Gérer et répondre aux alertes de sécurité

Microsoft Defender for Cloud collecte, analyse et intègre les données de journalisation issues de vos ressources Azure, hybrides et multicloud, de votre réseau et des solutions partenaires connectées, telles que des pare-feu et des agents de point de terminaison. Defender pour Cloud utilise les données de journal pour détecter les menaces réelles et réduire les faux positifs. Une liste hiérarchisée des alertes de sécurité est affichée dans Defender pour le cloud, ainsi que les informations dont vous avez besoin pour investiguer rapidement le problème et les mesures à prendre pour remédier à une attaque.

Consultez, enquêtez et répondez aux alertes de sécurité dans Defender for Cloud

Cet article montre comment afficher et traiter les alertes de Defender pour le cloud et protéger vos ressources.

Lors du triage des alertes de sécurité, vous devez hiérarchiser les alertes en fonction de leur gravité d’alerte, en traitant d’abord les alertes de gravité plus élevées. En savoir plus sur la façon dont les alertes sont classées.

Prerequisites

Pour connaître les conditions préalables et les conditions requises, consultez les matrices de support pour Defender pour cloud.

Gérer vos alertes de sécurité

Suivez ces étapes :

1. Connectez-vous au portail Azure.

2. Accédez à Microsoft Defender pour le cloud>Alertes de sécurité.

   

3. (Facultatif) Filtrez la liste des alertes avec l’un des filtres appropriés. Vous pouvez ajouter des filtres supplémentaires avec l’option Ajouter un filtre .

   

   Les alertes listent les mises à jour selon les filtres que vous sélectionnez. Par exemple, vous souhaiterez peut-être résoudre les alertes de sécurité qui se sont produites au cours des 24 dernières heures, car vous examinez une violation potentielle dans le système.

Examiner une alerte de sécurité

Chaque alerte contient des informations concernant l’alerte qui vous aide dans votre investigation.

Pour examiner une alerte de sécurité :

1. Sélectionnez une alerte. Un volet latéral s’ouvre et affiche une description de l’alerte et de toutes les ressources affectées.

   

2. Passez en revue les informations générales relatives à l’alerte de sécurité.

   • Gravité, état et heure d’activité des alertes
   • Description qui explique l’activité précise détectée
   • Ressources affectées
   • Intention de la chaîne d’arrêt de l’activité sur la matrice MITRE ATT&CK (le cas échéant)

3. Sélectionnez Afficher les détails complets.

   Le panneau de droite comprend l’onglet Détails de l’alerte , qui contient d’autres détails de l’alerte pour vous aider à l’analyser : adresses IP, fichiers, processus, et plus encore.

   

   En outre, dans le volet droit, il s’agit de l’onglet Effectuer une action . Utilisez cet onglet pour effectuer d’autres actions concernant l’alerte de sécurité, par exemple :

   • Examiner le contexte de la ressource : vous redirige vers les journaux d’activité de la ressource qui étayent l’alerte de sécurité
   • Atténuer la menace : fournit des étapes de correction manuelles pour cette alerte de sécurité
   • Empêcher les attaques futures : fournit des recommandations de sécurité pour réduire la surface d’attaque, augmenter la posture de sécurité et ainsi empêcher les attaques futures
   • Déclencher une réponse automatisée : fournit la possibilité de déclencher une application logique en réponse à cette alerte de sécurité
   • Supprimer des alertes similaires : offre la possibilité de supprimer les alertes futures avec des caractéristiques similaires si l’alerte n’est pas pertinente pour votre organisation

   

   Pour plus d’informations sur l’alerte, contactez le propriétaire de la ressource pour vérifier si l’activité détectée est un faux positif. Vous pouvez également examiner les journaux bruts générés par la ressource attaquée.

Modifier l’état de plusieurs alertes de sécurité à la fois

La liste des alertes inclut des cases à cocher pour pouvoir gérer plusieurs alertes à la fois. Par exemple, à des fins de triage, vous pouvez décider d’ignorer toutes les alertes d’information pour une ressource spécifique.

1. Filtrez en fonction des alertes que vous souhaitez gérer en bloc.

   Dans cet exemple, les alertes de gravité Informational pour la ressource ASC-AKS-CLOUD-TALK sont sélectionnées.

   

2. Utilisez les cases à cocher pour sélectionner les alertes à traiter.

   Dans cet exemple, toutes les alertes sont sélectionnées. Le bouton Modifier l’état est désormais disponible.

   

3. Utilisez les options Modifier l’état pour définir l’état souhaité.

   

   Les alertes affichées sur la page des alertes de sécurité ont leur statut changé pour la valeur sélectionnée.

Répondre à une alerte de sécurité

Après avoir examiné une alerte de sécurité, vous pouvez répondre à l’alerte à partir de Microsoft Defender pour Cloud.

Pour répondre à une alerte de sécurité :

1. Ouvrez l’onglet Effectuer une action pour afficher les réponses recommandées.

   

2. Passez en revue la section Atténuer la menace pour connaître les étapes d’investigation manuelles nécessaires pour atténuer le problème.

3. Pour renforcer vos ressources et empêcher les attaques futures de ce type, corrigez les recommandations de sécurité dans la section Empêcher les attaques futures .

4. Pour déclencher une application logique avec des étapes de réponse automatisées, utilisez la section Déclencher une réponse automatisée et sélectionnez Déclencher une application logique.

5. Si l’activité détectée n’est pas malveillante, vous pouvez supprimer les futures alertes de ce type à l’aide de la section Supprimer les alertes similaires et sélectionner Créer une règle de suppression.

6. Sélectionnez Configurer les paramètres de notification par e-mail pour afficher qui reçoit des e-mails concernant les alertes de sécurité sur cet abonnement. Contactez le propriétaire de l’abonnement pour configurer les paramètres des e-mails.

7. Lorsque vous avez terminé l’examen de l’alerte et répondu de la manière appropriée, modifiez l’état par Ignorer.

   

   L’alerte est supprimée de la liste des alertes principales. Vous pouvez utiliser le filtre à partir de la page de liste des alertes pour afficher toutes les alertes avec l’état ignoré .

8. Nous vous encourageons à fournir des commentaires sur l’alerte à Microsoft :

   1. Marquage de l’alerte comme utile ou non utile.
   2. Sélectionnez une raison et ajoutez un commentaire.

   

Pour en savoir plus sur les types d’alertes, consultez Alertes de sécurité - un guide de référence.

Pour des informations sur la manière dont Defender for Cloud détecte et répond aux menaces, consultez Comment Microsoft Defender for Cloud détecte et répond aux menaces.

Passer en revue les résultats de l’analyse sans agent

Les résultats de l’analyseur sans agent s’affichent dans la page Alertes de sécurité.

Contenu connexe

• Configurer des règles de suppression d’alerte
• Alertes de sécurité - guide de référence

Étape suivante