Valider les alertes dans Microsoft Defender for Cloud

Cet article explique comment vérifier que votre système est configuré pour Microsoft Defender for Cloud alertes afin de pouvoir surveiller et répondre aux menaces.

Que sont les alertes de sécurité ?

Les alertes sont des notifications générées par Defender for Cloud quand il détecte des menaces sur vos ressources. Defender for Cloud classe les alertes par gravité et les liste avec les détails clés. Vous pouvez utiliser ces informations pour enquêter rapidement sur chaque problème. Defender for Cloud propose également des étapes pour vous aider à remédier à une attaque.

Pour plus d’informations, consultez Alertes de sécurité dans Defender pour le cloud et Gestion et résolution des alertes de sécurité.

Prerequisites

Pour recevoir toutes les alertes, vos machines et les espaces de travail Log Analytics connectés doivent se trouver dans le même locataire.

Générer des exemples d’alertes de sécurité

Si vous utilisez la nouvelle expérience d’alertes d’aperçu, vous pouvez créer des alertes d’exemple depuis la page des alertes de sécurité du portail Azure. Pour plus de détails, voir Gérer et répondre aux alertes de sécurité dans Microsoft Defender for Cloud.

Créer des exemples d’alertes

Utilisez des exemples d’alertes pour :

  • Évaluer la valeur et les capacités de vos plans Microsoft Defender.
  • Validez les configurations que vous avez effectuées pour vos alertes de sécurité, telles que les intégrations SIEM (Security Information and Event Management), l’automatisation des flux de travail et les notifications par e-mail.

Pour créer des exemples d’alertes :

  1. En tant qu’utilisateur disposant du rôle Collaborateur de l’abonnement, dans la barre d’outils de la page Alertes de sécurité, sélectionnez Exemples d’alertes.
  2. Sélectionnez l’abonnement.
  3. Sélectionnez le ou les plans Microsoft Defender appropriés pour lesquels vous voulez voir les alertes.
  4. Sélectionnez Créer des exemples d’alertes.

Capture d’écran montrant les étapes de création d’exemples d’alertes dans Microsoft Defender pour le cloud.

Une notification s’affiche pour vous informer que les exemples d’alertes sont créés :

Capture d’écran montrant la notification indiquant que les exemples d’alertes sont générés.

Après quelques minutes, les alertes d’exemple apparaissent sur la page des alertes de sécurité. Les alertes d'exemple apparaissent également partout ailleurs où vous avez configuré pour recevoir vos alertes de sécurité Microsoft Defender for Cloud (SIEM connectés, notifications par email, etc.).

Capture d’écran montrant des exemples d’alertes dans la liste des alertes de sécurité.

Conseil / Astuce

Les alertes concernent des ressources simulées.

Simuler des alertes sur vos machines virtuelles Azure (Windows)

Avant de commencer, assurez-vous que :

Sur la machine que vous souhaitez tester, ouvrez une invite de commande élevée et exécutez le script :

  1. Accédez à Démarrer et tapez cmd.

  2. Faites un clic droit sur Invite de commandes, puis sélectionnez Exécuter en tant qu’administrateur.

    Capture d’écran montrant où sélectionner Exécuter en tant qu’administrateur.

  3. À l’invite, copiez et exécutez la commande suivante : powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference = 'silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\test-MDATP-test\invoice.exe');Start-Process 'C:\test-MDATP-test\invoice.exe'.

  4. La fenêtre Invite de commandes se ferme automatiquement. Si la commande aboutit, une nouvelle alerte doit apparaître dans le panneau Alertes de Defender pour le cloud dans un délai de 10 minutes.

  5. La ligne de message dans la zone PowerShell doit se présenter comme ceci :

    Capture d’écran illustrant la ligne de message PowerShell.

Sinon, vous pouvez utiliser la chaîne de test EICAR pour simuler l’alerte sur Windows. Créez un fichier texte, collez la ligne EICAR et enregistrez le fichier en tant que fichier exécutable sur le lecteur local de votre ordinateur.

Simuler des alertes sur vos machines virtuelles Azure (Linux)

Avant de commencer, assurez-vous que :

Sur la machine où vous souhaitez simuler la ressource attaquée, suivez ces étapes :

  1. Ouvrez une fenêtre de terminal, puis copiez et exécutez la commande suivante : curl -O https://secure.eicar.org/eicar.com.txt
  2. La fenêtre du Terminal se ferme automatiquement. Si cela aboutit, une nouvelle alerte devrait apparaître dans la lame Defender for Cloud Alerts dans les 10 minutes.

Simuler des alertes sur Kubernetes

Defender for Containers crée des alertes pour vos clusters et nœuds de clusters. Il surveille à la fois le plan de contrôle (serveur API) et la charge de travail du conteneur.

Pour simuler les alertes pour le plan de contrôle Defender for Containers et la charge de travail conteneurisée, utilisez l’outil de simulation d’alertes Kubernetes.

Pour en savoir plus, voir Microsoft Defender for Containers.

Simuler des alertes pour App Service

Vous pouvez simuler des alertes pour les ressources en cours d’exécution sur App Service.

  1. Créez un site web et attendez 24 heures pour qu’il soit inscrit auprès de Defender for Cloud, ou utilisez un site web existant.
  2. Une fois le site web créé, accédez-y en utilisant l’URL suivante :

    1. Ouvrez le volet de ressources du service d’application et copiez le domaine de l’URL à partir du champ par défaut du domaine.

      Capture d’écran montrant où copier le domaine par défaut.

    2. Copiez le nom du site web dans l’URL : https://<website-name>.azurewebsites.net/This_Will_Generate_ASC_Alert.

  3. Une alerte est générée dans un délai d’environ 2 à 4 heures.

Simuler des alertes pour Storage Protection avancée contre les menaces (ATP)

Pour valider la détection des menaces pour Microsoft Defender pour le stockage, procédez comme suit :

  1. Accédez à un compte de stockage pour lequel Azure Defender pour Stockage est activé.

  2. Sélectionnez l’onglet Conteneurs dans la barre latérale.

    Capture d’écran montrant où sélectionner un conteneur.

  3. Accédez à un conteneur existant ou créez-en un.

  4. Chargez un fichier dans ce conteneur. Évitez de charger des fichiers susceptibles de contenir des données sensibles.

    Capture d’écran montrant où charger un fichier sur le conteneur.

  5. Cliquez avec le bouton droit sur le fichier téléchargé, puis sélectionnez Générer une SAS.

  6. Sélectionnez le bouton Générer une URL et un jeton SAS (vous n’avez pas besoin de modifier d’options).

  7. Copiez l’URL SAS générée.

  8. Ouvrez la page de téléchargement du navigateur Tor et installez le navigateur Tor.

  9. Dans le navigateur Tor, accédez à l’URL SAS. Vous devriez maintenant pouvoir voir le fichier qui a été chargé et le télécharger.

Simuler des alertes pour le service d’applications (EICAR)

Pour simuler une alerte EICAR App Services :

  1. Recherchez le point de terminaison HTTP du site web en accédant au panneau du portail Azure pour le site web App Services ou en utilisant l’entrée DNS personnalisée associée à ce site web. (Le point de terminaison d’URL par défaut du site web Azure App Services a le suffixe https://XXXXXXX.azurewebsites.net.) Le site web doit être un site web existant et non un site web créé avant la simulation d’alerte.
  2. Recherchez le point de terminaison HTTP du site web en accédant au panneau du portail Azure pour le site web App Services ou en utilisant l’entrée DNS personnalisée associée à ce site web. (Le point de terminaison d’URL par défaut du site web Azure App Services a le suffixe https://XXXXXXX.azurewebsites.net.) Le site web doit être un site web existant et non un site web créé avant la simulation d’alerte.
  3. Accédez à l’URL du site web et ajoutez le suffixe fixe suivant : /This_Will_Generate_ASC_Alert. L’URL doit se présenter ainsi : https://XXXXXXX.azurewebsites.net/This_Will_Generate_ASC_Alert. La génération de l’alerte peut prendre un certain temps (environ 1 heure et demie).

Valider la détection des menaces d’Azure Key Vault

Pour valider la détection des menaces dans Azure Key Vault, créez un coffre-fort clé en utilisant le portail Azure, puis suivez ces étapes :

Prerequisites

Étapes de validation

Pour valider la détection des menaces dans Azure Key Vault :

  1. Après avoir créé le coffre de clés et le secret, accédez à une machine virtuelle disposant d’un accès Internet, puis téléchargez le navigateur TOR.
  2. Installez le navigateur TOR sur votre machine virtuelle.
  3. Une fois l’installation terminée, ouvrez votre navigateur habituel, connectez-vous au portail Azure, puis accédez à la page du coffre de clés. Sélectionnez l’URL mise en évidence et copiez l’adresse.
  4. Ouvrez TOR et collez cette URL (vous devez de nouveau vous authentifier pour accéder au portail Azure).
  5. Après y avoir accédé, vous pouvez aussi sélectionner l’option Secrets dans le volet gauche.
  6. Dans le navigateur TOR, déconnectez-vous du portail Azure et fermez le navigateur.
  7. Après un certain temps, Defender pour Key Vault déclenche une alerte avec des informations détaillées sur cette activité suspecte.

Contenu connexe

En savoir plus sur les alertes et la détection des menaces dans Defender for Cloud :

  • Last updated on