Stratégies de sécurité dans Defender pour le cloud

Les stratégies de sécurité dans Microsoft Defender pour Cloud définissent la façon dont vos ressources cloud sont évaluées pour la sécurité dans Azure, Amazon Web Services (AWS) et Google Cloud Platform (GCP). Une stratégie spécifie les normes, les contrôles et les conditions que Defender pour Cloud utilise pour évaluer les configurations de ressources et identifier les risques de sécurité potentiels.

Chaque stratégie inclut des normes de sécurité, qui définissent la logique de contrôle et d’évaluation appliquée à votre environnement. Defender pour Cloud évalue en permanence vos ressources par rapport à ces normes. Lorsqu’une ressource ne répond pas à un contrôle défini, Defender pour Cloud génère une recommandation de sécurité qui décrit le problème et les actions nécessaires pour la corriger.

Cela permet à Defender for Cloud d’évaluer en permanence les ressources et d’améliorer la posture de sécurité de votre organisation.

Normes de sécurité

Les stratégies de sécurité dans Defender pour Cloud peuvent inclure plusieurs types de normes :

Benchmarks de sécurité : bases de référence intégrées telles que microsoft Cloud Security Benchmark (MCSB) et benchmarks de fournisseur de cloud qui définissent les meilleures pratiques fondamentales.
Normes de conformité réglementaire : cadres du secteur et programmes de conformité disponibles lorsque vous activez un plan Defender pour Cloud.
Normes personnalisées : normes définies par l’organisation qui incluent des recommandations intégrées ou personnalisées pour aligner Defender pour les évaluations cloud avec des stratégies de sécurité internes.

En savoir plus sur les normes de sécurité dans Defender pour Cloud.

Recommandations de sécurité

Les recommandations de sécurité sont des insights actionnables générés à partir d’évaluations par rapport aux normes de sécurité. Chaque recommandation inclut :

Une brève description du problème
Étapes de correction
Ressources affectées
Gravité et facteurs de risque
Contexte du chemin d’attaque (lorsque disponible)

Le modèle de risque Defender pour cloud hiérarchise les recommandations en fonction de l’exposition, de la sensibilité des données, du potentiel de déplacement latéral et de l’exploitabilité.

Important

La hiérarchisation des risques n’affecte pas le degré de sécurisation.

Recommandations personnalisées

Vous pouvez créer des recommandations personnalisées pour définir votre propre logique d’évaluation à l’aide du langage de requête Kusto (KQL). Cette fonctionnalité est disponible pour tous les clouds lorsque le plan CSPM Defender est activé.

Les recommandations personnalisées sont créées dans une norme personnalisée et peuvent également être liées à des normes supplémentaires si nécessaire. Chaque recommandation inclut la logique de requête, les étapes de correction, la gravité et les types de ressources applicables. Après la création, les recommandations personnalisées apparaissent avec des recommandations intégrées dans le tableau de bord conformité réglementaire et contribuent à votre évaluation globale de la posture de sécurité.

En savoir plus sur la création de recommandations personnalisées.

Example

MCSB inclut plusieurs contrôles qui définissent les configurations de sécurité attendues. L’un de ces contrôles est « Les comptes de stockage doivent restreindre l’accès réseau à l’aide de règles de réseau virtuel ».

Defender pour le cloud évalue en permanence les ressources. S’il trouve un élément ne satisfaisant pas ce contrôle, il les marque comme non-conformes et déclenche une recommandation. Dans ce cas, il est recommandé de renforcer les comptes de stockage Azure qui ne sont pas protégés par des règles de réseau virtuel.

En savoir plus sur les normes de sécurité et MCSB.
Découvrez comment passer en revue les recommandations de sécurité.
Découvrez comment attribuer et gérer des normes pour vos environnements cloud.
Surveillez et améliorez votre posture de conformité dans le tableau de bord conformité réglementaire.

Les politiques de posture définissent quelles recommandations de posture de sécurité sont évaluées et dans quel périmètre elles s’appliquent. Les organisations peuvent configurer des politiques dans différents environnements afin d’aligner l’évaluation des recommandations sur leurs exigences métier, conformité et opérationnelles.

Pourquoi utiliser des posture policies ?

Les politiques de posture aident les organisations à adapter les recommandations de sécurité par défaut de Microsoft pour correspondre à leurs exigences spécifiques en matière de sécurité, de conformité et d'exploitation. Bien que la base de référence Microsoft offre un point de départ solide, les organisations ont souvent besoin d’une flexibilité supplémentaire pour définir quelles règles de sécurité doivent être évaluées, personnaliser les paramètres des règles ou ajuster la couverture des recommandations selon les environnements.

En utilisant des politiques de posture, les équipes de sécurité peuvent appliquer des exigences plus strictes aux environnements très sensibles, ajouter des règles spécifiques à l’organisation ou axées sur la conformité, et réduire le bruit inutile dans des environnements à faible risque. Cela permet de garantir que les recommandations sont alignées sur les priorités métier, les obligations réglementaires et la posture de sécurité attendue pour chaque environnement, ce qui aboutit à des conclusions plus pertinentes et exploitables.

Avant de commencer

Vérifiez qu’un environnement est géré dans Defender

Les politiques créées dans Defender ne s’appliquent qu’aux environnements gérés dans Defender. Vous pouvez vérifier l’emplacement de gestion de la manière suivante :

Dans l’expérience Recommandations, examinez la propriété Géré dans et confirmez que la valeur est Defender.
Depuis la gestion de l’environnement cloud, ouvrez la page cloud Gestion de l’environnement et confirmez que l’environnement applicable est géré dans Defender.

Si un environnement est géré dans Azure, vous pouvez le connecter à Defender et continuer à gérer les politiques de posture via Defender ou continuer à gérer la configuration applicable dans Azure.

Plans

Les politiques de posture ne sont disponibles que pour les environnements disposant d’un plan Microsoft Defender éligible activé.

Seuls les environnements disposant d’un plan éligible actif peuvent être sélectionnés comme champ d’application de la politique.
Les environnements sans plans éligibles activés ne sont pas disponibles pour l’attribution de politiques.
Si aucun plan n’est activé dans toute l’organisation, l’expérience des stratégies de recommandation n’est pas disponible.

Permissions

Le contrôle d’accès unifié basé sur les rôles (RBAC) de Microsoft Defender contrôle l’accès aux stratégies de recommandation :

Rôle ou permission	Accès
Administrateur général ou administrateur de la sécurité	Peut consulter, créer, modifier, activer, désactiver et supprimer les stratégies dans toutes les étendues existantes et futures, y compris les stratégies à l’échelle du locataire.
Paramètres de sécurité de base (Gérer)	Peut créer, modifier, activer, désactiver et supprimer des stratégies pour les périmètres assignés à l’utilisateur. L’autorisation de gestion est requise pour chaque portée incluse dans la politique.
Paramètres de sécurité de base (Lecture)	On peut voir les politiques et leur configuration pour les portées assignées mais on ne peut pas les modifier.

Pour déléguer la gestion des stratégies, rendez-vous dans System>Permissions>Microsoft Defender XDR>Roles dans le portail Microsoft Defender et créez ou mettez à jour un rôle avec les autorisations et le périmètre requis.

Comprendre les types de stratégies

Le portail Defender inclut une politique de base gérée par Microsoft et prend en charge des politiques de recommandation personnalisées.

Type de stratégie	Purpose	Actions de gestion prises en charge
Politique MDC Baseline	Fournit un ensemble de règles de sécurité recommandées par Microsoft, prêtes à l'emploi et axées sur l'amélioration de la posture de sécurité d'une organisation.	Activez ou désactivez la politique et modifiez le périmètre pris en charge et les paramètres pris en charge. La politique ne peut pas être supprimée ni renommée, et ses règles et catégories ne peuvent pas être modifiées.
Stratégie personnalisée	Définit les exigences de sécurité spécifiques à chaque organisation en combinant des règles, catégories, portée et paramètres sélectionnés.	Visualiser, modifier, activer, désactiver et supprimer.

Politique de référence MDC

La politique de base MDC est une politique gérée par Microsoft qui fournit un ensemble recommandé de règles de posture de sécurité basées sur les recherches en sécurité, le renseignement sur les menaces et les meilleures pratiques de Microsoft. Il est conçu pour aider les organisations à renforcer leur posture de sécurité en identifiant et en réduisant les chemins d’attaque courants, les mauvaises configurations et les expositions exploitables.

Contrairement aux cadres axés sur la conformité qui sont principalement conçus pour satisfaire aux exigences réglementaires, la stratégie de référence MDC vise à améliorer les résultats en matière de sécurité et à réduire les risques. Il apporte immédiatement de la valeur en matière de posture avec une configuration minimale et constitue le point de départ recommandé pour la plupart des organisations.

Caractéristiques clés de la stratégie de référence MDC :

Microsoft gère et met à jour en continu le contenu des politiques pour refléter l’évolution des menaces, la recherche en sécurité et les meilleures pratiques.
La stratégie est gérée par Microsoft et offre intentionnellement une personnalisation limitée. Les organisations peuvent modifier les paramètres des règles, modifier le périmètre d’affectation, et activer ou désactiver la politique, mais l’ensemble sous-jacent des contrôles de sécurité recommandés par Microsoft est maintenu par Microsoft.
La stratégie ne peut pas être supprimée et ne peut être désactivée que lorsqu’elle n’est pas requise. Maintenir la politique disponible permet aux organisations de réactiver facilement la base de sécurité recommandée par Microsoft sans avoir à la recréer ou à la reconfigurer.

Attribution par défaut

Pour aider les organisations à réaliser immédiatement la valeur de sécurité, la stratégie de base MDC est attribuée par défaut à tous les environnements connectés.

Les environnements connectés existants sont automatiquement inclus dans le champ d’application de la politique.
Les environnements nouvellement connectés sont automatiquement attribués à la stratégie.
Les organisations peuvent modifier l’attribution et restreindre la politique à certains environnements lorsque cela est nécessaire.

Créer une stratégie personnalisée

Allez dans Gestion de l’exposition>Politiques, puis sélectionnez Créer une politique.

Le processus de création comprend trois décisions principales :

Section de création	Ce que vous définissez	Orientations clés
Détails et portée	Le nom de la politique, la description et les environnements gérés par Defender auxquels la politique s’applique.	Sélectionnez uniquement les environnements qui doivent respecter les mêmes exigences de sécurité. Seuls les administrateurs globaux et les administrateurs de sécurité peuvent créer des politiques applicables à tous les environnements connectés.
Règles et catégories prédéfinies	Les règles sont des contrôles de sécurité individuels qui génèrent des recommandations. Vous pouvez configurer directement les paramètres de règles pris en charge, activer ou désactiver des règles individuelles, et adapter la politique aux besoins de votre organisation.	Utilisez des règles prédéfinies pour sélectionner les contrôles de sécurité pertinents pour les exigences métier, de sécurité et de conformité de votre organisation. Configurez les paramètres des règles prises en charge pour aligner les recommandations sur les politiques internes, les besoins opérationnels et les niveaux de tolérance au risque, tout en réduisant le bruit inutile et en vous concentrant sur les constatations qui comptent le plus pour votre environnement.
Catégories supplémentaires	Les catégories fournissent un ensemble supplémentaire de recommandations définies par Microsoft, regroupées autour d’un résultat de sécurité commun. Contrairement aux règles prédéfinies, les catégories ne peuvent pas être personnalisées ou configurées. Les organisations ne peuvent choisir que d’inclure ou d’exclure une catégorie dans la politique. Les sélections de catégories sont additives et n’affectent pas les sélections de règles prédéfinies.	Microsoft recommande d’utiliser à la fois des règles prédéfinies et des catégories. Les règles prédéfinies offrent un contrôle granulaire et une personnalisation, tandis que les catégories offrent une couverture plus large. Les catégories complètent des règles prédéfinies plutôt que de les remplacer.

Après la création de la politique, Microsoft Defender effectue les évaluations de sécurité applicables. De nouvelles recommandations ou des recommandations mises à jour sont générées lorsque les ressources du champ d’application sélectionné ne répondent pas aux exigences de la politique. Le traitement des stratégies et les mises à jour des recommandations ne sont pas immédiats.

Stratégies de conformité

Microsoft prend en charge les recommandations liées à la conformité et associe les recommandations aux cadres réglementaires courants, tels que HIPAA, PCI DSS, ISO 27001 et NIST. Cependant, les politiques de recommandation n’incluent pas de stratégies prêtes à l’emploi pour des cadres de conformité spécifiques.

Cette approche permet de simplifier la gestion des politiques en évitant un large ensemble de politiques de conformité prédéfinies qui pourraient ne pas être pertinentes pour votre organisation. Au lieu de cela, les organisations peuvent créer des politiques ciblées axées sur la conformité en sélectionnant des recommandations correspondant aux cadres réglementaires qu’elles respectent. Cela offre la flexibilité nécessaire pour élaborer des politiques de conformité adaptées aux exigences spécifiques tout en réduisant la complexité inutile et les charges administratives.

Pour créer une politique axée sur la conformité :

Créer une nouvelle stratégie.
Attribuer la politique aux environnements qui doivent respecter le cadre de conformité sélectionné et les exigences réglementaires sélectionnées.
Filtrez les règles selon le cadre réglementaire souhaité.
Sélectionnez toutes les règles.

Pour plus d’informations, voir Assigner des normes de conformité réglementaire.

Gestion des règles

Utilisez la gestion des règles lorsque vous devez comprendre comment une recommandation spécifique est configurée et appliquée dans toute votre organisation. Cette vue simplifie l’administration en offrant un lieu unique pour suivre les attributions de règles, comprendre les relations entre les stratégies et gérer les configurations de règles sans avoir à naviguer entre plusieurs politiques.

Comprendre l’effet d’une stratégie

Les politiques de posture déterminent quels contrôles de sécurité sont évalués pour certains actifs. Lorsqu'un actif ne répond pas aux exigences définies par une politique activée, Microsoft Defender génère une recommandation pour aider à combler le manque de sécurité identifié.

Si plusieurs stratégies s’appliquent à la même ressource, une recommandation est générée chaque fois que la ressource ne remplit pas les exigences d’au moins une stratégie applicable. Lorsque les évaluations des politiques diffèrent, le résultat le plus restrictif prévaut.

Passer à Defender

Les organisations peuvent continuer à gérer les politiques de posture et les normes de sécurité à la fois depuis le portail Azure et le portail Microsoft Defender lors de la transition vers Managed in Defender.

Les recommandations sont évaluées dans toutes les sources de stratégie applicables et présentées de manière cohérente dans les deux portails. Cela fournit une file d’attente de recommandation unique et empêche la génération de recommandations en double lorsque la même exigence de sécurité est configurée à plusieurs endroits.

Propriétaire de la stratégie

La propriété de la stratégie reste au portail où la stratégie ou la norme a été créée :

Les normes et politiques de sécurité créées dans Azure continuent d’être gérées dans Azure.
Les politiques créées dans Defender sont gérées depuis la page des politiques de posture dans Microsoft Defender.
Les définitions de politique ne sont pas synchronisées ni copiées entre Azure et Defender.
Les recommandations générées par les configurations Azure et Defender sont présentes dans les deux expériences prises en charge.

Gestion des recommandations

Utilisez les informations de la source de stratégie dans une recommandation pour :

Comprenez si la recommandation est dictée par Azure, Defender ou les deux.
Naviguez vers l’expérience appropriée en gestion des stratégies.
Mettre à jour, désactiver ou supprimer la configuration de politique responsable de la recommandation.

Meilleures pratiques pour les environnements existants

Microsoft recommande de gérer les politiques de posture dans Defender autant que possible et d'utiliser les politiques de sécurité Azure uniquement pour des scénarios actuellement non pris en charge dans Defender, comme les politiques nécessitant un effet de refus ou des recommandations personnalisées.

Pour réduire la surcharge opérationnelle et éviter le chevauchement de la gestion des politiques, désactivez les standards de sécurité Azure qui ne sont plus nécessaires pour les environnements gérés via Defender.

Pour les scénarios nécessitant uniquement des fonctionnalités Azure, créez des standards de sécurité Azure dédiés contenant uniquement ces contrôles. Cette approche permet aux organisations de centraliser la gestion des recommandations dans Defender tout en continuant d'utiliser les politiques Azure pour des fonctionnalités qui n'ont pas d'expérience Defender équivalente.

Meilleures pratiques pour les nouveaux abonnements

Les nouveaux abonnements Azure héritent par défaut des standards de sécurité Azure. Lorsque vous adoptez Microsoft Defender comme expérience principale de gestion de posture, examinez les standards Azure attribués aux nouveaux abonnements et désactivez les standards que vous ne souhaitez pas gérer depuis Azure.

Tant que les standards Azure restent activés, ils peuvent continuer à générer des recommandations en parallèle des politiques gérées par Defender. Les recommandations sont présentées sous forme d’expérience de recommandation unique, et le champ source de Politique peut être utilisé pour identifier si une recommandation provient d’une norme de sécurité Azure, d’une politique de posture Defender, ou des deux.

CSPM de base

Microsoft Defender n'inclut pas de plan Foundational CSPM gratuit. À la place, il propose un plan unique CSPM Defender, qui est une offre payante et constitue l’expérience Microsoft recommandée pour la gestion de la posture.

Les organisations souhaitant continuer à recevoir des recommandations de posture dans des environnements gérés par Defender doivent activer CSPM Defender, même si elles continuent à gérer les politiques et les standards de sécurité depuis le portail Azure.

Les organisations qui dépendaient auparavant d’Azure Foundational CSPM doivent activer CSPM Defender pour continuer à recevoir des recommandations de posture, même si la gestion des politiques et des normes de sécurité reste sur le portail Azure. Sans CSPM Defender, les recommandations de posture ne sont pas générées pour les environnements gérés dans Defender.

Limitations

Les limitations suivantes s’appliquent à la gestion des politiques de posture dans le portail Microsoft Defender :

Seuls les environnements Azure sont pris en charge.
Les stratégies Azure existantes continuent d'être respectées mais ne sont pas automatiquement migrées vers le portail Defender.
La création de recommandations personnalisées n'est pas actuellement prise en charge dans Defender. Les recommandations personnalisées peuvent continuer à être gérées dans Azure, et les recommandations résultantes sont visibles à la fois dans Azure et Defender.
Les politiques de posture de Defender ne supportent actuellement que l’évaluation des recommandations basée sur l’audit. Les effets de stratégie tels que Deny ne sont pas pris en charge dans Defender et doivent continuer à être gérés via Azure Policy.
Les mises à jour des recommandations ne sont pas immédiates et nécessitent un délai de traitement supplémentaire. Microsoft continue à améliorer les délais de traitement dans l’ensemble de l’expérience de gestion de posture.

Pourquoi utiliser la gestion des politiques dans Microsoft Defender ?

Azure continue à prendre en charge ses capacités de configuration de politiques existantes, tandis que Microsoft Defender offre une expérience unifiée de gestion de posture à travers le cloud, les terminaux, l’identité et d’autres charges de travail gérées par Defender. Cela permet aux équipes de sécurité de gérer les exigences de posture, les recommandations, les analyses d’exposition et les décisions de gouvernance associées depuis un seul lieu.

Les organisations peuvent passer à Microsoft Defender la gestion des politiques de posture et bénéficier des éléments suivants :

Gestion des politiques descendante : définir les exigences de sécurité de manière centralisée et les appliquer de manière cohérente dans les environnements qui les exigent.
Réduction des charges administratives : les stratégies réutilisables réduisent les configurations répétitives et simplifient la gestion de la conformité entre les environnements.
Étendues de sécurité flexibles : Appliquer des politiques dans tous les environnements gérés par Defender sans être limité aux limites hiérarchiques des ressources Azure.
Configuration de référence gérée par Microsoft : Commencez par la stratégie de configuration de référence MDC, qui vise à améliorer la posture de sécurité et à réduire l’exposition, puis ajoutez des stratégies personnalisées uniquement lorsque les exigences métier, de sécurité ou de conformité diffèrent.
Autorisations de sécurité granulaires : Utilisez Microsoft Defender RBAC unifié pour séparer les permissions de lecture et de gestion et déléguer la gestion des politiques à des équipes de sécurité spécifiques.
Gouvernance entre charges de travail : Gérez les exigences de posture via une expérience commune à travers le cloud, les terminaux, l’identité et d’autres charges de travail Defender prises en charge.
Amélioration du traitement des recommandations : Les délais de traitement des politiques et des recommandations sont optimisés pour l’expérience Defender et continuent de s’améliorer.

Dernière mise à jour : 2026-10-29