Protection contre les menaces

Définition

La protection contre les menaces constitue un pilier fondamental de la sécurité des environnements Microsoft 365. Face à l’évolution constante des cyberattaques, les organisations doivent disposer de mécanismes capables de prévenir, détecter et neutraliser les menaces visant les identités, les messageries, les données et les applications collaboratives.

Microsoft intègre un ensemble de solutions de protection reposant sur l’intelligence artificielle, l’analyse comportementale et les renseignements sur les menaces (threat intelligence). Ces services analysent quotidiennement un volume considérable de signaux de sécurité afin d’identifier les activités suspectes, de bloquer les logiciels malveillants et de protéger les utilisateurs contre les attaques ciblées.

Ce chapitre présente les principales solutions de protection des menaces de Microsoft 365 ainsi que leur mise en œuvre au travers d’exemples pratiques, de commandes PowerShell et de scénarios d’administration.

Sécuriser les pièces jointes

Safe attachments analyse les pièces jointes dans un environnement virtualisé (sandbox) avant leur remise aux utilisateurs. Si un comportement malveillant est détecté, la pièce jointe est bloquée, mise en quarantaine ou redirigée selon la stratégie configurée.

La protection couvre la messagerie Exchange Online ainsi que les fichiers stockés dans SharePoint Online, OneDrive et Microsoft Teams.

Exemple 1 : créer une stratégie Safe Attachments

  PS C:\ > New-SafeAttachmentPolicy -Name "StrictAttachments" `  
          -Enable $true `  
          -Action Block `  
          -Redirect $true `  
          -RedirectAddress "admin@monentreprise.com"  

Exemple 2 : étendre la protection aux services collaboratifs

  PS C:\ > Set-AtpPolicyForO365 ` 
          -EnableSafeAttachmentsForSharePoint $true ` 
          -EnableSafeAttachmentsForOneDrive $true ` 
          -EnableSafeAttachmentsForTeams $true  

  PS C:\ > New-SafeLinksPolicy ` 
           -Name "StrictLinks" `  
           -EnableSafeLinksForEmail $true ` 
           -EnableForInternalSenders $true `  
           -ScanUrls $true  

Microsoft Defender for Endpoint

Microsoft Defender for Endpoint est une plateforme de protection des postes de travail qui offre des capacités de détection et de réponse pour les points de terminaison (Endpoint Detection and Response - EDR), de protection antivirus nouvelle génération (Next Generation Protection) et de réduction de la surface d’attaque (Attack Surface Reduction - ASR).

La solution assure également la gestion des vulnérabilités (Threat and Vulnerability Management - TVM) et l’investigation automatisée des incidents.

Exemple 1 : activer les règles ASR

  PS C:\ > Set-MpPreference `  
           -AttackSurfaceReductionRules_Enabled $true  

Exemple 2 : consulter les menaces détectées

  PS C:\ > Get-MpThreat |  
           Select ThreatID, ThreatName, Severity  

Tableau de bord de sécurité

Le portail Microsoft Defender centralise l’ensemble des alertes, incidents, recommandations et indicateurs de sécurité relatifs aux produits Microsoft Defender.

Il fournit notamment :

Le portail est accessible à l’adresse : https://security.microsoft.com

Exemple 1 : vérifier l’état de Microsoft Defender Antivirus

  PS C:\ > Get-MpComputerStatus |  
           Select AMServiceEnabled, AntispywareEnabled  

Exemple 2 : lancer une investigation

  PS C:\ > Start-MdiInvestigation `  
           -DeviceId "device123"  

Exemple 3 : consulter les incidents

Cette commande permet d’obtenir rapidement la liste des incidents ainsi que leur état (Nouveau, Actif ou Résolu).

PS C:\ > Get-MdiIncident |  
           Select Id, Title, Status  

Microsoft Sentinel

Microsoft Sentinel est la plateforme SIEM (Security Information and Event Management) et SOAR (Security Orchestration, Automation and Response) de Microsoft. 

Elle collecte les journaux provenant des environnements Microsoft, Azure, des infrastructures locales et des solutions tierces afin de détecter les menaces, de corréler les événements et d’automatiser la réponse aux incidents.

Les mécanismes d’automatisation reposent principalement sur Azure Logic Apps, utilisées sous forme de Playbooks SOAR.

Exemple 1 : identifier les alertes critiques

La requête suivante comptabilise les alertes de sévérité élevée par source de données. Cette vue permet d’identifier les produits générant le plus grand nombre d’alertes critiques.

#KUSTO 
SecurityAlert 
| where AlertSeverity == "High" 
| summarize count() by ProviderName  

Exemple 2 : créer un Playbook

Ce Playbook pourra ensuite être associé à une règle d’analyse afin d’automatiser les actions de remédiation.

# Connexion à Sentinel 
Connect-AzAccount 
 
# Créer un playbook 
New-AzLogicApp ` 
-ResourceGroupName "RG-Sentinel" ` 
-Name "AlertPlaybook"