Comment créer un workflow de triage des incidents sur plusieurs tenants Microsoft 365

Mettre en place un workflow de triage des incidents complet et bien défini est indispensable pour les administrateurs informatiques, en particulier lorsqu’ils gèrent un parc d’appareils important. Les équipes IT détectent et contiennent alors beaucoup plus rapidement et efficacement les incidents, comme les violations de sécurité, tout en évitant la fatigue liée aux alertes.

Un workflow de triage des incidents soutient également le respect des SLA liés aux incidents et garantit la conformité de votre entreprise aux exigences réglementaires. Il améliore aussi la cohérence du reporting pour les revues d’activité trimestrielles et la conformité légale.

Pour une présentation visuelle du sujet : Comment créer un workflow de triage des incidents sur plusieurs tenants Microsoft 365.

Créer un cadre de triage des incidents, étape par étape

La première étape consiste à définir un cadre précis et à créer un fichier JSON ou CSV dans lequel consigner les incidents rencontrés. Vous devez ensuite récupérer les données de l’API Microsoft Graph et vérifier si des alertes nécessitent une intervention.

En cas d’incident, vous pouvez marquer des appareils ou des utilisateurs précis à l’aide du Registre Windows.

📌 Prérequis :

• Ce guide s’applique aux systèmes dotés de tenants Microsoft 365 avec Microsoft Defender pour Office 365 et/ou Microsoft 365 Defender.
• Windows PowerShell 7 ou une version supérieure doit être installé.
• Des enregistrements d’applications propres à chaque tenant sont nécessaires. Si possible, prévoyez également un compte de service centralisé pour gagner en efficacité.
• Vous aurez besoin d’une plateforme RMM pour gérer vos appareils.
• Facultatif : Logic Apps ou un SIEM peuvent être utiles pour automatiser l’escalade des incidents de gravité élevée.
• Recommandé : vous pouvez aussi utiliser Microsoft Lighthouse pour disposer gratuitement d’une vue unifiée des alertes de sécurité de tous les tenants délégués, ou Microsoft Sentinel pour des fonctionnalités avancées de SOAR (Security Orchestration, Automation, and Response) multi-tenants.

📌 Stratégies de déploiement recommandées :

Étape 1 : définir un cadre de triage inter-tenants

Commencez par standardiser les phases de triage principales pour l’ensemble de vos tenants en cas d’incident. Voici un exemple de guide de triage :

Créez un modèle JSON ou un schéma CSV pour consigner ces incidents. Le contenu exact du modèle dépendra des politiques et des attentes de votre entreprise.

Étape 2 : utiliser l’API Microsoft Graph pour récupérer les alertes de chaque tenant

📌 Prérequis : Microsoft Graph doit déjà être installé et configuré pour vos comptes Microsoft 365, avec des autorisations d’API déléguées ou au niveau de l’application.

1. Ouvrez le menu Démarrer et recherchez Windows PowerShell.
2. Faites un clic droit sur Windows PowerShell > Exécuter en tant qu’administrateur.
3. Saisissez ce script et appuyez sur Entrée :

Connect-MgGraph -Scopes "SecurityEvents.Read.All"

$alerts = Get-MgSecurityAlert -All | Where-Object { $_.Status -ne "resolved" }

Pour filtrer par gravité et par produit :

$highAADAlerts = $alerts | Where-Object {

$_.Severity -eq "high" -and $_.ProductName -eq "Azure Active Directory Identity Protection"

$highAADAlerts | Select-Object Id, Severity, Status, ProductName, Title, CreatedDateTime}

Cette commande remonte, le cas échéant, toutes les alertes Defender pertinentes de vos tenants.

4. Exécutez ces requêtes de façon planifiée et récurrente pour tous vos tenants, puis exportez les résultats dans un fichier .CSV ou .JSON afin de suivre facilement les données. Vous pouvez réaliser ces tâches avec votre outil de gestion des terminaux habituel.

Étape 3 : marquer les appareils ou les utilisateurs via le Registre ou PowerShell pour le triage local

Lorsqu’un incident se produit sur un terminal donné, les administrateurs peuvent créer des clés et des valeurs de Registre pour consigner les informations relatives aux incidents sur un appareil ou un profil utilisateur précis. Ces informations sont enregistrées en local. Pour cela, suivez ces étapes :

1. Ouvrez le menu Démarrer et recherchez Windows PowerShell.
2. Faites un clic droit sur Windows PowerShell > Exécuter en tant qu’administrateur.
3. Déployez un script qui créera les valeurs de Registre nécessaires au suivi des données d’incident sur un appareil.

Voici un exemple de script PowerShell que vous pouvez utiliser :

New-Item -Path "HKLM:\SOFTWARE\Org\IncidentTriage" -Force

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\IncidentTriage" -Name "LastAlert" -Value "PhishingAttempt"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\IncidentTriage" -Name "Tag" -Value "UnderInvestigation"

Le nom et la valeur des clés de Registre (« LastAlert », « PhishingAttempt », « Tag » et « UnderInvestigation ») dépendent de l’incident que vous souhaitez consigner. Adaptez-les à vos besoins.

4. Pour vérifier ces clés et valeurs de Registre, ouvrez l’invite de commandes en tant qu’administrateur.
5. Saisissez cette commande et appuyez sur Entrée :

reg query HKLM\SOFTWARE\Org\IncidentTriage

Remplacez le chemin par celui de la valeur que vous voulez vérifier.

💡 Remarque : vous pouvez utiliser un outil RMM pour analyser vos appareils gérés, obtenir un rapport sur les valeurs de marquage et suivre l’état de chaque terminal.

Les clés de Registre sont utiles pour le suivi RMM local, mais vous devriez également appliquer des tags Defender for Endpoint via l’API. Le statut « Under Investigation » devient ainsi visible pour toute personne consultant le Microsoft Defender Security Center.

# Exemple : marquage d’un appareil dans Defender for Endpoint via l’API

$DeviceID = "your-device-id"

$Tag = "UnderInvestigation"

Invoke-RestMethod -Uri "https://api.security.microsoft.com/api/machines/$DeviceID/tags" -Method Post -Body @{Value=$Tag;Action="Add"}

Étape 4 : automatiser la réponse avec PowerShell ou l’accès conditionnel

Si un incident implique un compte utilisateur compromis, vous pouvez désactiver ce compte et invalider toutes ses sessions. Windows PowerShell permet de déployer des réponses adaptées à l’incident. Voici quelques exemples d’actions possibles lorsqu’un incident survient :

📌 Prérequis : Microsoft Graph doit déjà être installé et configuré pour vos comptes Microsoft 365, avec des autorisations d’API déléguées ou au niveau de l’application.

1. Ouvrez le menu Démarrer et recherchez Windows PowerShell.
2. Faites un clic droit sur Windows PowerShell > Exécuter en tant qu’administrateur.
3. Pour désactiver les comptes compromis :

Update-MgUser -UserId $user.Id -AccountEnabled $false

Pour invalider les sessions du compte compromis :

Invoke-MgInvalidateUserRefreshToken -UserId $user.Id

Pour obliger un utilisateur à changer son mot de passe :

Update-MgUser -UserId $user.Id -ForceChangePasswordNextSignIn $true

Pour marquer un appareil comme mis en quarantaine à l’aide d’un tag de Registre :

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\IncidentTriage" -Name "IsolationState" -Value "Quarantined"

Notez que cette opération doit être effectuée manuellement sur le terminal compromis. Elle ne peut pas être réalisée à distance, car l’ordinateur doit être isolé du réseau de votre entreprise.

💡 Remarque : les administrateurs peuvent utiliser un outil de gestion des terminaux pour appliquer des règles de pare-feu ou désactiver les interfaces réseau.

Plutôt que de vous déplacer physiquement pour débrancher un ordinateur, utilisez l’API Defender pour isoler l’appareil. Toutes les connexions réseau sont alors coupées, à l’exception du lien vers Microsoft 365, ce qui empêche les déplacements latéraux.

# Isoler un appareil à distance

Invoke-MgIsolateSecurityMachine -MachineId $MachineId -Comment "Isolating due to high-severity alert."

⚠️ Dépannage et points de vigilance

Autres points à considérer lors de la création d’un cadre de réponse aux incidents sur plusieurs tenants Microsoft 365

• Utilisez des enregistrements d’applications basés sur des certificats à durée de validité courte pour prévenir les violations de sécurité.
• Archivez les journaux d’incidents et de triage par ID de tenant ou par nom d’affichage pour les audits rétrospectifs.
• Envisagez d’intégrer Logic Apps ou Power Automate pour faciliter l’escalade des incidents de gravité élevée.
• Envisagez, lorsque c’est possible, des outils de sécurité tiers connectés par API afin d’offrir à votre entreprise des couches de protection supplémentaires et de prévenir les violations de sécurité.

Comment NinjaOne peut vous aider dans votre workflow de triage des cyberincidents

NinjaOne facilite le triage des incidents entre tenants en vous permettant de :

• exécuter des scripts PowerShell sur des tags d’appareils ou des périmètres clients spécifiques pour traiter les incidents ;
• journaliser les incidents et générer des rapports à partir de leurs métadonnées ;
• disposer de tableaux de bord intuitifs et de journaux d’audit des scripts couvrant tous les tenants, pour créer plus facilement des synthèses et des revues d’activité.

Renforcez votre sécurité grâce à un processus complet de triage des incidents

Avec un workflow de triage automatisé et complet, les administrateurs informatiques contiennent beaucoup plus rapidement et efficacement les incidents comme les violations de sécurité. Cette approche standardise aussi la documentation et permet aux entreprises de respecter leurs obligations de conformité légale.

Sujets connexes :

• Qu’est-ce que la réponse aux incidents ?
• Qu’est-ce que la réponse aux incidents dans le cloud ?
• Gagner en efficacité grâce à l’automatisation des workflows informatiques
• Créer une check-list de réponse aux incidents pour les techniciens MSP
• MSP : 6 clés pour survivre à une attaque de ransomware chez vos clients