Utiliser l’API de diffusion en continu avec Microsoft Defender pour entreprises

Si votre organisation dispose d’un Centre d’Opérations de Sécurité (SOC), vous pouvez utiliser l’API de streaming Microsoft Defender for Endpoint avec Defender for Business et Microsoft 365 Business Premium. L’API de diffusion en continu Microsoft Defender for Endpoint vous permet de diffuser en continu des données, telles que le fichier d’appareil, le Registre, le réseau, les événements de connexion, et bien plus encore à l’un des services suivants :

• Microsoft Sentinel : solution native cloud évolutive qui fournit des fonctionnalités SIEM (Security Information and Event Management) et d’orchestration, d’automatisation et de réponse de sécurité (SOAR).
• Azure Event Hubs : plateforme de streaming big data moderne et service d’ingestion d’événements qui peut s’intégrer en toute transparence à d’autres Azure et services Microsoft. Par exemple, Azure Stream Analytics, Power BI et Azure Event Grid, ainsi que des services externes comme Apache Spark.
• stockage Azure : solution de stockage cloud de Microsoft pour les scénarios de stockage de données modernes, avec un stockage hautement disponible, hautement évolutif, durable et sécurisé pour divers objets de données dans le cloud.

En utilisant l’API de streaming Defender for Endpoint, vous pouvez utiliser la chasse avancée et la détection d’attaques avec Defender for Business et Microsoft 365 Business Premium. L’API de streaming permet aux centres d’opérations de sécurité d’afficher davantage de données sur les appareils, de mieux comprendre comment une attaque s’est produite et de prendre des mesures pour améliorer la sécurité des appareils.

Utiliser l’API de diffusion en continu avec Microsoft Sentinel

Pour transmettre en continu les données de Defender for Business à Microsoft Sentinel, procédez comme suit.

1. Assurez-vous de mettre en place et de configurer Defender for Business, et d’intégrer vos appareils. Consultez Mettre en place et configurer Microsoft Defender for Business.

2. Créez un espace de travail Log Analytics à utiliser avec Microsoft Sentinel. Consultez Créer un espace de travail Log Analytics.

3. Intégrer Microsoft Sentinel. Consultez Démarrage rapide : Intégrer Microsoft Sentinel.

4. Activez le connecteur Microsoft Defender. Consultez Connecter des données de Microsoft Defender à Microsoft Sentinel.

Utiliser l’API de streaming avec Event Hubs

Pour utiliser Azure Event Hubs, vous avez besoin d’un abonnement Azure. Avant de commencer, assurez-vous de créer un Event Hub dans votre organisation. Ensuite, connectez-vous à la Portail Azure, accédez à Abonnements>Votre abonnement>Fournisseurs de ressources>Inscrivez-vous à Microsoft.insights.

Pour configurer la diffusion en continu sur Azure Event Hubs, procédez comme suit.

1. Accédez au portail Microsoft Defender et connectez-vous.

2. Accédez à la page Paramètres d’exportation de données.

3. Sélectionnez Ajouter des paramètres d’exportation de données.

4. Choisissez un nom pour vos nouveaux paramètres.

5. Choisissez Transférer les événements à Azure Event Hubs.

6. Saisissez le nom de votre Event Hubs et votre identifiant Event Hubs.

   Remarque

   Si vous laissez le champ nom du Hub d’événements vide, le système crée un hub d’événements pour chaque catégorie dans l’espace de noms sélectionné. Si vous n’utilisez pas un cluster Event Hubs dédié, qui est un déploiement monolocataire avec une capacité dédiée, rappelez-vous qu’il y a une limite de 10 espaces de noms Event Hubs.

   Pour obtenir votre identifiant Event Hubs, rendez-vous sur la page de votre espace de noms Event Hubs dans le portail Azure. Sous l’onglet Propriétés , copiez le texte sous ID.

7. Choisissez les événements que vous souhaitez diffuser en continu, puis sélectionnez Enregistrer.

Afficher le schéma d’événement dans Azure Event Hubs

L’exemple JSON suivant montre le format de chaque message du hub d’événements que Event Hubs reçoit lorsque le transfert d’événements est activé. Chaque message contient un records tableau avec une ou plusieurs entrées d’événement :

{
    "records": [
                    {
                        "time": "<The time WDATP received the event>"
                        "tenantId": "<The Id of the organization that the event belongs to>"
                        "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
                        "properties": { <WDATP Advanced Hunting event as Json> }
                    }
                    ...
                ]
}

Chaque message event hub dans Azure Event Hubs contient une liste d’enregistrements. Chaque enregistrement contient le nom de l’événement, l’heure à laquelle Defender for Business a reçu l’événement, l’organisation à laquelle il appartient (vous recevez uniquement des événements de votre organisation), et l’événement au format JSON dans une propriété appelée properties. Pour plus d’informations sur le schéma des événements de repérage avancé diffusés en continu vers Azure Event Hubs, consultez La recherche proactive des menaces avec la chasse avancée dans Microsoft Defender.

Utiliser l’API de streaming avec stockage Azure

Pour configurer la diffusion en continu sur stockage Azure, procédez comme suit.

Activer la diffusion en continu de données brutes

La diffusion en continu de données brutes transfère les données d’événements de sécurité de Defender for Business directement à votre compte stockage Azure, où vous pouvez conserver et analyser ces données. Pour activer la diffusion en continu de données brutes vers stockage Azure, procédez comme suit.

1. Accédez au portail Microsoft Defender et connectez-vous.

2. Accédez à la page Paramètres d’exportation de données dans Microsoft Defender XDR.

3. Sélectionnez Ajouter des paramètres d’exportation de données.

4. Choisissez un nom pour vos nouveaux paramètres.

5. Choisissez Transférer les événements vers Azure Stockage.

6. Tapez votre ID de ressource de compte de stockage. Pour obtenir l’identifiant de la ressource de votre compte de stockage, rendez-vous sur la page de votre compte de stockage dans le portail Azure. Ensuite, sous l’onglet Propriétés , copiez le texte sous ID de ressource du compte de stockage.

7. Choisissez les événements que vous souhaitez diffuser en continu, puis sélectionnez Enregistrer.

Afficher le schéma d’événement dans stockage Azure

Un conteneur d’objets blob est créé pour chaque type d’événement. L’exemple JSON suivant montre le schéma d’une ligne d’événement unique écrite dans stockage Azure. Chaque ligne comprend l’horodatage de l’événement, l’identifiant de votre locataire, la catégorie de recherche avancée et les données de l’événement au format JSON :

{
  "time": "<The time WDATP received the event>"
  "tenantId": "<Your tenant ID>"
  "category": "<The Advanced Hunting table name with 'AdvancedHunting-' prefix>"
  "properties": { <WDATP Advanced Hunting event as Json> }
}

Chaque blob contient plusieurs lignes. Chaque ligne contient le nom de l’événement, l’heure à laquelle Defender for Business a reçu l’événement, l’organisation à laquelle appartient l’événement (vous recevez uniquement les événements de votre organisation) et les propriétés de l’événement au format JSON. Pour plus d’informations sur les données d’événements de chasse avancées diffusées en continu vers stockage Azure, consultez La recherche proactive des menaces avec la chasse avancée dans Microsoft Defender.

Contenu connexe

• API de streaming de données brutes dans Defender pour point de terminaison
• Vue d’ensemble de la gestion et des API