Analyse des scripts avec Microsoft Copilot dans Microsoft Defender

  • S’applique à: Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

Grâce aux fonctionnalités d’investigation basées sur l’IA de Microsoft Security Copilot dans le portail Microsoft Defender, les équipes de sécurité peuvent accélérer leur analyse des scripts et des lignes de commande malveillants ou suspects.

Ce guide décrit la fonctionnalité d’analyse de script et son fonctionnement, notamment la façon dont vous pouvez fournir des commentaires sur les résultats générés.

Avant de commencer

Si vous débutez avec Security Copilot, vous devez vous y familiariser en lisant les articles suivants :

Les attaques les plus complexes et sophistiquées, telles que les conseils de Microsoft sur les rançongiciels, échappent à la détection de nombreuses manières, notamment grâce à l’utilisation de scripts et de commandes PowerShell. En outre, ces scripts sont souvent masqués, ce qui ajoute à la complexité de la détection et de l’analyse. Les équipes chargées des opérations de sécurité doivent analyser rapidement les scripts pour comprendre les fonctionnalités et appliquer une atténuation appropriée, ce qui empêche immédiatement les attaques de progresser au sein d’un réseau.

La fonctionnalité d’analyse de script offre aux équipes de sécurité une capacité supplémentaire pour inspecter les scripts sans utiliser d’outils externes. La fonctionnalité d’analyse de script réduit également la complexité de l’analyse, réduit les défis et permet aux équipes de sécurité d’évaluer et d’identifier rapidement un script comme malveillant ou bénin.

intégration Security Copilot dans Microsoft Defender

La fonctionnalité d’analyse de script est disponible dans le portail Microsoft Defender pour les clients qui disposent d’un accès provisionné à Security Copilot.

L’analyse de script est également disponible dans l’expérience autonome Security Copilot via le plug-in Microsoft Defender XDR. Pour plus d’informations sur le plug-in Microsoft Defender XDR, consultez plug-ins préinstallés dans Security Copilot.

Fonctionnalités d’analyse de script clés

Vous pouvez accéder à la capacité d’analyse de script dans l’histoire d’attaque sous le graphique d’incident sur une page d’incident et dans la vue chronologie de l’appareil. Pour plus d’informations, voir Enquêter sur la chronologie de l’appareil.

Pour commencer l’analyse, procédez comme suit :

  1. Ouvrez une page d’incident, puis sélectionnez un élément dans le volet gauche pour ouvrir le récit de l’attaque sous le graphique de l’incident. Dans le récit de l’attaque, sélectionnez un événement avec un script ou une ligne de commande que vous souhaitez analyser. Cliquez sur Analyser pour démarrer l’analyse.

    Capture d’écran montrant le bouton d’analyse de script dans la vue du récit d’attaque.

    Vous pouvez également sélectionner un événement à inspecter dans l’affichage chronologique de l’appareil. Dans le volet Détails du fichier, sélectionnez Analyser pour exécuter la fonctionnalité d’analyse des scripts.

    Capture d’écran montrant le bouton Analyser dans la chronologie de l’appareil.

  2. Copilot exécute une analyse de script et affiche les résultats dans le volet Copilot. Sélectionnez Afficher le code pour développer le script ou Masquer le code pour fermer l’extension.

    Capture d’écran mettant en évidence l’option Afficher ou masquer le code dans les résultats de l’analyse de script.

  3. Sélectionnez Afficher les techniques MITRE pour afficher les techniques MITRE ATT&CK associées au script. Ces informations vous aident à comprendre les techniques utilisées par le script et leur impact sur votre environnement. Sélectionnez Masquer les techniques MITRE pour fermer l’extension.

    Capture d’écran mettant en évidence l’option afficher ou masquer les techniques MITRE dans les résultats de l’analyse de script.

  4. Sélectionnez les points de suspension (...) Autres actions en haut à droite de la carte d’analyse de script pour copier ou régénérer les résultats, ou voir les résultats dans l’expérience autonome de Security Copilot. Le fait de sélectionner Ouvrir dans Security Copilot ouvre un nouvel onglet vers le portail autonome de Copilot, où vous pouvez saisir des requêtes et accéder à d’autres modules complémentaires.

    Capture d’écran montrant l’option Plus d’actions dans le carte d’analyse de script Copilot.

  5. Passez en revue les résultats et utilisez les informations pour guider votre investigation et votre réponse à l’incident.

Exemple d’invite d’analyse de script

Dans le portail autonome Security Copilot, vous pouvez utiliser l’invite suivante pour identifier et analyser les scripts :

  • Identifiez les scripts dans l’incident Defender {ID d’incident}. S’agit-il de scripts malveillants ?

Conseil

Lors de l’analyse des scripts sur le portail Security Copilot, Microsoft recommande d’inclure le mot Defender dans vos prompts afin de garantir que la fonctionnalité d’analyse des scripts produise les résultats attendus.

Fournir des commentaires sur l’analyse de script

Microsoft vous encourage vivement à fournir des commentaires à Copilot, car il est essentiel pour l’amélioration continue d’une fonctionnalité. Vous pouvez fournir un retour sur les résultats en sélectionnant l’icône de retour d’écran du contrôle de retour utilisé pour soumettre les retours pour les réponses Copilot dans les cartes Defender. Disponible à la fin de la carte d’analyse de script.

Contenu connexe

Conseil

Voulez-vous en savoir plus ? Collaborez avec la communauté Sécurité Microsoft dans notre communauté technique : Communauté technique Microsoft Defender XDR.

  • Last updated on