Comment créer une chronologie d’incident de cybersécurité avec Defender et les journaux d’audit

Dans ce guide, nous détaillons les différentes méthodes permettant de reconstituer une chronologie d’incident de cybersécurité à partir des données de Microsoft Defender for Endpoint, des journaux d’audit Microsoft 365 et de la télémétrie système. Nous y incluons des requêtes PowerShell, des techniques d’audit du registre et des GPO, ainsi que des vérifications via CMD (invite de commande) pour faciliter l’analyse et le reporting des incidents.

Vous vous demandez peut-être pourquoi c’est important. Pour faire simple : lorsqu’un incident de sécurité survient, votre priorité n’est pas seulement le nettoyage (même si c’est essentiel), c’est aussi de comprendre ce qui s’est réellement passé afin d’éviter que cela ne se reproduise. Une chronologie claire met en évidence :

• La cause racine et la fenêtre d’exposition : où l’incident de sécurité a commencé et pendant combien de temps les acteurs malveillants y ont eu accès
• Les preuves de conformité : de nombreuses réglementations (comme le RGPD (règlement général sur la protection des données) et l’HIPAA) exigent de prouver quand et comment une violation s’est produite.
• Le soutien en matière d’assurance ou de procédure juridique : une documentation rigoureuse renforce les déclarations de sinistre ou les enquêtes.
• La validation opérationnelle : elle vous aide à voir ce qui a fonctionné (ou non) dans vos défenses

💡 Remarque : voyez cela comme l’investigation d’une scène de crime, mais avec Defender for Endpoint, les journaux d’audit Microsoft 365 et la télémétrie système comme éléments de preuve.

📌 Stratégies de déploiement recommandées :

Cliquez pour choisir une méthode	💻 Idéal pour les utilisateurs individuels	💻💻💻 Idéal pour les grandes entreprises
Méthode 1 : examen des incidents dans le Defender Security Center	✓
Méthode 2 : journaux d’audit Microsoft 365 (Compliance Center/PowerShell)		✓
Méthode 3 : requêtes PowerShell (API Defender + journaux locaux)	✓	✓
Méthode 4 : journaux d’événements des appareils via CMD/observateur d’événements	✓
Méthode 5 : vérifications du registre pour détecter les tentatives de persistance	✓
Méthode 6 : stratégie de groupe pour l’audit avancé		✓

💡Remarque : ces méthodes ne sont pas des façons différentes de faire la même chose. Chacune met en avant une source de données ou une technique distincte, mais elles ne constituent pas non plus une procédure pas à pas. Certains MSP n’utilisent que certaines sources selon leur environnement. Nous vous recommandons de mettre en place uniquement les méthodes adaptées au vôtre.

Créer une chronologie détaillée des incidents de sécurité

Méthode 1 : examen des incidents dans le Defender Security Center

Le Defender Security Center est votre point de départ pour toute investigation. Il regroupe les alertes en incidents qui montrent comment les menaces se sont déroulées.

📌 Cas d’usage : il s’agit de votre point de détection initial, qui vous aide à identifier rapidement un incident.

📌 Prérequis :

• L’appareil doit être intégré (onboarding) à Microsoft Defender for Endpoint.
• Disposer des autorisations de sécurité nécessaires pour consulter les incidents dans le portail.

Étapes :

1. Rendez-vous dans le Microsoft 365 Security Center. Si vous utilisez un logiciel de gestion des terminaux, vous pouvez y accéder directement depuis la plateforme.
2. Sélectionnez l’incident concerné.
3. Examinez les éléments suivants :
   • Horodatage de la détection
   • Nom de l’appareil et contexte utilisateur
   • Classification et origine de la menace
   • Déplacement latéral ou systèmes affectés
4. Ouvrez l’onglet Advanced Hunting pour explorer les activités corrélées.
5. Exportez vos conclusions au format CSV ou PDF pour votre rapport chronologique.

Méthode 2 : journaux d’audit Microsoft 365 (Compliance Center/PowerShell)

Les journaux d’audit vous donnent une visibilité sur ce que les utilisateurs (ou les attaquants) ont fait sur l’ensemble des ressources Microsoft 365.

📌 Cas d’usage : cette méthode vous permet de suivre les connexions suspectes, les accès aux fichiers ou l’activité des boîtes aux lettres. Vous pouvez également l’utiliser pour retracer les élévations de privilèges (changements de rôle, activité d’administrateur, etc.).

📌 Prérequis :

• La journalisation d’audit unifiée est activée dans Microsoft 365
• Disposer des autorisations de rôle pour accéder à Microsoft Purview Audit.

Étapes :

1. Rendez-vous sur le portail de recherche dans le journal d’audit. Vous pouvez généralement y accéder via votre solution de gestion des terminaux, si vous en utilisez une.
2. Effectuez une recherche par :
   • E-mail de l’utilisateur ou ID d’objet
   • Période de l’incident
   • Activités : FileAccessed, MailboxLogin, RoleAssignmentChange, etc.
3. Équivalent PowerShell :

Connect-IPPSSession

Search-UnifiedAuditLog -StartDate "2025-07-01T00:00" -
EndDate "2025-07-01T23:59" -UserIds "[email protected]"

4. Exportez les résultats et triez-les par ordre chronologique.

Méthode 3 : requêtes PowerShell (API Defender + journaux locaux)

PowerShell vous permet de combiner la télémétrie cloud de Defender avec les journaux locaux des terminaux pour une corrélation plus poussée.

📌 Cas d’usage : cette méthode facilite l’extraction des événements de sécurité depuis l’API Defender à des fins d’automatisation.

📌 Prérequis :

• PowerShell 5.1+ et le module Graph installés
• Autorisations d’interrogation de l’API Defender (SecurityEvents.Real.All)
• Droits d’administrateur local sur le terminal
• Besoin d’une remise à niveau ? Inscrivez-vous à cette formation accélérée gratuite : PowerShell pour les ninjas de l’informatique.

Étapes :

1. Ouvrez PowerShell.
2. Exécutez les commandes suivantes, selon vos besoins :

• Recherche de menaces Defender via l’API Graph :

Connect-MgGraph -Scopes "SecurityEvents.Read.All"

Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/v1.0/security/alerts" |

ConvertFrom-Json | Select-Object id, createdDateTime, title, severity, status

• Journaux Defender locaux :

Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" |

Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-24) } |

Select TimeCreated, Message

💡 Astuce : utilisez cette approche pour corréler la télémétrie des terminaux avec les menaces détectées dans le cloud.

Méthode 4 : journaux d’événements des appareils via CMD/observateur d’événements

Les journaux d’événements locaux vous aident à approfondir l’analyse des connexions, de l’activité système et de l’exécution de scripts qui n’apparaissent pas forcément dans Defender ou M365.

📌 Cas d’usage : cette méthode vous permet de repérer les plantages, redémarrages ou arrêts du système pendant la fenêtre d’attaque. Vous pouvez également l’utiliser pour examiner l’exécution de scripts PowerShell comme vecteur d’attaque possible.

📌 Prérequis :

• Droits d’administrateur local sur les machines concernées
• Journalisation de la sécurité et de PowerShell activée

Étapes :

1. Ouvrez une invite de commande en mode administrateur.
2. Exécutez ces commandes dans l’ordre.

• Événements de connexion des comptes (ID d’événement 4624 (ouverture de session réussie), 4625 (échec d’ouverture de session), 4648 (tentative d’ouverture de session avec des identifiants explicites)) :

wevtutil qe Security "/q:*[System[(EventID=4624 or EventID=4625 or EventID=4648)]]" /c:10 /f:text

• Événements système (démarrage/arrêt/erreurs) :

wevtutil qe System /c:10 /f :text

• Activité PowerShell :

wevtutil qe "Microsoft-Windows-PowerShell/Operational" /c:20 /f:text

Méthode 5 : vérifications du registre pour détecter les tentatives de persistance

Les attaquants modifient souvent des clés de registre pour que leurs outils s’exécutent automatiquement après un redémarrage.

📌 Cas d’usage : cette méthode détecte les programmes de démarrage non autorisés et repère toute altération du registre.

📌 Prérequis :

• Audit du registre activé (via GPO ou politique de sécurité)
• La journalisation des événements est configurée pour les modifications du registre.

Étapes :

1. Appuyez sur Win + R, saisissez regedit, puis appuyez sur Entrée.
2. Vérifiez les chemins de persistance courants :

1. 1. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Cette clé concerne tous les utilisateurs du système. Un malware présent ici se lancera pour chaque compte qui ouvre une session.

1. 2. HKCU\Software\Microsoft\Windows\CurrentVersion\Run

Cette clé ne concerne que l’utilisateur actuel. La persistance est liée à un seul profil utilisateur compromis.

💡 Les acteurs malveillants privilégient parfois HKCU, car c’est plus discret et cela ne nécessite pas de droits d’administrateur. C’est donc une bonne pratique d’examiner les deux chemins.

3. Recherchez l’ID d’événement 4657 dans les journaux de sécurité (modification d’une valeur de registre).
4. Recoupez les entrées suspectes avec l’activité relevée dans Defender ou dans les journaux d’audit M365.

Méthode 6 : stratégie de groupe pour l’audit avancé

📌 Cas d’usage : cette méthode garantit l’existence de journaux critiques pour les incidents futurs. Vous pouvez également l’utiliser pour renforcer la couverture des serveurs et postes de travail stratégiques (parfait pour le reporting de conformité !).

📌 Prérequis :

• Droits de gestion des GPO
• Environnement de domaine (recommandé, même si la politique locale fonctionne aussi)

Étapes :

1. Appuyez sur Win + R, saisissez gpedit.msc, puis appuyez sur Entrée.
2. Accédez à : Configuration ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d’audit → Stratégies d’audit
3. Activez :
   • Auditer les événements de connexion
   • Auditer l’accès aux objets
   • Auditer le suivi des processus
   • Auditer les modifications de stratégie
4. Appliquez ces politiques aux serveurs et postes de travail clés.

⚠️ Points de vigilance

Risques	Conséquences possibles	Solutions
Lacunes dans la conservation des journaux (Defender, M365 ou journaux locaux)	Activité manquante sur la fenêtre d’attaque ; chronologie incomplète	Prolongez les politiques de conservation (ex. : journal d’audit Purview E5 = 1 an) ; centralisez les journaux dans un SIEM.
Rotation des journaux d’événements (journaux Sécurité/Système)	Preuves anciennes écrasées par de nouveaux événements	Augmentez la taille des journaux via GPO ; déportez les journaux vers un collecteur.
Audit désactivé ou mal configuré	Aucun événement de registre, de fichier ou de privilège capturé	Vérifiez les paramètres d’audit dans les GPO ; activez la Configuration avancée de la stratégie d’audit.
Faux positifs (applications légitimes dans les clés Run, connexions inhabituelles)	Temps d’investigation perdu ou interruption accidentelle	Recoupez les entrées avec l’inventaire logiciel et les comportements utilisateurs connus.
Collecte excessive de données	Difficulté à repérer l’activité réellement malveillante	Utilisez le filtrage dans PowerShell/Advanced Hunting pour affiner les requêtes.

Autres points à considérer lors de la création d’un journal d’audit Office 365

• Conservation des journaux : assurez-vous que les journaux sont conservés au moins 90 à 180 jours (selon vos exigences de conformité).
• Intégration SIEM : envisagez de centraliser tous les journaux dans un SIEM à des fins de corrélation.
• Synchronisation horaire : vérifiez que tous les systèmes sont synchronisés via NTP (w32tm /query /status) pour éviter les incohérences dans la chronologie.
• Documentation : conservez un modèle de chronologie standard pour les incidents.

Résolution des problèmes courants

1. Journaux manquants : la journalisation n’était pas activée ou les journaux ont été écrasés par rotation.
   • Pour y remédier : vérifiez l’audit dans les GPO, augmentez la taille des journaux ou centralisez-les dans un SIEM.
2. Aucune donnée Defender : l’appareil n’est pas intégré ou est exclu de la protection
   • Pour y remédier : vérifiez l’onboarding dans le Security Center et passez en revue les politiques d’exclusion.
3. Erreurs de journal d’audit (M365) : le journal d’audit unifié n’est pas activé ou la licence limite la durée de conservation
   • Pour y remédier : activez la journalisation d’audit dans Purview et vérifiez votre licence (E5 = conservation 1 an, hors E5 = 180 jours).
4. Écarts horaires : systèmes non synchronisés, d’où des trous dans la chronologie
   • Pour y remédier : exécutez w32tm /query /status et configurez la synchronisation NTP sur tous les systèmes.
5. Problèmes d’export/import : les exports CSV ne se trient pas correctement.
   • Pour y remédier : réexportez via PowerShell et triez par TimeCreated ou CreationDate.
6. Trop de bruit : le volume d’événements masque les véritables indicateurs.
   • Pour y remédier : utilisez le filtrage (ID d’événement, filtres utilisateur, requêtes KQL) pour affiner les résultats.

Les services NinjaOne

NinjaOne, la plateforme automatisée de gestion des terminaux, peut vous aider à construire une chronologie d’incident de cybersécurité plus détaillée. Voici comment :

• Collecte centralisée des journaux : NinjaOne vous permet de collecter à grande échelle et selon une planification les journaux d’événements Windows, Defender Operational et PowerShell, pour que les preuves ne disparaissent pas.
• Orchestration PowerShell one-to-many : vous pouvez exécuter des scripts paramétrés sur les appareils/clients de votre choix et récupérer les résultats en JSON/CSV/texte. Les sorties peuvent être jointes à des tickets, archivées ou transmises via des webhooks pour une analyse immédiate.
• Dossiers de preuves automatisés : lancez des playbooks qui récupèrent en une seule passe les ID d’événements clés, les détections Defender, les entrées d’exécution automatique du registre et l’état de la synchronisation horaire.
• Détection et alertes à fort signal : recevez des alertes en cas d’événements 4625 répétés, de détections Defender, d’occurrences ScriptBlock ou de modifications du registre relevées par les scripts.
• Réponse automatisée et sécurisée : des actions scriptées peuvent supprimer les exécutions automatiques malveillantes, arrêter des processus, isoler un hôte ou renouveler les identifiants locaux avec des contrôles préalables.
• Meilleure journalisation par politique : déployez par script des tailles de journaux accrues, la journalisation ScriptBlock/Transcription et les catégories d’audit avancées.
• Passage à l’échelle multi-clients pour les MSP : réutilisez les mêmes collectes, alertes et playbooks chez tous vos clients grâce aux étiquettes et aux groupes d’appareils ciblés.
• Contexte sur les actifs et l’exposition : passez d’une alerte aux détails d’inventaire, comme la version du système d’exploitation, l’ancienneté des correctifs et les logiciels présents.
• Étiquetage des incidents, reporting et exports : étiquetez appareils, tickets et artefacts avec un identifiant d’incident, et exportez les dossiers de preuves (CSV/JSON/ZIP).
• Intégrations et gouvernance : utilisez les webhooks/API pour échanger des données avec les SIEM, l’ITSM et les outils de discussion ; enrichissez vos chronologies avec des requêtes Graph/Defender exécutées par script.

Protégez votre environnement grâce à un journal d’audit Microsoft 365 détaillé

Reconstituer une chronologie d’incident de cybersécurité ne se résume pas à une seule action. Cela suppose de croiser les preuves issues des incidents Defender, de l’activité d’audit Microsoft 365 et de la télémétrie des terminaux.

Nous vous avons présenté six méthodes à tester, mais nous tenons à le rappeler : ces stratégies ne sont pas totalement indépendantes les unes des autres. Choisissez la méthode adaptée à vos besoins et consultez notre tableau des stratégies de déploiement recommandées pour en savoir plus.

Sujets connexes :

• Qu’est-ce que la réponse aux incidents ?
• Qu’est-ce que la cybersécurité ?
• Comprendre Windows Defender Application Control (WDAC)
• Les 12 types de cyberattaques les plus courants : comment les repérer et les éviter