{"id":886404,"date":"2026-09-29T16:45:23","date_gmt":"2026-09-29T16:45:23","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/comment-creer-un-workflow-de-triage-des-incidents-sur-plusieurs-tenants-microsoft-365\/"},"modified":"2026-09-29T16:45:23","modified_gmt":"2026-09-29T16:45:23","slug":"comment-creer-un-workflow-de-triage-des-incidents-sur-plusieurs-tenants-microsoft-365","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/fr\/blog\/comment-creer-un-workflow-de-triage-des-incidents-sur-plusieurs-tenants-microsoft-365\/","title":{"rendered":"Comment cr\u00e9er un workflow de triage des incidents sur plusieurs tenants Microsoft 365"},"content":{"rendered":"<div class=\"in-context-cta\"><h2 style=\"margin-top: 0px;\">Points cl\u00e9s<\/h2>\n<ul>\n<li>Mettez en place un cadre de triage standardis\u00e9 entre les tenants\u00a0: d\u00e9finissez une structure de journalisation homog\u00e8ne \u00e0 l&rsquo;aide de mod\u00e8les JSON ou CSV, afin de recueillir les donn\u00e9es essentielles comme les ID de tenant, les horodatages et les cat\u00e9gories d&rsquo;alertes dans tous les environnements g\u00e9r\u00e9s.<\/li>\n<li>Centralisez les alertes de s\u00e9curit\u00e9 gr\u00e2ce \u00e0 une int\u00e9gration par API\u00a0: utilisez l&rsquo;API Microsoft Graph pour regrouper les donn\u00e9es de s\u00e9curit\u00e9 de plusieurs tenants dans un tableau de bord unique. Vous supprimez ainsi les v\u00e9rifications manuelles tenant par tenant et gagnez en visibilit\u00e9.<\/li>\n<li>Marquez les terminaux en local pour assurer le suivi\u00a0: d\u00e9ployez des scripts PowerShell qui \u00e9crivent directement les mises \u00e0 jour de statut dans le Registre Windows. Les techniciens peuvent ainsi conna\u00eetre l&rsquo;\u00e9tat de triage d&rsquo;un appareil et son historique d&rsquo;incidents sans quitter leur console de gestion.<\/li>\n<li>Classez les incidents par gravit\u00e9 et par impact\u00a0: associez chaque alerte \u00e0 un niveau de gravit\u00e9 faible, moyen ou \u00e9lev\u00e9 selon l&rsquo;urgence m\u00e9tier et la sensibilit\u00e9 des donn\u00e9es concern\u00e9es, afin de hi\u00e9rarchiser efficacement les efforts de r\u00e9ponse.<\/li>\n<li>Ex\u00e9cutez des workflows de rem\u00e9diation automatis\u00e9s\u00a0: appuyez-vous sur des r\u00e9ponses script\u00e9es ou sur des politiques d&rsquo;acc\u00e8s conditionnel pour isoler imm\u00e9diatement les appareils compromis, r\u00e9initialiser les identifiants des utilisateurs et r\u00e9soudre les incidents de s\u00e9curit\u00e9 fr\u00e9quents avec un minimum d&rsquo;intervention manuelle.<\/li>\n<\/ul>\n<\/div>\n<p>Mettre en place un workflow de <strong>triage des incidents<\/strong> complet et bien d\u00e9fini est indispensable pour les administrateurs informatiques, en particulier lorsqu&rsquo;ils g\u00e8rent un parc d&rsquo;appareils important. Les \u00e9quipes IT d\u00e9tectent et contiennent alors beaucoup plus rapidement et efficacement les incidents, comme les violations de s\u00e9curit\u00e9, tout en \u00e9vitant la fatigue li\u00e9e aux alertes.<\/p>\n<p>Un workflow de triage des incidents soutient \u00e9galement le respect des SLA li\u00e9s aux incidents et garantit la conformit\u00e9 de votre entreprise aux exigences r\u00e9glementaires. Il am\u00e9liore aussi la coh\u00e9rence du reporting pour les revues d&rsquo;activit\u00e9 trimestrielles et la conformit\u00e9 l\u00e9gale.<\/p>\n<p>Pour une pr\u00e9sentation visuelle du sujet\u00a0: <a href=\"https:\/\/www.ninjaone.com\/videos\/it-ops\/build-an-incident-triage-workflow-in-microsoft-365\/\">Comment cr\u00e9er un workflow de triage des incidents sur plusieurs tenants Microsoft 365<\/a>.<\/p>\n<h2>Cr\u00e9er un cadre de triage des incidents, \u00e9tape par \u00e9tape<\/h2>\n<p>La premi\u00e8re \u00e9tape consiste \u00e0 d\u00e9finir un cadre pr\u00e9cis et \u00e0 cr\u00e9er un fichier JSON ou CSV dans lequel consigner les incidents rencontr\u00e9s. Vous devez ensuite r\u00e9cup\u00e9rer les donn\u00e9es de l&rsquo;API Microsoft Graph et v\u00e9rifier si des alertes n\u00e9cessitent une intervention.<\/p>\n<p>En cas d&rsquo;incident, vous pouvez marquer des appareils ou des utilisateurs pr\u00e9cis \u00e0 l&rsquo;aide du <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/quest-ce-que-le-registre-windows-votre-guide-complet\/\">Registre Windows<\/a>.<\/p>\n<p>\ud83d\udccc <strong>Pr\u00e9requis<\/strong>\u00a0:<\/p>\n<ul>\n<li>Ce guide s&rsquo;applique aux syst\u00e8mes dot\u00e9s de tenants Microsoft 365 avec Microsoft Defender pour Office 365 et\/ou Microsoft 365 Defender.<\/li>\n<li>Windows PowerShell 7 ou une version sup\u00e9rieure doit \u00eatre install\u00e9.<\/li>\n<li>Des enregistrements d&rsquo;applications propres \u00e0 chaque tenant sont n\u00e9cessaires. Si possible, pr\u00e9voyez \u00e9galement un compte de service centralis\u00e9 pour gagner en efficacit\u00e9.<\/li>\n<li>Vous aurez besoin d&rsquo;une <a href=\"https:\/\/www.ninjaone.com\/fr\/rmm\/\">plateforme RMM<\/a> pour g\u00e9rer vos appareils.<\/li>\n<li><strong>Facultatif\u00a0:<\/strong> Logic Apps ou un <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-security-information-and-event-management-siem\/\">SIEM<\/a> peuvent \u00eatre utiles pour automatiser l&rsquo;escalade des incidents de gravit\u00e9 \u00e9lev\u00e9e.<\/li>\n<li><strong>Recommand\u00e9\u00a0: <\/strong>vous pouvez aussi utiliser Microsoft Lighthouse pour disposer gratuitement d&rsquo;une vue unifi\u00e9e des alertes de s\u00e9curit\u00e9 de tous les tenants d\u00e9l\u00e9gu\u00e9s, ou Microsoft Sentinel pour des fonctionnalit\u00e9s avanc\u00e9es de <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/quest-ce-que-le-soar-security-orchestration-automation-and-response\/\">SOAR (Security Orchestration, Automation, and Response)<\/a> multi-tenants.<\/li>\n<\/ul>\n<p>\ud83d\udccc<strong> Strat\u00e9gies de d\u00e9ploiement recommand\u00e9es\u00a0:<\/strong><\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;vertical-align: middle\">\n<p style=\"text-align: center\"><strong>Cliquez pour choisir une \u00e9tape<\/strong><\/p>\n<\/td>\n<td style=\"text-align: center\"><strong>\ud83d\udcbb<\/strong><br \/>\n<strong>Id\u00e9al pour les utilisateurs individuels<\/strong><\/td>\n<td style=\"text-align: center\"><strong>\ud83d\udcbb\ud83d\udcbb\ud83d\udcbb<\/strong><br \/>\n<strong>Id\u00e9al pour les grandes entreprises<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#step-1\"><strong>\u00c9tape 1\u00a0: d\u00e9finir un cadre de triage inter-tenants<\/strong><\/a><\/td>\n<td style=\"text-align: center\"><\/td>\n<td style=\"text-align: center\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#step-2\"><strong>\u00c9tape 2\u00a0: utiliser l&rsquo;API Microsoft Graph pour r\u00e9cup\u00e9rer les alertes de chaque tenant<\/strong><\/a><\/td>\n<td style=\"text-align: center\"><\/td>\n<td style=\"text-align: center\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#step-3\"><strong>\u00c9tape 3\u00a0: marquer les appareils ou les utilisateurs via le Registre ou PowerShell pour le triage local<\/strong><\/a><\/td>\n<td style=\"text-align: center\"><\/td>\n<td style=\"text-align: center\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#step-4\"><strong>\u00c9tape 4\u00a0: automatiser la r\u00e9ponse avec PowerShell ou l&rsquo;acc\u00e8s conditionnel<\/strong><\/a><\/td>\n<td style=\"text-align: center\"><\/td>\n<td style=\"text-align: center\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3 id=\"step-1\">\u00c9tape 1\u00a0: d\u00e9finir un cadre de triage inter-tenants<\/h3>\n<p>Commencez par standardiser les phases de triage principales pour l&rsquo;ensemble de vos tenants en cas d&rsquo;incident. Voici un exemple de guide de triage\u00a0:<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center\"><strong>Phase de triage<\/strong><\/td>\n<td style=\"text-align: center;vertical-align: middle\"><strong>Action<\/strong><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center\">Collecte<\/td>\n<td>R\u00e9cup\u00e9rez les rapports d&rsquo;incident via Microsoft Graph, l&rsquo;API Defender ou votre outil RMM.<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center\">Classification<\/td>\n<td>Attribuez un niveau de gravit\u00e9 (faible, moyen, \u00e9lev\u00e9) selon l&rsquo;origine de l&rsquo;alerte et ses cons\u00e9quences.<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center\">Corr\u00e9lation<\/td>\n<td>Identifiez et associez les utilisateurs, appareils ou comptes concern\u00e9s.<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center\">Marquage<\/td>\n<td>Indiquez l&rsquo;action recommand\u00e9e\u00a0: escalade, r\u00e9solution ou suppression.<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center\">R\u00e9ponse<\/td>\n<td>D\u00e9ployez le correctif ou la rem\u00e9diation via Microsoft Graph, Windows PowerShell ou votre outil RMM.<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center\">Rapport<\/td>\n<td>Consignez les d\u00e9tails de l&rsquo;incident et les m\u00e9tadonn\u00e9es de chaque tenant concern\u00e9.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Cr\u00e9ez un mod\u00e8le JSON ou un sch\u00e9ma CSV pour consigner ces incidents. Le contenu exact du mod\u00e8le d\u00e9pendra des politiques et des attentes de votre entreprise.<\/p>\n<h3 id=\"step-2\">\u00c9tape 2\u00a0: utiliser l&rsquo;API Microsoft Graph pour r\u00e9cup\u00e9rer les alertes de chaque tenant<\/h3>\n<p>\ud83d\udccc<strong> Pr\u00e9requis<\/strong>\u00a0: Microsoft Graph doit d\u00e9j\u00e0 \u00eatre install\u00e9 et configur\u00e9 pour vos comptes Microsoft 365, avec des autorisations d&rsquo;API d\u00e9l\u00e9gu\u00e9es ou au niveau de l&rsquo;application.<\/p>\n<ol>\n<li>Ouvrez le <strong>menu D\u00e9marrer <\/strong>et recherchez <strong>Windows PowerShell<\/strong>.<\/li>\n<li>Faites un clic droit sur <strong>Windows PowerShell <\/strong>&gt; <strong>Ex\u00e9cuter en tant qu&rsquo;administrateur<\/strong>.<\/li>\n<li>Saisissez ce script et appuyez sur <strong>Entr\u00e9e<\/strong>\u00a0:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\"><code><strong>Connect-MgGraph -Scopes \"SecurityEvents.Read.All\"<\/strong><\/code><\/p>\n<p style=\"padding-left: 40px\"><code><strong>$alerts = Get-MgSecurityAlert -All | Where-Object { $_.Status -ne \"resolved\" }<\/strong><\/code><\/p>\n<p>Pour filtrer par gravit\u00e9 et par produit<strong>\u00a0:<\/strong><\/p>\n<p style=\"padding-left: 40px\"><strong>$highAADAlerts = $alerts | Where-Object { <\/strong><\/p>\n<p style=\"padding-left: 40px\"><code><strong>$_.Severity -eq \"high\" -and $_.ProductName -eq \"Azure Active Directory Identity Protection\"<\/strong><\/code><\/p>\n<p style=\"padding-left: 40px\"><strong>$highAADAlerts | Select-Object Id, Severity, Status, ProductName, Title, CreatedDateTime}<\/strong><\/p>\n<p>Cette commande remonte, le cas \u00e9ch\u00e9ant, toutes les alertes Defender pertinentes de vos tenants.<\/p>\n<ol start=\"4\">\n<li>Ex\u00e9cutez ces requ\u00eates de fa\u00e7on planifi\u00e9e et r\u00e9currente pour tous vos tenants, puis exportez les r\u00e9sultats dans un fichier .CSV ou .JSON afin de suivre facilement les donn\u00e9es. Vous pouvez r\u00e9aliser ces t\u00e2ches avec votre outil de gestion des terminaux habituel.<\/li>\n<\/ol>\n<h3 id=\"step-3\">\u00c9tape 3\u00a0: marquer les appareils ou les utilisateurs via le Registre ou PowerShell pour le triage local<\/h3>\n<p>Lorsqu&rsquo;un incident se produit sur un terminal donn\u00e9, les administrateurs peuvent cr\u00e9er des cl\u00e9s et des valeurs de Registre pour consigner les informations relatives aux incidents sur un appareil ou un profil utilisateur pr\u00e9cis. Ces informations sont enregistr\u00e9es en local. Pour cela, suivez ces \u00e9tapes\u00a0:<\/p>\n<ol>\n<li>Ouvrez le <strong>menu D\u00e9marrer <\/strong>et recherchez <strong>Windows PowerShell<\/strong>.<\/li>\n<li>Faites un clic droit sur <strong>Windows PowerShell <\/strong>&gt; <strong>Ex\u00e9cuter en tant qu&rsquo;administrateur<\/strong>.<\/li>\n<li>D\u00e9ployez un script qui cr\u00e9era les valeurs de Registre n\u00e9cessaires au suivi des donn\u00e9es d&rsquo;incident sur un appareil.<\/li>\n<\/ol>\n<p>Voici un exemple de script PowerShell que vous pouvez utiliser\u00a0:<\/p>\n<p style=\"padding-left: 40px\"><code><strong>New-Item -Path \"HKLM:\\SOFTWARE\\Org\\IncidentTriage\" -Force<\/strong><\/code><\/p>\n<p style=\"padding-left: 40px\"><code><strong>Set-ItemProperty -Path \"HKLM:\\SOFTWARE\\Org\\IncidentTriage\" -Name \"LastAlert\" -Value \"PhishingAttempt\"<\/strong><\/code><\/p>\n<p style=\"padding-left: 40px\"><code><strong>Set-ItemProperty -Path \"HKLM:\\SOFTWARE\\Org\\IncidentTriage\" -Name \"Tag\" -Value \"UnderInvestigation\"<\/strong><\/code><\/p>\n<p>Le nom et la valeur des cl\u00e9s de Registre (\u00ab\u00a0LastAlert\u00a0\u00bb, \u00ab\u00a0PhishingAttempt\u00a0\u00bb, \u00ab\u00a0Tag\u00a0\u00bb et \u00ab\u00a0UnderInvestigation\u00a0\u00bb) d\u00e9pendent de l&rsquo;incident que vous souhaitez consigner. Adaptez-les \u00e0 vos besoins.<\/p>\n<ol start=\"4\">\n<li>Pour v\u00e9rifier ces cl\u00e9s et valeurs de Registre, ouvrez l&rsquo;<strong>invite de commandes en tant qu&rsquo;administrateur<\/strong>.<\/li>\n<li>Saisissez cette commande et appuyez sur <strong>Entr\u00e9e<\/strong>\u00a0:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\"><strong>reg query HKLM\\SOFTWARE\\Org\\IncidentTriage<\/strong><\/p>\n<p>Remplacez le chemin par celui de la valeur que vous voulez v\u00e9rifier.<\/p>\n<p>\ud83d\udca1<strong> Remarque<\/strong>\u00a0: vous pouvez utiliser un <a href=\"https:\/\/www.ninjaone.com\/fr\/rmm\/\">outil RMM<\/a> pour analyser vos appareils g\u00e9r\u00e9s, obtenir un rapport sur les valeurs de marquage et suivre l&rsquo;\u00e9tat de chaque terminal.<\/p>\n<p>Les cl\u00e9s de Registre sont utiles pour le suivi RMM local, mais vous devriez \u00e9galement appliquer des <strong>tags Defender for Endpoint<\/strong> via l&rsquo;API. Le statut \u00ab\u00a0Under Investigation\u00a0\u00bb devient ainsi visible pour toute personne consultant le Microsoft Defender Security Center.<\/p>\n<p># Exemple\u00a0: marquage d&rsquo;un appareil dans Defender for Endpoint via l&rsquo;API<\/p>\n<p style=\"padding-left: 40px\"><code><strong>$DeviceID = \"your-device-id\"<\/strong><\/code><\/p>\n<p style=\"padding-left: 40px\"><code><strong>$Tag = \"UnderInvestigation\"<\/strong><\/code><\/p>\n<p style=\"padding-left: 40px\"><code><strong>Invoke-RestMethod -Uri \"https:\/\/api.security.microsoft.com\/api\/machines\/$DeviceID\/tags\" -Method Post -Body @{Value=$Tag;Action=\"Add\"}<\/strong><\/code><\/p>\n<h3 id=\"step-4\">\u00c9tape 4\u00a0: automatiser la r\u00e9ponse avec PowerShell ou l&rsquo;acc\u00e8s conditionnel<\/h3>\n<p>Si un incident implique un compte utilisateur compromis, vous pouvez d\u00e9sactiver ce compte et invalider toutes ses sessions. Windows PowerShell permet de d\u00e9ployer des r\u00e9ponses adapt\u00e9es \u00e0 l&rsquo;incident. Voici quelques exemples d&rsquo;actions possibles lorsqu&rsquo;un incident survient\u00a0:<\/p>\n<p>\ud83d\udccc<strong> Pr\u00e9requis<\/strong>\u00a0: Microsoft Graph doit d\u00e9j\u00e0 \u00eatre install\u00e9 et configur\u00e9 pour vos comptes Microsoft 365, avec des autorisations d&rsquo;API d\u00e9l\u00e9gu\u00e9es ou au niveau de l&rsquo;application.<\/p>\n<ol>\n<li>Ouvrez le menu D\u00e9marrer et recherchez <strong>Windows PowerShell<\/strong>.<\/li>\n<li>Faites un clic droit sur <strong>Windows PowerShell<\/strong> &gt; <strong>Ex\u00e9cuter en tant qu&rsquo;administrateur<\/strong>.<\/li>\n<li>Pour d\u00e9sactiver les comptes compromis\u00a0:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\"><strong>Update-MgUser -UserId $user.Id -AccountEnabled $false<\/strong><\/p>\n<p>Pour invalider les sessions du compte compromis\u00a0:<\/p>\n<p style=\"padding-left: 40px\"><strong>Invoke-MgInvalidateUserRefreshToken -UserId $user.Id<\/strong><\/p>\n<p>Pour obliger un utilisateur \u00e0 changer son mot de passe\u00a0:<\/p>\n<p style=\"padding-left: 40px\"><strong>Update-MgUser -UserId $user.Id -ForceChangePasswordNextSignIn $true<\/strong><\/p>\n<p>Pour marquer un appareil comme mis en quarantaine \u00e0 l&rsquo;aide d&rsquo;un tag de Registre\u00a0:<\/p>\n<p style=\"padding-left: 40px\"><code><strong>Set-ItemProperty -Path \"HKLM:\\SOFTWARE\\Org\\IncidentTriage\" -Name \"IsolationState\" -Value \"Quarantined\"<\/strong><\/code><\/p>\n<p>Notez que cette op\u00e9ration doit \u00eatre effectu\u00e9e manuellement sur le terminal compromis. Elle ne peut pas \u00eatre r\u00e9alis\u00e9e \u00e0 distance, car l&rsquo;ordinateur doit \u00eatre isol\u00e9 du r\u00e9seau de votre entreprise.<\/p>\n<p>\ud83d\udca1 <strong>Remarque\u00a0:<\/strong> les administrateurs peuvent utiliser un <a href=\"https:\/\/www.ninjaone.com\/fr\/plateforme-de-gestion-de-terminaux\/\">outil de gestion des terminaux<\/a> pour appliquer des r\u00e8gles de pare-feu ou d\u00e9sactiver les interfaces r\u00e9seau.<\/p>\n<p>Plut\u00f4t que de vous d\u00e9placer physiquement pour d\u00e9brancher un ordinateur, utilisez l&rsquo;API Defender pour isoler l&rsquo;appareil. Toutes les connexions r\u00e9seau sont alors coup\u00e9es, \u00e0 l&rsquo;exception du lien vers Microsoft 365, ce qui emp\u00eache les d\u00e9placements lat\u00e9raux.<\/p>\n<p># Isoler un appareil \u00e0 distance<\/p>\n<p style=\"padding-left: 40px\"><code><strong>Invoke-MgIsolateSecurityMachine -MachineId $MachineId -Comment \"Isolating due to high-severity alert.\"<\/strong><\/code><\/p>\n<h2>\u26a0\ufe0f D\u00e9pannage et points de vigilance<\/h2>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center\"><strong>Risques<\/strong><\/td>\n<td style=\"text-align: center\"><strong>Cons\u00e9quences possibles<\/strong><\/td>\n<td style=\"text-align: center\"><strong>Solutions<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Certaines alertes sont manquantes.<\/td>\n<td>Des alertes concernant des violations de s\u00e9curit\u00e9 passeront entre les mailles du filet.<\/td>\n<td>V\u00e9rifiez que les seuils des politiques d&rsquo;alerte dans Microsoft Defender sont activ\u00e9s et correctement calibr\u00e9s.<\/td>\n<\/tr>\n<tr>\n<td>Vous subissez une limitation (<a href=\"https:\/\/learn.microsoft.com\/en-us\/graph\/throttling\" target=\"_blank\" rel=\"noopener\">throttling<\/a>) de l&rsquo;API Microsoft Graph.<\/td>\n<td>L&rsquo;API Microsoft Graph restreint vos requ\u00eates\u00a0: l&rsquo;ex\u00e9cution de toutes les t\u00e2ches n\u00e9cessaires au triage prendra donc plus de temps.<\/td>\n<td>Adaptez votre workflow pour respecter les limites d&rsquo;appels par tenant. Vous pouvez aussi mettre en place une logique de nouvelle tentative afin que toutes les actions requises aboutissent.<\/td>\n<\/tr>\n<tr>\n<td>La cl\u00e9 de Registre ne se met pas \u00e0 jour.<\/td>\n<td>Les informations relatives aux incidents risquent de ne pas \u00eatre enregistr\u00e9es.<\/td>\n<td>V\u00e9rifiez que vous disposez de toutes les autorisations n\u00e9cessaires. Validez \u00e9galement le contexte d&rsquo;ex\u00e9cution.<\/td>\n<\/tr>\n<tr>\n<td>L&rsquo;appareil ne r\u00e9pond pas \u00e0 la demande d&rsquo;isolement.<\/td>\n<td>Le probl\u00e8me ne sera pas r\u00e9solu et peut entra\u00eener d&rsquo;autres incidents.<\/td>\n<td>V\u00e9rifiez s&rsquo;il existe des strat\u00e9gies de groupe contradictoires ou si un script antivirus bloque l&rsquo;op\u00e9ration.<\/td>\n<\/tr>\n<tr>\n<td>D\u00e9tournement de session<\/td>\n<td>La d\u00e9sactivation du compte n&#8217;emp\u00eache pas un attaquant d&rsquo;utiliser un jeton vol\u00e9.<\/td>\n<td>Utilisez bien la commande Invoke-MgInvalidateUserRefreshToken et v\u00e9rifiez que l&rsquo;\u00e9valuation continue de l&rsquo;acc\u00e8s (CAE) est active.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Autres points \u00e0 consid\u00e9rer lors de la cr\u00e9ation d&rsquo;un cadre de r\u00e9ponse aux incidents sur plusieurs tenants Microsoft 365<\/h2>\n<ul>\n<li>Utilisez des enregistrements d&rsquo;applications bas\u00e9s sur des certificats \u00e0 dur\u00e9e de validit\u00e9 courte pour pr\u00e9venir les violations de s\u00e9curit\u00e9.<\/li>\n<li>Archivez les journaux d&rsquo;incidents et de triage par ID de tenant ou par nom d&rsquo;affichage pour les audits r\u00e9trospectifs.<\/li>\n<li>Envisagez d&rsquo;int\u00e9grer Logic Apps ou Power Automate pour faciliter l&rsquo;escalade des incidents de gravit\u00e9 \u00e9lev\u00e9e.<\/li>\n<li>Envisagez, lorsque c&rsquo;est possible, des outils de s\u00e9curit\u00e9 tiers connect\u00e9s par API afin d&rsquo;offrir \u00e0 votre entreprise des couches de protection suppl\u00e9mentaires et de pr\u00e9venir les violations de s\u00e9curit\u00e9.<\/li>\n<\/ul>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Guide de d\u00e9marrage rapide<\/h2><p>NinjaOne vous aide \u00e0 cr\u00e9er un workflow de triage des incidents sur plusieurs tenants Microsoft 365. Voici comment NinjaOne prend en charge cette fonctionnalit\u00e9\u00a0:<\/p>\n<p><strong>Supervision centralis\u00e9e<\/strong><\/p>\n<ul>\n<li><b>Vue unique dans un tableau de bord<\/b>\u00a0: NinjaOne propose un tableau de bord unifi\u00e9 qui regroupe les donn\u00e9es de tous les tenants Microsoft 365 connect\u00e9s<\/li>\n<li><b>Visibilit\u00e9 inter-tenants<\/b>\u00a0: suivez les incidents, les alertes et les \u00e9v\u00e9nements de s\u00e9curit\u00e9 de tous les tenants depuis une seule interface<\/li>\n<\/ul>\n<p><strong>Triage et r\u00e9ponse automatis\u00e9s<\/strong><\/p>\n<p>R\u00e8gles d&rsquo;alerte personnalis\u00e9es\u00a0: cr\u00e9ez des r\u00e8gles de triage automatis\u00e9es capables de\u00a0:<\/p>\n<ul>\n<li>classer automatiquement les incidents selon le tenant, la gravit\u00e9 ou le service<\/li>\n<li>orienter les incidents vers les \u00e9quipes ou les techniciens appropri\u00e9s<\/li>\n<li>appliquer des actions de r\u00e9ponse pr\u00e9d\u00e9finies aux probl\u00e8mes courants<\/li>\n<\/ul>\n<p><strong>Corr\u00e9lation avanc\u00e9e<\/strong><\/p>\n<ul>\n<li><b>Analyse inter-tenants<\/b>\u00a0: corr\u00e9lez les \u00e9v\u00e9nements et les alertes de plusieurs tenants pour rep\u00e9rer des sch\u00e9mas de s\u00e9curit\u00e9 plus larges<\/li>\n<li><b>Vue unifi\u00e9e des incidents<\/b>\u00a0: obtenez une image compl\u00e8te d&rsquo;un incident qui s&rsquo;\u00e9tend sur plusieurs environnements<\/li>\n<\/ul>\n<p><strong>Coordination de la r\u00e9ponse<\/strong><\/p>\n<ul>\n<li><b>Gestion des \u00e9quipes<\/b>\u00a0: attribuez les incidents \u00e0 des \u00e9quipes ou \u00e0 des personnes pr\u00e9cises selon le tenant ou le service concern\u00e9<\/li>\n<li><b>Chemins d&rsquo;escalade<\/b>\u00a0: d\u00e9finissez des proc\u00e9dures d&rsquo;escalade claires pour les incidents complexes touchant plusieurs tenants<\/li>\n<\/ul>\n<p><strong>Reporting et conformit\u00e9<\/strong><\/p>\n<ul>\n<li><b>Reporting inter-tenants<\/b>\u00a0: g\u00e9n\u00e9rez des rapports couvrant tous les tenants \u00e0 des fins de conformit\u00e9 et d&rsquo;audit<\/li>\n<li><b>Processus standardis\u00e9s<\/b>\u00a0: appliquez des proc\u00e9dures de traitement des incidents homog\u00e8nes dans tous les environnements<\/li>\n<\/ul>\n<\/div>\n<h2>Comment NinjaOne peut vous aider dans votre workflow de triage des cyberincidents<\/h2>\n<p>NinjaOne facilite le triage des incidents entre tenants en vous permettant de\u00a0:<\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/mdm\/powershell-a-distance\/\">ex\u00e9cuter des scripts PowerShell<\/a> sur des tags d&rsquo;appareils ou des p\u00e9rim\u00e8tres clients sp\u00e9cifiques pour traiter les incidents\u00a0;<\/li>\n<li>journaliser les incidents et g\u00e9n\u00e9rer des rapports \u00e0 partir de leurs m\u00e9tadonn\u00e9es\u00a0;<\/li>\n<li>disposer de <a href=\"https:\/\/www.ninjaone.com\/fr\/docs\/enrolement-des-appareils-et-outils-de-gestion\/inventory-alerts\/alertes-dinventaire-tableau-de-bord\/\">tableaux de bord intuitifs<\/a> et de journaux d&rsquo;audit des scripts couvrant tous les tenants, pour cr\u00e9er plus facilement des synth\u00e8ses et des revues d&rsquo;activit\u00e9.<\/li>\n<\/ul>\n<h2>Renforcez votre s\u00e9curit\u00e9 gr\u00e2ce \u00e0 un processus complet de triage des incidents<\/h2>\n<p>Avec un workflow de triage automatis\u00e9 et complet, les administrateurs informatiques contiennent beaucoup plus rapidement et efficacement les incidents comme les violations de s\u00e9curit\u00e9. Cette approche standardise aussi la documentation et permet aux entreprises de respecter leurs obligations de conformit\u00e9 l\u00e9gale.<\/p>\n<p><strong>Sujets connexes\u00a0:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/it-hub\/endpoint-security\/reponse-aux-incidents\/\">Qu&rsquo;est-ce que la r\u00e9ponse aux incidents\u00a0?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/bonnes-pratiques-de-reponse-aux-incidents-dans-le-cloud\/\">Qu&rsquo;est-ce que la r\u00e9ponse aux incidents dans le cloud\u00a0?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/gagner-en-efficacite-grace-a-lautomatisation-des-workflows-informatiques\/\">Gagner en efficacit\u00e9 gr\u00e2ce \u00e0 l&rsquo;automatisation des workflows informatiques<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/check-list-de-reponses-aux-incidents-pour-les-techniciens-de-msp\/\">Cr\u00e9er une check-list de r\u00e9ponse aux incidents pour les techniciens MSP<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/survivre-a-une-attaque-de-ransomware-entreprise-msp\/\">MSP\u00a0: 6 cl\u00e9s pour survivre \u00e0 une attaque de ransomware chez vos clients<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Mettre en place un workflow de triage des incidents complet et bien d\u00e9fini est indispensable pour les administrateurs informatiques, en particulier lorsqu&rsquo;ils g\u00e8rent un parc d&rsquo;appareils important. Les \u00e9quipes IT d\u00e9tectent et contiennent alors beaucoup plus rapidement et efficacement les incidents, comme les violations de s\u00e9curit\u00e9, tout en \u00e9vitant la fatigue li\u00e9e aux alertes. Un [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":539816,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4355,3025],"tags":[],"class_list":["post-886404","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/886404","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/comments?post=886404"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/886404\/revisions"}],"predecessor-version":[{"id":886405,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/886404\/revisions\/886405"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/media\/539816"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/media?parent=886404"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/categories?post=886404"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/tags?post=886404"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}