Utiliser les connexions de données dans Defender EASM

Cet article traite de la fonctionnalité de connexion aux données dans Microsoft Defender External Attack Surface Management (Defender EASM).

Vue d’ensemble

Defender EASM propose désormais des connexions de données pour vous aider à intégrer en toute transparence vos données de surface d’attaque dans d’autres solutions Microsoft afin de compléter les flux de travail existants avec de nouveaux insights. Vous devez obtenir des données de Defender EASM dans les autres outils de sécurité que vous utilisez à des fins de correction afin de tirer le meilleur usage de vos données de surface d’attaque.

Le connecteur de données envoie les données sur les ressources de Defender EASM vers deux plateformes différentes : Log Analytics et Azure Data Explorer. Vous devez exporter Defender EASM données vers l’un ou l’autre outil. Les connexions de données sont soumises au modèle de tarification pour chaque plateforme respective.

Log Analytics fournit des informations de sécurité et des fonctionnalités de gestion des événements et d’orchestration de sécurité, d’automatisation et de réponse. Les informations sur les ressources ou les analyses de Defender EASM peuvent être utilisées dans Log Analytics pour enrichir les flux de travail existants avec d’autres données de sécurité. Les données d’actifs et d’insights de Defender EASM peuvent compléter les informations sur les pare-feu et la configuration, le renseignement sur les menaces et les données de conformité afin d’offrir une visibilité sur votre infrastructure externe sur Internet ouvert.

Vous pouvez :

• Créer ou enrichir des incidents de sécurité.
• Créez des guides d’investigation.
• Entraîner des algorithmes d’apprentissage automatique.
• Déclencher des actions de correction.

Azure Data Explorer est une plateforme d’analytique Big Data qui vous permet d’analyser de gros volumes de données provenant de différentes sources avec des fonctionnalités de personnalisation flexibles. Les données de ressources et d’analyses de Defender EASM peuvent être intégrées afin d’utiliser les fonctionnalités de visualisation, de requête, d’ingestion et de gestion au sein de la plateforme.

Que vous générez des rapports personnalisés avec Power BI ou que vous recherchiez des ressources qui correspondent à des requêtes KQL précises, l’exportation de données Defender EASM vers Azure Data Explorer vous permet d’utiliser vos données de surface d’attaque avec un potentiel de personnalisation infini.

Choisir des options de contenu de données pour les connexions de données

Les connexions de données Defender EASM vous permettent d’intégrer deux types différents de données de surface d’attaque à l’outil de votre choix. Vous pouvez choisir de migrer les données de ressources, les insights de surface d’attaque ou les deux types de données. Les données de ressources fournissent des détails précis sur l’ensemble de votre inventaire. Les informations sur la surface d’attaque fournissent des informations immédiatement exploitables à partir des tableaux de bord Defender EASM.

Pour présenter avec précision l’infrastructure qui importe le plus à votre organization, les deux options de contenu incluent uniquement les ressources dans l’état d’inventaire Approuvé.

Données des ressources : l’option Données de ressource envoie des données sur toutes vos ressources d’inventaire à l’outil de votre choix. Cette option est idéale pour les cas d’usage où les métadonnées sous-jacentes granulaires sont essentielles à votre intégration Defender EASM. Les exemples incluent des Microsoft Sentinel ou des rapports personnalisés dans Azure Data Explorer. Vous pouvez exporter un contexte de haut niveau sur chaque ressource dans l’inventaire et des détails granulaires spécifiques au type de ressource particulier.

L’option Données d’actifs ne fournit aucune information prédéterminée sur les actifs. Au lieu de cela, il offre une grande quantité de données afin que vous puissiez trouver les insights personnalisés qui vous intéressent le plus.

Analyses de la surface d’attaque : les analyses de la surface d’attaque fournissent un ensemble de résultats exploitables basé sur les informations clés présentées via les tableaux de bord de Defender EASM. L’option d’insights sur la surface d’attaque fournit des métadonnées moins granulaires sur chaque actif. Il catégorise les ressources en fonction des insights correspondants et fournit le contexte général requis pour approfondir les recherches. L'option d'insights sur la surface d'attaque est idéale si vous souhaitez intégrer les insights prédéterminés de Defender EASM dans des flux de travail de rapports personnalisés avec des données provenant d'autres outils.

Examiner les exigences de configuration de la connexion de données

Les informations suivantes décrivent les exigences générales de configuration pour les connexions de données Defender EASM.

Accéder aux connexions de données

Dans le volet le plus à gauche de votre Defender EASM de ressources, sous Gérer, sélectionnez Connexions de données. La page Data Connections affiche les connecteurs de données pour Log Analytics et Azure Data Explorer. Il répertorie toutes les connexions actuelles et offre la possibilité d’ajouter, de modifier ou de supprimer des connexions.

Conditions préalables à la connexion

Pour créer correctement une connexion de données, vous devez d’abord vérifier que vous avez effectué les étapes requises pour accorder Defender EASM autorisation à l’outil de votre choix. Accorder l’autorisation à Defender EASM de l’outil de destination permet à l’application d’ingérer vos données exportées. Il fournit également les informations d’identification d’authentification nécessaires pour configurer la connexion.

Configurer les autorisations Log Analytics

Effectuez les étapes suivantes pour configurer les permissions Log Analytics pour les connexions de données Defender EASM.

1. Ouvrez l’espace de travail Log Analytics qui absorbera vos données Defender EASM ou créez un espace de travail Log Analytics.

2. Dans le volet le plus à gauche, sous Paramètres, sélectionnez Agents.

   

3. Développez la section Instructions de l’agent Log Analytics pour afficher l’ID et la clé primaire de votre espace de travail. Ces valeurs sont utilisées pour configurer votre connexion de données.

Configurer les attributions de rôles de groupe de ressources

Attribuez les rôles requis au principal du service API EASM dans le groupe de ressources qui contient l’espace de travail Log Analytics.

1. Dans le volet le plus à gauche, sélectionnez Vue d’ensemble et accédez au groupe de ressources sous Éléments essentiels dans le volet principal.
2. Ouvrez le groupe de ressources qui contient l’espace de travail Log Analytics.
3. Dans le volet le plus à gauche, sélectionnez Contrôle d’accès (IAM) .
4. Recherchez et sélectionnez le rôle Lecteur .
5. Recherchez et sélectionnez l’EASM API en tant que membre pour l’attribution de rôle.
6. Assurez-vous que le type d’affectation est Permanent , puis cliquez sur Vérifier + affecter.
7. Répétez le processus d’attribution des rôles pour ajouter les rôles Monitoring Contributor, Log Analytics Contributor et Monitoring Metrics Publisher pour l’application EASM API.

Configurer les fournisseurs de ressources d’abonnement

Enregistrez le fournisseur de ressources par abonnement requis avant de créer la connexion de données Log Analytics.

1. Ouvrez l’abonnement qui contient le groupe de ressources et l’espace de travail Log Analytics.
2. Dans le volet le plus à gauche, sous Paramètres , sélectionnez Fournisseurs de ressources.
3. Recherchez microsoft.insights et inscrivez le fournisseur.

L’utilisation de cette connexion de données est soumise à la structure tarifaire de Log Analytics. Pour plus d’informations, consultez tarification Azure Monitor.

Configurer les autorisations Azure Data Explorer

Vérifiez que le principal de service d’API Defender EASM a accès aux rôles appropriés dans la base de données dans laquelle vous souhaitez exporter les données de votre surface d’attaque. Tout d’abord, assurez-vous que votre ressource Defender EASM a été créée dans le tenant approprié, car la création de la ressource Defender EASM prévoit le principal de l’API EASM.

1. Ouvrez le cluster Azure Data Explorer qui absorbera vos données Defender EASM ou créez un cluster et une base de données Azure Data Explorer.

2. Dans le volet le plus à gauche, sous Données, sélectionnez Bases de données.

3. Sélectionnez Ajouter une base de données pour créer une base de données pour héberger vos données Defender EASM.

   

4. Nommez votre base de données, configurez les périodes de rétention et de cache, puis sélectionnez Créer.

   

5. Une fois votre base de données Defender EASM créée, sélectionnez le nom de la base de données pour ouvrir la page de détails. Dans le volet le plus à gauche, sous Vue d’ensemble, sélectionnez Autorisations. Pour exporter avec succès les données Defender EASM vers Azure Data Explorer, vous devez créer deux nouvelles autorisations pour l’API EASM : user et ingestor.

   

6. Sélectionnez Ajouter et créez un utilisateur. Recherchez GSAE API, sélectionnez la valeur, puis sélectionnez Sélectionner.

7. Sélectionnez Ajouter pour créer un ingesteur. Suivez les étapes décrites précédemment pour ajouter l’API EASM en tant que collecteur.

8. Votre base de données est maintenant prête à se connecter à Defender EASM. Vous avez besoin du nom du cluster, du nom de la base de données et de la région lorsque vous configurez votre connexion de données.

Ajouter une connexion de données

Vous pouvez connecter vos données Defender EASM à Log Analytics ou à Azure Data Explorer. Pour ce faire, sélectionnez Ajouter une connexion pour l’outil approprié dans la page Connexions de données .

Un volet de configuration s’ouvre sur le côté droit de la page Connexions de données . Les champs suivants sont obligatoires pour chaque outil respectif.

Ajouter une connexion de données Log Analytics

Pour une connexion Log Analytics, indiquez les champs suivants :

• Nom : entrez un nom pour cette connexion de données.

• Identifiant de l’espace de travail : entrez l’identifiant de l’espace de travail de l’instance Log Analytics où vous souhaitez exporter les données Defender EASM.

• Contenu : sélectionnez cette option pour intégrer les données de ressources, les insights de surface d’attaque ou les deux jeux de données.

• Fréquence : sélectionnez la fréquence utilisée par la connexion Defender EASM pour envoyer des données mises à jour à l’outil de votre choix. Les options disponibles sont quotidiennes, hebdomadaires et mensuelles.

  

Add an Azure Data Explorer data connection

Pour une connexion Azure Data Explorer, fournissez les champs suivants :

• Nom : entrez un nom pour cette connexion de données.

• Nom du cluster : entrez le nom du cluster Azure Data Explorer dans lequel vous souhaitez exporter Defender EASM données.

• Région : entrez la région du cluster Azure Data Explorer.

• Nom de la base de données : entrez le nom de la base de données souhaitée.

• Contenu : sélectionnez cette option pour intégrer les données de ressources, les insights de surface d’attaque ou les deux jeux de données.

• Fréquence : sélectionnez la fréquence utilisée par la connexion Defender EASM pour envoyer des données mises à jour à l’outil de votre choix. Les options disponibles sont quotidiennes, hebdomadaires et mensuelles.

  

  Une fois tous les champs configurés, sélectionnez Ajouter pour créer la connexion de données. À ce stade, la page Connexions de données affiche une bannière qui indique que la ressource a été créée avec succès. Dans 30 minutes, les données commencent à se remplir. Une fois les connexions créées, elles sont répertoriées sous l’outil applicable sur la page principale connexions de données .

Modifier ou supprimer une connexion de données

Vous pouvez modifier ou supprimer une connexion de données. Par exemple, vous remarquerez peut-être qu’une connexion est répertoriée comme Déconnectée. Dans ce cas, vous devez ressaisir les paramètres de configuration pour résoudre le problème.

Pour modifier ou supprimer une connexion de données :

1. Sélectionnez la connexion appropriée dans la liste de la page principale Connexions de données .

   

2. Une page s’ouvre et fournit plus de données sur la connexion. Il affiche les configurations que vous avez choisies lors de la création de la connexion et les éventuels messages d’erreur. Vous voyez également les données suivantes :

   • Se répète le : Le jour de la semaine ou du mois auquel Defender EASM envoie des données mises à jour à l’outil connecté.

   • Créé : date et heure auxquelles la connexion de données a été créée.

   • Mis à jour : date et heure de la dernière mise à jour de la connexion de données.

     

3. À partir de cette page, vous pouvez vous reconnecter, modifier ou supprimer votre connexion de données.

   • Reconnecter : tente de valider la connexion de données sans aucune modification de la configuration. Cette option est préférable si vous avez validé les informations d’identification d’authentification utilisées pour la connexion de données.
   • Modifier : vous permet de modifier la configuration de la connexion de données.
   • Supprimer : supprime la connexion de données.