Déploie du contenu sous forme de code depuis votre dépôt pour un espace de travail ISOC (aperçu)

  • S’applique à: Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

Utilisez des dépôts avec Integrated Security Operations Center (ISOC) dans Microsoft Defender pour gérer et déployer du contenu de sécurité personnalisé dans votre espace de travail ISOC en utilisant CI/CD.

Vous pouvez gérer le contenu depuis le portail Microsoft Defender ou un dépôt externe GitHub ou Azure DevOps. La gestion du contenu dans un dépôt externe vous permet de mettre à jour le contenu en dehors de Microsoft Defender et de déployer automatiquement ces mises à jour dans votre espace de travail ISOC.

L’expérience CI/CD et les types de contenu pris en charge pour un espace de travail ISOC sont les mêmes que l’expérience existante du dépôt Microsoft Sentinel.

Note

Cette fonctionnalité est en version préliminaire. Les capacités et la disponibilité peuvent changer pendant la période de prévisualisation.

Prerequisites

Avant de commencer, vérifiez que les conditions suivantes sont remplies :

  • Votre locataire est éligible à l’ISOC.
  • Vous avez un espace de travail ISOC dans un groupe de ressources où vous avez le rôle de Propriétaire .
  • Vous avez le rôle d’Administrateur Global dans Microsoft Entra ID pour la configuration initiale du CI/CD.
  • Les fichiers de contenu personnalisés que vous souhaitez déployer dans votre espace de travail sont dans un format pris en charge. Pour connaître les formats pris en charge, consultez Planifier le contenu de votre dépôt.
  • Le compte que vous utilisez pour créer la connexion se trouve dans votre locataire de base. Les identités externes comme les comptes invités B2B et les accès délégués ne sont pas pris en charge.
  • (Règles de détection personnalisées uniquement) Vous avez une licence Microsoft 365 E5 ou une licence équivalente incluant Microsoft Defender XDR. Pour plus d’informations, consultez Déployer des règles de détection personnalisées en tant que code.

Prérequis GitHub

Avant de vous connecter à GitHub, assurez-vous que :

  • Vous disposez d’un accès collaborateur à votre dépôt GitHub.
  • GitHub Actions est activé.

Prérequis Azure DevOps

Avant de vous connecter à Azure DevOps, assurez-vous que :

  • Vous disposez d’un accès Administrateur de projet à votre référentiel Azure DevOps.
  • L’accès aux applications tierces via OAuth est activé pour les politiques de connexion d’application Azure DevOps.
  • Votre connexion Azure DevOps est dans le même locataire que votre espace de travail ISOC.

Pour plus d’informations sur les types de contenu déployables, voir Planifiez le contenu de votre dépôt.

Connecter un dépôt

Utilisez cette procédure pour connecter un dépôt GitHub ou Azure DevOps à votre espace de travail ISOC.

Chaque connexion peut prendre en charge plusieurs types de contenus personnalisés, y compris des règles d’analyse, des règles d’automatisation, des règles de détection personnalisées, des requêtes de chasse, des parsers, des playbooks et des cahiers d’exercices. Pour plus d’informations, consultez À propos du contenu et des solutions de Microsoft Sentinel.

Vous ne pouvez pas créer de connexions en double avec le même dépôt et la même branche au sein d’un même espace de travail ISOC.

  1. Connectez-vous au portail Microsoft Defender.

  2. Assurez-vous d’être connecté à votre application de contrôle de version avec les identifiants que vous souhaitez utiliser pour la connexion.

  3. Dans le portail Defender, sélectionnez Microsoft Sentinel>Content Management>Repositors.

  4. Sélectionnez Ajouter nouveau.

  5. Sur la page Créer une nouvelle connexion de déploiement , saisissez un nom pour la connexion.

  6. Entrez une description de la connexion.

  7. Depuis le Contrôle de version, sélectionnez le type de dépôt que vous souhaitez connecter.

  8. Sélectionnez Autoriser.

  9. Suivez les étapes correspondant à votre fournisseur de gestion de code source :

    1. Entrez vos informations d’identification GitHub lorsque vous y êtes invité.

      La première fois que vous ajoutez une connexion, vous êtes invité à autoriser la connexion à Microsoft Sentinel. Si vous êtes déjà connecté à votre compte GitHub dans le même navigateur, vos identifiants GitHub sont automatiquement publiés.

    2. Dans le dépôt, sélectionnez le dépôt que vous souhaitez connecter.

    3. Sélectionnez Ajouter un référentiel.

      La première fois que vous vous connectez à un dépôt, une nouvelle fenêtre ou onglet du navigateur s’ouvre et vous invite à installer l’application Azure-Sentinel.

    4. Dans GitHub, sélectionnez le dépôt où vous souhaitez installer l’application Azure-Sentinel.

    5. Installez l’application Azure-Sentinel.

    6. Retourner à la page Créer une nouvelle connexion de déploiement .

    7. Depuis Branch, sélectionnez la branche que vous souhaitez connecter à votre espace de travail ISOC.

    8. Dans Types de contenu, sélectionnez le contenu que vous souhaitez déployer.

      Les analyseurs et les requêtes de chasse utilisent tous deux l’API des recherches enregistrées pour déployer le contenu. Si vous sélectionnez l’un de ces types de contenu et que votre branche contient l’autre type, les deux types de contenu sont déployés.

      Pour les autres types de contenu, seuls ceux que vous sélectionnez sont déployés.

    9. Cliquez sur Créer.

      Par exemple:

      Capture d’écran d’une nouvelle connexion de dépôt GitHub.

Après avoir créé la connexion, un nouveau workflow ou pipeline est généré dans votre dépôt. Le contenu stocké dans votre dépôt est déployé dans votre espace de travail ISOC.

Le temps de déploiement peut varier selon la quantité de contenu que vous déployez.

Afficher le status de déploiement

Pour consulter le statut du déploiement sur GitHub :

  1. Ouvrez votre dépôt sur GitHub.

  2. Sélectionnez l’onglet Actions.

  3. Sélectionnez le fichier de workflow .yaml pour consulter les journaux de déploiement et les messages d’erreur.

Pour consulter le statut du déploiement dans Azure DevOps :

  1. Ouvrez votre dépôt dans Azure DevOps.

  2. Sélectionnez l’onglet Pipelines .

Après le déploiement :

  • Le contenu stocké dans votre dépôt apparaît sur les pages Microsoft Sentinel correspondantes du portail Defender.
  • Les détails de la connexion sur la page des Dépôts montrent le statut du déploiement, l’heure du dernier déploiement, ainsi qu’un lien vers les journaux de déploiement.

Par exemple:

Capture d’écran d’une connexion de dépôt montrant les journaux de déploiement et le statut.

Par défaut, le workflow ne déploie que du contenu modifié depuis le déploiement précédent. Vous pouvez personnaliser ce comportement en modifiant les déclencheurs de déploiement, en désactivant les déploiements intelligents ou en limitant les déploiements à un dossier racine spécifique.

Pour plus d’informations, voir Personnaliser les déploiements du référentiel.

Modifier le contenu

Après avoir créé une connexion au référentiel, modifiez le contenu connecté dans le dépôt au lieu de l’éditer directement dans Microsoft Defender.

Si vous modifiez le contenu déployé dans Microsoft Defender, exportez le contenu mis à jour vers votre dépôt de contrôle de version. Sinon, vos modifications pourraient être écrasées la prochaine fois que le contenu sera déployé depuis le dépôt.

Supprimer du contenu

Supprimer du contenu de votre dépôt ne le supprime pas de votre espace de travail ISOC.

Pour supprimer le contenu déployé via un dépôt :

  1. Supprimez le contenu de votre dépôt.

  2. Supprimez le contenu correspondant de Microsoft Sentinel dans le portail Defender.

Vous pouvez filtrer le contenu par son nom source pour aider à identifier le contenu déployé à partir des dépôts.

Capture d’écran des règles d’analytique filtrées par le nom source d’un dépôt.

Supprimer une connexion de dépôt

Supprimer une connexion au dépôt arrête les déploiements de contenu futurs. Le contenu précédemment déployé reste dans votre espace de travail ISOC.

Pour utiliser les fichiers Bicep, votre connexion au dépôt doit être plus récente que le 1er novembre 2024. Supprimez et recréez une ancienne connexion pour la mettre à jour.

Pour supprimer une connexion de dépôt :

  1. Connectez-vous au portail Microsoft Defender.

  2. Sélectionnez Microsoft Sentinel>Content Management>Repositors.

  3. Sélectionnez la connexion que vous souhaitez supprimer.

  4. Sélectionnez Supprimer.

  5. Sélectionnez Oui pour confirmer la suppression.

Après avoir supprimé la connexion, le contenu précédemment déployé via la connexion reste dans votre espace de travail ISOC. Le contenu ajouté au dépôt après la suppression de la connexion n’est pas déployé.

Si vous rencontrez une erreur lors de la suppression d’une connexion, vérifiez votre dépôt de contrôle de version et confirmez que le flux de travail GitHub associé ou le pipeline Azure DevOps est supprimé.

Supprimer l’application Microsoft Sentinel de votre dépôt GitHub

Avant de supprimer l’application Microsoft Sentinel d’un dépôt GitHub, supprimez toutes les connexions associées de la page des dépôts dans Microsoft Defender.

Chaque installation d'application Microsoft Sentinel possède un ID unique utilisé lors de l'ajout ou de la suppression de la connexion. Si l’ID manque ou a changé, supprimez la connexion de la page des Dépôts et supprimez manuellement le flux de travail de votre dépôt GitHub pour empêcher de futurs déploiements de contenu.

Contenu connexe

  • Dernière mise à jour :