Guide des opérations de sécurité de Microsoft Defender pour point de terminaison

  • S’applique à: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Cet article fournit une vue d’ensemble des conditions requises et des tâches pour le bon fonctionnement des Microsoft Defender pour point de terminaison dans votre organization. Ces tâches aident votre centre des opérations de sécurité (SOC) à détecter efficacement les menaces de sécurité Microsoft Defender pour point de terminaison détectées et à y répondre.

Cet article décrit également les tâches quotidiennes, hebdomadaires, mensuelles et ad hoc que votre équipe de sécurité peut effectuer pour votre organization.

Remarque

Voici des étapes recommandées ; vérifiez-les au regard de vos propres politiques et de votre environnement afin de vous assurer qu’elles conviennent à l’usage prévu.

Prérequis

Le point de terminaison Microsoft Defender doit être configuré pour prendre en charge votre processus normal d’opérations de sécurité. Bien que non abordés dans ce document, les articles suivants fournissent des informations sur la configuration et l’installation :

Activités quotidiennes

Généralités

  • Passer en revue les actions

    Dans le centre de notifications, passez en revue les actions qui ont été effectuées dans votre environnement, à la fois automatisées et manuelles. Ces informations vous aident à vérifier que l’examen et la réponse automatisés (AIR) fonctionnent comme prévu et à identifier toutes les actions manuelles qui doivent être examinées. Pour plus d’informations, consultez Visiter le Centre de notifications pour voir les actions de correction.

Équipe des opérations de sécurité

Équipe d’administration de la sécurité

  • Consulter les rapports d’état

    Passez en revue les rapports sur l’état afin d’identifier toute tendance concernant l’état des appareils nécessitant une intervention. Les rapports sur l’état de santé de l’appareil couvrent les signatures antivirus de Microsoft Defender for Endpoint, l’état de santé de la plateforme et l’état de santé de l’EDR. Pour plus d’informations, consultez Rapports d’intégrité des appareils dans Microsoft Defender for Endpoint.

  • Vérifier l’intégrité du capteur EDR (Détection et réponse des points de terminaison)

    L’intégrité de l’EDR maintient la connexion au service EDR pour s’assurer que Defender pour point de terminaison reçoive les signaux nécessaires pour déclencher des alertes et identifier les vulnérabilités.

    Passez en revue les appareils défectueux. Pour plus d’informations, consultez État de l’appareil, État du capteur & du système d’exploitation.

  • Vérifier l’état de Microsoft Defender Antivirus

    L’affichage de la status des mises à jour antivirus Microsoft Defender est essentiel pour optimiser les performances de Defender pour point de terminaison dans votre environnement et les détections à jour. La page d’état de l’appareil affiche l’état actuel de la plateforme, de l’intelligence et de la version du moteur. Pour plus d’informations, consultez le rapport sur l’état de l’appareil et de Microsoft Defender Antivirus.

Activités hebdomadaires

Généralités

  • Centre de messages

    Microsoft Defender utilise le centre de messages Microsoft 365 pour vous informer des modifications à venir, telles que les fonctionnalités nouvelles et modifiées, la maintenance planifiée ou d’autres annonces importantes.

    Passez en revue les messages du centre de messages pour comprendre les modifications à venir qui ont un impact sur votre environnement.

    Vous pouvez y accéder dans le centre d’administration Microsoft 365, sous l’onglet État. Pour plus d’informations, consultez Comment vérifier l’état du service Microsoft 365.

Équipe des opérations de sécurité

Équipe d’administration de la sécurité

  • Passer en revue les status de menaces et de vulnérabilités (TVM)

    Passez en revue TVM pour identifier les nouvelles vulnérabilités et recommandations qui nécessitent une action. Pour plus d’informations, consultez Tableau de bord gestion des vulnérabilités.

  • Passer en revue les rapports de réduction de la surface d’attaque

    Passez en revue les rapports ASR pour identifier tous les fichiers qui affectent votre environnement. Pour plus d’informations, consultez Rapport sur les règles de réduction de la surface d’attaque (ASR).

  • Passer en revue les événements de protection web

    Passez en revue le rapport de défense web pour identifier les adresses IP ou URL qui sont bloquées. Pour plus d’informations, consultez Protection web.

Activités mensuelles

Généralités

Passez en revue les articles suivants pour comprendre les mises à jour récemment publiées :

Équipe d’administration de la sécurité

  • Passer en revue l’appareil exclu de la stratégie

    Si des appareils sont exclus des stratégies Defender pour point de terminaison, vérifiez et déterminez si l’appareil doit toujours être exclu de la stratégie.

    Remarque

    Consultez le mode de dépannage pour résoudre les problèmes. Pour plus d’informations, consultez Activer et utiliser le mode de dépannage dans Microsoft Defender for Endpoint.

Périodiquement

Ces tâches sont considérées comme une maintenance pour votre posture de sécurité et sont essentielles pour votre protection continue. Toutefois, comme elles peuvent prendre du temps et des efforts, il est recommandé de définir une planification standard que vous pouvez maintenir pour effectuer ces tâches.

  • Passer en revue les exclusions

    Passez en revue les exclusions qui ont été définies dans votre environnement pour confirmer que vous n’avez pas créé d’écart de protection en excluant les éléments qui ne doivent plus être exclus.

  • Passer en revue les configurations de stratégie Defender

    Examinez régulièrement vos paramètres de configuration Defender pour vérifier qu’ils sont définis comme requis.

  • Passer en revue les niveaux d’automatisation

    Passez en revue les niveaux d’automatisation dans les fonctionnalités d’investigation et de correction automatisées. Pour plus d’informations, consultez Niveaux d’automatisation dans l’investigation et la correction automatisées.

  • Passer en revue les détections personnalisées

    Vérifiez régulièrement si les détections personnalisées qui ont été créées sont toujours valides et efficaces. Pour plus d’informations, consultez Passer en revue la détection personnalisée.

  • Passer en revue la suppression des alertes

    Passez régulièrement en revue toutes les règles de suppression d’alerte qui ont été créées pour confirmer qu’elles sont toujours requises et valides. Pour plus d’informations, consultez Passer en revue la suppression des alertes.

Résolution des problèmes

Les articles suivants fournissent des conseils pour résoudre les erreurs que vous pouvez rencontrer lors de la configuration de votre service Microsoft Defender pour point de terminaison.

  • Dernière mise à jour :