Examiner les applications découvertes par Microsoft Defender pour point de terminaison

L'intégration de Microsoft Defender for Endpoint à Microsoft Defender pour point de terminaison fournit une solution de contrôle et de visibilité de l'informatique « fantôme ». Notre intégration permet aux administrateurs Defender for Cloud Apps d’examiner les appareils découverts, les événements réseau et l’utilisation des applications. Avant de commencer, assurez-vous de disposer des prérequis, y compris la configuration de l’intégration à Defender for Endpoint.

Prérequis

Avant d’effectuer les procédures décrites dans cet article, assurez-vous d’avoir terminé l’intégration entre Defender for Endpoint et Defender for Cloud Apps.

Examiner les appareils découverts dans Defender for Cloud Apps

Après avoir intégré Defender pour point de terminaison à Defender for Cloud Apps, examinez les données d’appareil découvertes dans le tableau de bord de découverte du cloud.

1. Dans le portail Microsoft Defender, sous Cloud Apps, sélectionnez Cloud Discovery>Dashboard.

2. En haut de la page du tableau de bord de découverte du cloud, sélectionnez les terminaux gérés par Defender. Le flux de points de terminaison gérés par Defender contient des données de tous les systèmes d’exploitation mentionnés dans Defender for Cloud Apps prérequis d’intégration.

En haut du tableau de bord Cloud Discovery, vous verrez le nombre d'appareils découverts ajoutés après la configuration de l'intégration Defender for Endpoint et Defender for Cloud Apps.

1. Sélectionnez l’onglet Appareils .

2. Explorez chaque appareil répertorié et utilisez les onglets pour afficher les données d’examen. Recherchez les corrélations entre les appareils, les utilisateurs, les adresses IP et les applications impliquées dans les incidents :

   • Vue d’ensemble :

     • Niveau de risque de l’appareil : indique à quel point le profil de l’appareil est risqué par rapport aux autres appareils de votre organization, comme indiqué par la gravité (élevée, moyenne, faible, informationnelle). Defender pour Cloud Apps utilise les profils d’appareil de Defender pour point de terminaison pour chaque appareil en fonction d’analyses avancées. L'activité qui est anormale par rapport à la ligne de base d'un appareil est évaluée et détermine le niveau de risque de l'appareil. Utilisez le niveau de risque de l’appareil pour déterminer les appareils à examiner en premier.
     • Transactions : informations sur le nombre de transactions qui ont eu lieu sur l’appareil au cours de la période sélectionnée.
     • Trafic total : informations sur la quantité totale de trafic (en Mo) sur la période sélectionnée.
     • Chargements : informations sur la quantité totale de trafic (en Mo) chargée par l’appareil sur la période sélectionnée.
     • Téléchargements : informations sur la quantité totale de trafic (en Mo) téléchargée par l’appareil sur la période sélectionnée.

   • Applications découvertes : Listes toutes les applications découvertes auxquelles l’appareil a accédé.

   • Historique utilisateur : Listes tous les utilisateurs qui se sont connectés à l’appareil.

   • Historique des adresses IP : Listes toutes les adresses IP qui ont été affectées à l’appareil.

Comme pour toute autre source de découverte cloud, vous pouvez exporter les données à partir du rapport des points de terminaison gérés par Defender pour une investigation plus approfondie.

Découverte des applications avec Microsoft Defender pour point de terminaison lorsque l’appareil se trouve derrière un proxy réseau

Defender for Cloud Apps peut découvrir les événements réseau liés au Shadow IT détectés sur des appareils Microsoft Defender pour point de terminaison qui fonctionnent dans le même environnement qu’un proxy réseau. Par exemple, si votre appareil de point de terminaison Windows 10 se trouve dans le même environnement que ZScalar, Defender for Cloud Apps pouvez découvrir des applications Shadow IT via le flux Utilisateurs de point de terminaison Win10.

Enquêter sur les événements réseau des appareils dans Microsoft Defender

Les événements réseau sont des enregistrements temporels des connexions d’appareils capturés par Defender for Endpoint qui vous aident à enquêter sur l’activité liée aux applications sur des appareils spécifiques.

Procédez comme suit pour obtenir une visibilité plus précise sur l’activité réseau de l’appareil dans Microsoft Defender pour point de terminaison :

1. Dans le portail Microsoft Defender, sous Applications cloud, sélectionnez Cloud Discovery. Sélectionnez ensuite l’onglet Appareils .
2. Sélectionnez l’ordinateur à examiner, puis, en haut à gauche, sélectionnez Afficher dans Microsoft Defender pour point de terminaison.
3. Dans le portail Defender, sous Assets ->Appareils> {périphérique sélectionné}, sélectionnez Chronologie.
4. Sous Filtres, sélectionnez Événements réseau.
5. Examinez les événements réseau de l’appareil en fonction des besoins.

Examiner l’utilisation des applications dans Microsoft Defender XDR avec la chasse avancée

La chasse avancée est un outil de repérage des menaces basé sur des requêtes dans Microsoft Defender XDR qui vous permet d’explorer les données de télémétrie brutes. Procédez comme suit pour obtenir une visibilité plus précise sur les événements réseau liés aux applications dans Defender pour point de terminaison :

1. Dans le portail Microsoft Defender, sous Applications cloud, sélectionnez Cloud Discovery. Sélectionnez ensuite l’onglet Applications découvertes .

2. Sélectionnez l’application que vous souhaitez examiner pour ouvrir son tiroir.

3. Sélectionnez la liste Des domaines de l’application, puis copiez la liste des domaines.

4. Dans Microsoft Defender XDR, sous Chasse, sélectionnez Chasse avancée.

5. Collez la requête suivante et remplacez par <DOMAIN_LIST> la liste des domaines que vous avez copiées précédemment.

   DeviceNetworkEvents
   | where RemoteUrl has_any ("<DOMAIN_LIST>")
   | order by Timestamp desc
   

6. Exécutez la requête et examinez les événements réseau pour cette application.

   

Étudiez les applications non autorisées dans Microsoft Defender

Chaque tentative d’accès à une application non autorisée déclenche une alerte dans le portail Defender avec des détails détaillés sur l’ensemble de la session. Les détails de l’alerte vous permettent d’effectuer des enquêtes plus approfondies sur les tentatives d’accès aux applications non approuvées, ainsi que de fournir des informations pertinentes supplémentaires à utiliser dans l’investigation de l’appareil de point de terminaison.

Parfois, l’accès à une application non approuvée n’est pas bloqué, soit parce que l’appareil de point de terminaison n’est pas configuré correctement ou que la stratégie d’application n’a pas encore été propagée au point de terminaison. Lorsque l'accès à une application non autorisée n'est pas bloqué en raison d'une mauvaise configuration du point de terminaison ou de retards de propagation de politiques, les administrateurs de Defender pour Endpoint reçoivent une alerte dans le portail Defender indiquant que l'application non autorisée n'a pas été bloquée.

Étapes suivantes

Vidéos connexes

Les vidéos suivantes fournissent des informations supplémentaires sur l’arrière-plan et les procédures pas à pas pour la découverte et l’investigation de Shadow IT.

• Recherche à l’aide des données Microsoft Cloud App Security

• Découvrir et bloquer Shadow IT à l’aide de Defender pour point de terminaison

• Shadow IT Discovery au-delà du réseau de société

Si vous rencontrez des problèmes, nous sommes là pour vous aider. Pour obtenir de l’aide ou du support pour votre problème de produit, ouvrez un ticket de support.