées comme faisant partie de l’incident ou liées à celui-ci.

Vous pouvez sélectionner la marque case activée pour une application afin d’afficher la liste des alertes actives. Sélectionnez le nom de l’application pour afficher des détails supplémentaires sur la page Explorer pour Defender for Cloud Apps.

Ressources cloud

La vue Ressources cloud répertorie toutes les ressources cloud identifiées comme faisant partie de l’incident ou liées à celui-ci.

Vous pouvez sélectionner la marque case activée pour une ressource cloud pour afficher les détails de la ressource et une liste d’alertes actives. Sélectionnez Ouvrir la page des ressources cloud pour afficher des détails supplémentaires et afficher ses détails complets dans Microsoft Defender pour le cloud.

Enquêtes

L’onglet Investigations répertorie toutes les investigations automatisées déclenchées par les alertes dans cet incident. Les investigations automatisées effectuent des actions de correction ou attendent l’approbation des analystes, selon la façon dont vous avez configuré vos investigations automatisées pour qu’elles s’exécutent dans Defender pour point de terminaison et Defender pour Office 365.

Sélectionnez une investigation pour accéder à sa page de détails pour obtenir des informations complètes sur l’examen et la correction status. Si des actions sont en attente d’approbation dans le cadre de l’examen, elles s’affichent sous l’onglet Actions en attente . Prenez des mesures dans le cadre de la correction des incidents.

Il existe également un onglet Graphe d’investigation qui montre :

• Connexion des alertes aux ressources affectées dans votre organization.
• Quelles entités sont liées aux alertes et comment elles font partie de l’histoire de l’attaque.
• Alertes pour l’incident.

Le graphique d’investigation vous permet de comprendre rapidement l’étendue complète de l’attaque en connectant les différentes entités suspectes qui font partie de l’attaque à leurs ressources associées, telles que les utilisateurs, les appareils et les boîtes aux lettres.

Pour plus d’informations, consultez Investigation et réponse automatisées dans Microsoft Defender XDR.

Preuve et réponse

L’onglet Preuve et réponse affiche tous les événements pris en charge et les entités suspectes dans les alertes de l’incident.

Microsoft Defender XDR examine automatiquement tous les événements pris en charge par les incidents et les entités suspectes dans les alertes, en vous fournissant des informations sur les e-mails, fichiers, processus, services, adresses IP et bien plus encore. Cela vous permet de détecter et de bloquer rapidement les menaces potentielles dans l’incident.

Chacune des entités analysées est marquée avec un verdict (Malveillant, Suspect, Propre) et une correction status. Cela vous aide à comprendre la correction status de l’incident entier et les étapes suivantes.

Approuver ou rejeter les actions de correction

Pour les incidents avec un status de correction en attente d’approbation, vous pouvez approuver ou rejeter une action de correction, ouvrir dans Explorer ou Rechercher à partir de l’onglet Preuve et réponse.

Résumé

Utilisez la page Résumé pour évaluer l’importance relative de l’incident et accéder rapidement aux alertes associées et aux entités impactées. La page Résumé vous donne un aperçu instantané des principaux éléments à remarquer concernant l’incident.

Les informations sont organisées dans ces sections.

Section	Description
Alertes et catégories	Vue visuelle et numérique de l’avancement de l’attaque par rapport à la chaîne de destruction. Comme avec les autres produits de sécurité Microsoft, Microsoft Defender XDR est aligné sur l’infrastructure MITRE ATT&CK™. La chronologie des alertes indique l’ordre chronologique dans lequel les alertes se sont produites et, pour chacune, leur status et leur nom.
Portée	Affiche le nombre d’appareils, d’utilisateurs et de boîtes aux lettres concernés, et répertorie les entités par ordre de niveau de risque et de priorité d’investigation.
Alertes	Affiche les alertes impliquées dans l’incident.
Évidence	Affiche le nombre d’entités affectées par l’incident.
Informations sur l’incident	Affiche les propriétés de l’incident, telles que les balises, les status et la gravité.

Incidents similaires

Certains incidents peuvent avoir des incidents similaires répertoriés dans la page Incidents similaires . Cette section présente les incidents qui ont des alertes, des entités et d’autres propriétés similaires. Cela peut vous aider à comprendre l’étendue de l’attaque et à identifier d’autres incidents qui peuvent être liés.

Conseil

Defender Boxed, une série de cartes présentant les réussites de votre organization en matière de sécurité, les améliorations et les actions de réponse au cours des six derniers mois/année, apparaît pendant une durée limitée pendant les mois de janvier et juillet de chaque année. Découvrez comment partager vos points forts Defender Boxed .

Étapes suivantes

Selon les besoins :

• Examiner les alertes d’un incident
• Examiner les utilisateurs d’un incident

Voir aussi

• Vue d’ensemble des incidents
• Hiérarchiser les incidents
• Gérer les incidents

Conseil

Voulez-vous en savoir plus ? Collaborez avec la communauté Sécurité Microsoft dans notre communauté technique : Communauté technique Microsoft Defender XDR.