Organiser le tri des alertes et incidents dans Defender XDR
Defender XDR rassemble les signaux des postes, de la messagerie, des identités et des applications cloud. Encore faut-il que quelqu'un les regarde. Dans nos audits, nous trouvons régulièrement des files d'incidents jamais ouvertes, des alertes de gravité élevée restées actives depuis des mois et personne de clairement désigné pour les traiter.
Alertes et incidents : travailler au bon niveau
Chaque produit de la famille Defender génère des alertes. Defender XDR les regroupe en incidents lorsqu'elles concernent les mêmes entités (utilisateur, appareil, boîte aux lettres, adresse IP) ou relèvent d'une même attaque. Un hameçonnage réussi peut ainsi produire, dans un seul incident, une alerte de messagerie, une connexion suspecte et une activité anormale sur un poste.
La première règle d'organisation en découle : on trie les incidents, pas les alertes une par une. Travailler alerte par alerte multiplie le travail et fait perdre la vision d'ensemble. L'incident porte le statut, l'attribution, la classification et les commentaires de l'analyste ; c'est lui qui constitue la trace du traitement.
Prioriser : gravité, actifs et contexte
La gravité proposée par Microsoft (informative, faible, moyenne, élevée) est un point de départ, pas une décision. Une alerte moyenne sur le compte d'un administrateur général mérite plus d'attention qu'une alerte élevée sur un poste de test isolé. Pour prioriser correctement :
- identifiez vos actifs critiques : comptes privilégiés, comptes de direction, serveurs sensibles ; les balises et la gestion des actifs critiques aident à les faire ressortir dans la file ;
- regardez l'étendue de l'incident : nombre d'utilisateurs, d'appareils et de boîtes concernés ;
- tenez compte des actions déjà menées automatiquement, par exemple une perturbation d'attaque qui a déjà désactivé un compte.
L'investigation et la réponse automatisées
Defender XDR peut lancer des investigations automatisées qui examinent les entités, déterminent des verdicts et proposent ou exécutent des actions de correction : isoler un appareil, mettre un fichier en quarantaine, supprimer un message des boîtes qui l'ont reçu. Le niveau d'automatisation se règle par groupe d'appareils pour les postes, et selon les fonctionnalités de Defender pour Office 365 disponibles pour la messagerie.
Deux écueils sont fréquents. Le premier est un niveau d'automatisation laissé au minimum par crainte des faux positifs, ce qui transforme chaque action en demande d'approbation. Le second est un centre d'actions où les actions en attente s'accumulent sans que personne ne les valide. Une action en attente pendant trois semaines n'apporte aucune protection.
Attention aux droits. Les actions de réponse, comme isoler un poste ou supprimer des messages, ont un impact réel. Le contrôle d'accès de Defender XDR permet de distinguer ceux qui consultent, ceux qui trient et ceux qui agissent. Évitez de donner les droits de réponse à toute l'équipe informatique.
Réduire le bruit sans s'aveugler
Une file trop bruyante finit par être ignorée. Le réglage des alertes est donc indispensable, mais il doit rester maîtrisé :
- analysez d'abord les incidents clôturés comme faux positifs ou activité attendue pour repérer les sources récurrentes ;
- créez des règles de réglage des alertes aussi précises que possible : un processus donné, sur un groupe d'appareils donné, plutôt qu'un type d'alerte entier ;
- documentez chaque règle de suppression et revoyez-les périodiquement ;
- complétez par des détections personnalisées fondées sur la chasse avancée lorsque vous identifiez un besoin propre à votre environnement.
Classer correctement les incidents à la clôture (vrai positif, faux positif, activité informative attendue) n'est pas une formalité : c'est cette information qui permet d'améliorer le réglage et, côté Microsoft, la qualité des détections.
Qui fait quoi
La technique ne suffit pas sans organisation. Les points à formaliser :
- qui consulte la file, à quelle fréquence, et qui prend le relais en dehors des heures ouvrées ;
- les délais de prise en charge attendus selon la gravité ;
- les notifications par courriel sur les incidents, envoyées à une liste de diffusion surveillée plutôt qu'à une personne ;
- les procédures pour les cas fréquents : compte compromis, hameçonnage signalé, logiciel malveillant sur un poste ;
- le seuil à partir duquel on escalade vers un prestataire de réponse à incident.
Si un prestataire externe assure la surveillance, ces points doivent figurer dans le contrat, et les droits qui lui sont accordés dans le locataire doivent être revus comme ceux de tout administrateur.
Ce qu'un audit vérifie
- Le nombre d'incidents actifs, leur ancienneté et leur répartition par gravité.
- L'attribution et la classification des incidents clôturés.
- Le niveau d'automatisation configuré et les actions en attente dans le centre d'actions.
- Les règles de réglage et de suppression d'alertes, leur précision et leur justification.
- Les rôles attribués dans Defender XDR et la séparation entre consultation et réponse.
- Les notifications configurées et la procédure en dehors des heures ouvrées.