Créer des stratégies de découverte cloud dans Defender for Cloud Apps

Cet article présente comment bien démarrer avec Defender for Cloud Apps afin d’obtenir une visibilité sur le Shadow IT dans l’ensemble de votre organisation grâce à la découverte des applications cloud.

Defender for Cloud Apps vous permet de découvrir et d’analyser les applications cloud en cours d’utilisation dans l’environnement de votre organization. Le tableau de bord de découverte du cloud affiche toutes les applications cloud s’exécutant dans l’environnement et les catégorise par fonction et préparation de l’entreprise. Pour chaque application, découvrez les utilisateurs, les adresses IP, les appareils et les transactions associés, et effectue une évaluation des risques sans avoir à installer un agent sur vos appareils de point de terminaison.

Détecter une nouvelle utilisation d’applications à volume élevé ou large

Détectez les nouvelles applications qui sont très utilisées, en termes de nombre d’utilisateurs ou de quantité de trafic dans votre organization.

Prérequis

Configurer le chargement automatique des journaux pour les rapports de découverte continue du cloud, comme décrit dans Configurer le chargement automatique des journaux pour les rapports continus ou activer l’intégration Defender for Cloud Apps à Defender pour point de terminaison, comme décrit dans Intégrer Microsoft Defender pour point de terminaison avec Defender for Cloud Apps.

Créer une stratégie de découverte d’applications à volume élevé

Effectuez les étapes suivantes pour créer une stratégie pour détecter de nouvelles applications volumineuses ou populaires.

1. Dans le portail Microsoft Defender, sous Applications cloud, accédez à Stratégies ->Gestion des stratégies. Créez une stratégie de découverte d’applications.

2. Dans le champ Modèle de stratégie, sélectionnez Nouvelle application à volume élevé ou Nouvelle application populaire et appliquez le modèle.

3. Personnalisez les filtres de stratégie pour répondre aux exigences de votre organization.

4. Configurez les actions à effectuer lorsqu’une alerte est déclenchée.

Détecter les nouvelles utilisations d’applications risquées ou non conformes

Détectez l’exposition potentielle de vos organization dans les applications cloud qui ne répondent pas à vos normes de sécurité.

Prérequis

Configurer le chargement automatique des journaux pour les rapports de découverte continue du cloud, comme décrit dans Configurer le chargement automatique des journaux pour les rapports continus ou activer l’intégration Defender for Cloud Apps à Defender pour point de terminaison, comme décrit dans Intégrer Microsoft Defender pour point de terminaison avec Defender for Cloud Apps.

Créer une stratégie de découverte d’applications à risque

Procédez comme suit pour créer une stratégie qui détecte l’utilisation d’une application risquée ou non conforme.

1. Dans le portail Microsoft Defender, sous Applications cloud, accédez à Stratégies ->Gestion des stratégies. Créez une stratégie de découverte d’applications.

2. Dans le champ Modèle de stratégie, sélectionnez le modèle Nouvelle application à risque et appliquez le modèle.

3. Sous Application correspondant à tous les éléments suivants, définissez le curseur Score de risque et le facteur de risque conformité pour personnaliser le niveau de risque que vous souhaitez déclencher une alerte, et définissez les autres filtres de stratégie pour répondre aux exigences de sécurité de votre organization.

   1. Facultatif : pour obtenir des détections plus significatives, personnalisez la quantité de trafic qui déclenchera une alerte.

   2. Cochez la case Déclencher une correspondance de stratégie si tous les éléments suivants se produisent le même jour.

   3. Sélectionnez Trafic quotidien supérieur à 2 000 Go (ou autre).

4. Configurez les actions de gouvernance à effectuer lorsqu’une alerte est déclenchée. Sous Gouvernance, sélectionnez Étiqueter l’application comme non approuvée.

   Important

   Sélectionner l’application Tag comme non sanctionnée bloque automatiquement l’accès à l’application lorsque la politique est correspondante.

5. Facultatif : utilisez les intégrations natives de Defender for Cloud Apps avec des passerelles web sécurisées pour bloquer l’accès aux applications.

Détecter l’utilisation d’applications métier non approuvées

Vous pouvez détecter quand vos employés continuent d’utiliser des applications non approuvées en remplacement d’applications approuvées prêtes pour l’entreprise.

Prérequis

• Configurer le chargement automatique des journaux pour les rapports de découverte continue du cloud, comme décrit dans Configurer le chargement automatique des journaux pour les rapports continus ou activer l’intégration Defender for Cloud Apps à Defender pour point de terminaison, comme décrit dans Intégrer Microsoft Defender pour point de terminaison avec Defender for Cloud Apps.

Créer une stratégie de découverte d’applications non approuvée

Les tags d’application sont des étiquettes que vous attribuez aux applications découvertes afin de pouvoir les filtrer et les cibler dans les politiques de découverte. Effectuez les étapes suivantes pour détecter l’utilisation d’applications métier non approuvées.

1. Dans le catalogue d’applications cloud, recherchez vos applications prêtes pour l’entreprise et marquez-les avec une étiquette d’application personnalisée.

2. Suivez les étapes décrites dans Détecter une nouvelle utilisation d’applications à volume élevé ou large.

3. Ajoutez un filtre d’étiquette d’application et choisissez les étiquettes d’application que vous avez créées pour vos applications prêtes pour l’entreprise.

4. Configurez les actions de gouvernance à effectuer lorsqu’une alerte est déclenchée. Dans la section Gouvernance, sélectionnez l’application Tag comme non sanctionnée.

   Important

   Sélectionner l’application Tag comme non sanctionnée bloque automatiquement l’accès à l’application lorsque la politique est correspondante.

5. Facultatif : utilisez les intégrations natives de Defender for Cloud Apps avec des passerelles web sécurisées pour bloquer l’accès aux applications.

Détecter les applications OAuth à risque

Bénéficiez d’une visibilité et d’un contrôle sur les applications OAuth installées à l’intérieur d’applications telles que Google Workspace, Microsoft 365 et Salesforce. Les applications OAuth qui demandent des autorisations élevées et qui ont une utilisation communautaire rare peuvent être considérées comme risquées.

Prérequis

Vous devez avoir l’application Google Workspace, Microsoft 365 ou Salesforce connectée à l’aide de connecteurs d’application.

Créer une stratégie d’application OAuth risquée

Procédez comme suit pour créer une stratégie pour détecter les applications OAuth risquées.

1. Dans le portail Microsoft Defender, sous Applications cloud, accédez à Stratégies ->Gestion des stratégies. Créez une stratégie d’application OAuth.

2. Sélectionnez le filtre Application et définissez l’application que la stratégie doit couvrir, Google Workspace, Microsoft 365 ou Salesforce.

3. Sélectionnez le filtre Niveau d’autorisation défini sur Élevé (disponible pour Google Workspace et Microsoft 365).

4. Ajoutez le filtre Utilisation de la communauté égal à Rare.

5. Configurez les actions à effectuer lorsqu’une alerte est déclenchée. Par exemple, pour Microsoft 365, cochez Révoquer l’application pour les applications OAuth détectées par la stratégie.

Contenu connexe