Microsoft Sentinel : SIEM cloud

Microsoft Sentinel est une plateforme cloud native de gestion des informations et des événements de sécurité (SIEM) et d’orchestration, d’automatisation et de réponse en matière de sécurité (SOAR). Elle collecte les journaux et les signaux provenant de l’ensemble de votre environnement numérique — Azure, les environnements locaux, les autres clouds et les applications SaaS —, applique l’IA et l’apprentissage automatique pour détecter les menaces, et aide les analystes de sécurité à enquêter sur les incidents et à y répondre à grande échelle.

Les outils traditionnels de gestion des journaux collectent et stockent les journaux à des fins de conformité et de recherche. Un SIEM va plus loin en corrélant les événements provenant de différentes sources de données, en appliquant des règles de détection pour identifier les schémas d’attaque et en classant les incidents par priorité pour leur analyse humaine. Sentinel ajoute la fonctionnalité SOAR, qui automatise les actions de réponse répétitives (comme le blocage d’une adresse IP ou la réinitialisation d’un mot de passe) au moyen de guides opérationnels, afin que les analystes puissent se concentrer sur les enquêtes complexes.

Sentinel repose sur un espace de travail Log Analytics. Toutes les données collectées y sont stockées sous forme de tables, interrogeables avec le langage de requête Kusto (KQL). Vous activez Sentinel sur un espace de travail Log Analytics, connectez les sources de données, puis les fonctionnalités d’analyse, de recherche proactive et d’automatisation de Sentinel deviennent disponibles sur les données qui y sont stockées. L’espace de travail sert de plan de données unique pour Sentinel et Azure Monitor.

Les connecteurs de données transmettent les journaux et les alertes des sources vers Sentinel. Les connecteurs natifs de Microsoft (sans code, à activer d'un seul clic) couvrent les journaux de connexion Entra ID, Azure Activity, les alertes Defender for Cloud, Microsoft 365 et Defender XDR. Les concentrateurs de connecteurs prennent en charge des sources tierces, notamment Cisco, Palo Alto, AWS CloudTrail, Okta, Salesforce et bien d'autres, via le Common Event Format (CEF) ou Syslog. Plus de 200 connecteurs sont disponibles depuis le Content Hub.

Les règles d'analyse constituent le moteur de détection de Sentinel. Chaque règle exécute une requête KQL selon une planification (toutes les 5 minutes à toutes les 24 heures) et crée une alerte lorsque la requête renvoie des résultats. Sentinel fournit des centaines de modèles intégrés couvrant les schémas d'attaque connus. Vous pouvez importer des modèles depuis le Content Hub et les personnaliser, ou écrire vos propres règles pour mettre en œuvre une logique de détection des menaces propre à votre organisation.

Lorsque les règles d'analyse se déclenchent, leurs alertes sont regroupées en incidents — un conteneur pour l'investigation d'une violation de sécurité potentielle. Le graphe d'investigation représente visuellement les relations entre les entités de l'incident : comptes, IP, hôtes, URL et fichiers. Les analystes parcourent le graphe pour comprendre l'étendue de l'attaque, accéder aux alertes associées et déterminer si l'incident est un vrai positif nécessitant une intervention ou un faux positif à clôturer.

La chasse aux menaces dans Sentinel consiste à rechercher de manière proactive les menaces qui n'ont pas encore déclenché d'alertes. Les analystes de sécurité écrivent ou utilisent des requêtes de chasse aux menaces prédéfinies (KQL) pour rechercher des indicateurs subtils de compromission — attaques lentes et discrètes, mouvements latéraux, préparation des données — qui échappent aux règles de détection automatisées. Les lignes intéressantes trouvées pendant la chasse peuvent être promues en signets et associées à un incident pour une investigation officielle.

Les runbooks de Sentinel sont des flux de travail Azure Logic Apps qui automatisent les actions de réponse aux incidents. Lorsqu'un incident est créé (ou qu'une alerte se déclenche), un runbook peut automatiquement : envoyer une notification Teams ou par e-mail à l'analyste d'astreinte, bloquer une IP malveillante dans Azure Firewall, révoquer les jetons d'actualisation d'un utilisateur compromis dans Entra ID, créer un ticket ServiceNow ou isoler une VM du réseau. Cette fonctionnalité SOAR réduit considérablement le temps moyen de réponse (MTTR).

Sentinel associe chaque règle d'analyse à l'infrastructure MITRE ATT&CK, une taxonomie mondialement reconnue des tactiques et techniques des attaquants. La vue de couverture MITRE ATT&CK affiche une carte thermique indiquant les tactiques et techniques couvertes par vos règles d'analyse, ainsi que les éventuelles lacunes. Cela aide les équipes de sécurité à déterminer les priorités pour écrire de nouvelles règles de détection et améliorer la couverture des techniques pertinentes pour leur paysage de menaces.

Sentinel inclut des dizaines de classeurs (tableaux de bord paramétrés reposant sur Log Analytics) permettant de visualiser les données de sécurité. Les modèles couvrent Azure Activity, les tendances de connexion Entra ID, les menaces liées aux e-mails Microsoft 365, le trafic du pare-feu et bien d'autres éléments. Les responsables des centres des opérations de sécurité (SOC) utilisent les classeurs pour les briefings de passation entre équipes et l'analyse des tendances, tandis que les analystes s'en servent pour repérer rapidement les anomalies sans écrire de requêtes KQL brutes.

Sentinel est facturé en fonction du volume de données ingérées dans l'espace de travail Log Analytics sous-jacent. Deux modèles tarifaires existent. La formule Pay-As-You-Go facture chaque GB ingéré et convient aux volumes réduits ou imprévisibles. Les réservations de capacité engagent un volume minimal quotidien d'ingestion (100 GB, 200 GB, etc.) avec une remise importante par GB. Les alertes de sécurité Microsoft Defender for Cloud sont ingérées gratuitement ; les 90 premiers jours sont gratuits dans les nouveaux espaces de travail compatibles avec Sentinel.

Testez votre compréhension des concepts Microsoft Azure Fundamentals (AZ-900) abordés dans cette leçon.

Dans cette leçon, vous avez appris que : Sentinel est un SIEM et un SOAR cloud natifs reposant sur des espaces de travail Log Analytics et utilisant KQL, que les règles d'analyse détectent les menaces en exécutant des requêtes KQL planifiées et en générant des incidents, et que les runbooks automatisent les actions de réponse à l'aide de Logic Apps afin de réduire le MTTR. Nous allons maintenant découvrir Azure DDoS Protection et Azure Firewall.