Gérer et répondre aux alertes de sécurité

Microsoft Defender for Cloud collecte, analyse et intègre les données de journal provenant de vos ressources Azure, hybrides et multicloud, du réseau et des solutions partenaires connectées, telles que les pare-feux et les agents de terminaison. Defender pour Cloud utilise les données de journal pour détecter les menaces réelles et réduire les faux positifs. Defender for Cloud affiche une liste d’alertes de sécurité prioritaires ainsi que les informations nécessaires pour enquêter rapidement sur le problème et les étapes à suivre pour remédier à une attaque.

Consultez, enquêtez et répondez aux alertes de sécurité dans Defender for Cloud

Cet article montre comment afficher et traiter les alertes de Defender pour le cloud et protéger vos ressources.

Lorsque vous triez les alertes de sécurité, priorisez les alertes en fonction de leur intensité. Abordez d’abord les alertes de gravité plus élevée. Pour en savoir plus, voyez comment les alertes sont classifiées.

Prerequisites

Pour connaître les conditions préalables et les conditions requises, consultez les matrices de support pour Defender pour cloud.

Gérer vos alertes de sécurité

Suivez ces étapes :

1. Connectez-vous au portail Azure.

2. Accédez à Microsoft Defender for Cloud> Alertes de sécurité.

   

3. (Facultatif) Filtrez la liste des alertes avec l’un des filtres appropriés. Ajoutez des filtres supplémentaires en sélectionnant Ajouter un filtre.

   

   Les alertes listent les mises à jour selon les filtres que vous sélectionnez. Par exemple, vous pourriez vouloir traiter les alertes de sécurité survenues au cours des dernières 24 heures afin d’enquêter sur une éventuelle faille du système.

Examiner une alerte de sécurité

Chaque alerte contient des informations qui vous aident à l’analyser.

Pour examiner une alerte de sécurité :

1. Sélectionnez une alerte. Un panneau s’ouvre et montre une description de l’alerte et de toutes les ressources concernées.

   

2. Passez en revue les informations générales relatives à l’alerte de sécurité.

   • Gravité, état et heure d’activité des alertes
   • Description qui explique l’activité précise détectée
   • Ressources affectées
   • Intention de la chaîne d’arrêt de l’activité sur la matrice MITRE ATT&CK, le cas échéant

3. Sélectionnez Afficher les détails complets.

   Le panneau de droite comprend l’onglet Détails de l’alerte qui contient plus de détails pour vous aider à examiner l’alerte, comme les adresses IP, les fichiers et les processus.

   

   Le panneau de droite comprend également l’onglet Action. Utilisez cet onglet pour effectuer d’autres actions concernant l’alerte de sécurité, telles que :

   • Inspecter le contexte de la ressource : Ça vous mène aux journaux d’activité de la ressource qui supportent l’alerte de sécurité.
   • Atténuer la menace : Fournit des étapes manuelles de remédiation pour cette alerte de sécurité.
   • Prévenir les attaques futures : Fournit des recommandations de sécurité pour aider à réduire la surface d’attaque, améliorer la posture de sécurité et ainsi prévenir de futures attaques.
   • Déclencher une réponse automatisée : Offre la possibilité de déclencher une application logique en réponse à cette alerte de sécurité.
   • Supprimer les alertes similaires : Offre la possibilité de supprimer les futures alertes présentant des caractéristiques similaires si l’alerte n’est pas pertinente pour votre organisation.

   

   Pour en savoir plus sur l’alerte, contactez le propriétaire de la ressource afin de vérifier si l’activité détectée est un faux positif. Vous pouvez également examiner les journaux bruts générés par la ressource attaquée.

Modifier l’état de plusieurs alertes de sécurité à la fois

La liste des alertes inclut des cases à cocher pour pouvoir gérer plusieurs alertes à la fois. Par exemple, à des fins de triage, vous pouvez décider d’ignorer toutes les alertes d’information pour une ressource spécifique.

1. Filtrez en fonction des alertes que vous souhaitez gérer en bloc.

   Dans cet exemple, les alertes de gravité Informational pour la ressource ASC-AKS-CLOUD-TALK sont sélectionnées.

   

2. Utilisez les cases à cocher pour sélectionner les alertes à traiter.

   Dans cet exemple, vous sélectionnez toutes les alertes. Le bouton Modifier l’état est désormais disponible.

   

3. Utilisez les options Modifier l’état pour définir l’état souhaité.

   

   Modifiez le statut des alertes affichées sur la page des alertes de sécurité pour la valeur sélectionnée.

Répondre à une alerte de sécurité

Après avoir examiné une alerte de sécurité, vous pouvez répondre à l’alerte à partir de Microsoft Defender pour Cloud.

Pour répondre à une alerte de sécurité :

1. Ouvrez l’onglet Effectuer une action pour afficher les réponses recommandées.

   

2. Passez en revue la section Atténuer la menace pour connaître les étapes d’investigation manuelles nécessaires pour atténuer le problème.

3. Pour renforcer vos ressources et empêcher les attaques futures de ce type, corrigez les recommandations de sécurité dans la section Empêcher les attaques futures .

4. Pour déclencher une application logique avec des étapes de réponse automatisées, utilisez la section Déclencher une réponse automatisée et sélectionnez Déclencher une application logique.

5. Si l’activité détectée n’est pas malveillante, vous pouvez supprimer de futures alertes de ce type en utilisant la section Supprimer des alertes similaires et en sélectionnant Créer la règle de suppression.

6. Sélectionnez Configurer les paramètres des notifications d’e-mail pour voir qui reçoit des emails concernant les alertes de sécurité sur cet abonnement. Contactez le titulaire de l’abonnement pour configurer les paramètres de l’e-mail.

7. Lorsque vous terminez l’enquête sur l’alerte et que vous répondez de manière appropriée, changez le statut en Rejeté.

   

   L’alerte est supprimée de la liste des alertes principales. Vous pouvez utiliser le filtre à partir de la page de liste des alertes pour afficher toutes les alertes avec l’état ignoré .

8. Nous vous encourageons à fournir des commentaires sur l’alerte à Microsoft :

   1. Pour Est-ce utile ?, sélectionnez Oui ou Non.
   2. Sélectionnez une raison et ajoutez un commentaire.

   

Pour en savoir plus sur les types d’alertes, consultez Alertes de sécurité - un guide de référence.

Pour des informations sur la manière dont Defender for Cloud détecte et répond aux menaces, consultez Comment Microsoft Defender for Cloud détecte et répond aux menaces.

Passer en revue les résultats de l’analyse sans agent

Vous pouvez voir les résultats des scanners à base d’agent et sans agent sur la page des alertes de sécurité .

Contenu connexe

• Configurer des règles de suppression d’alerte
• Alertes de sécurité - guide de référence

Étape suivante