{"id":886585,"date":"2026-09-29T16:52:41","date_gmt":"2026-09-29T16:52:41","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/comment-creer-une-chronologie-dincident-de-cybersecurite-avec-defender-et-les-journaux-daudit\/"},"modified":"2026-09-29T16:52:42","modified_gmt":"2026-09-29T16:52:42","slug":"comment-creer-une-chronologie-dincident-de-cybersecurite-avec-defender-et-les-journaux-daudit","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/fr\/blog\/comment-creer-une-chronologie-dincident-de-cybersecurite-avec-defender-et-les-journaux-daudit\/","title":{"rendered":"Comment cr\u00e9er une chronologie d&rsquo;incident de cybers\u00e9curit\u00e9 avec Defender et les journaux d&rsquo;audit"},"content":{"rendered":"<p>Dans ce guide, nous d\u00e9taillons les diff\u00e9rentes m\u00e9thodes permettant de reconstituer une <strong>chronologie d&rsquo;incident de cybers\u00e9curit\u00e9<\/strong> \u00e0 partir des donn\u00e9es de Microsoft Defender for Endpoint, des journaux d&rsquo;audit Microsoft 365 et de la t\u00e9l\u00e9m\u00e9trie syst\u00e8me. Nous y incluons des requ\u00eates PowerShell, des techniques d&rsquo;audit du registre et des GPO, ainsi que des v\u00e9rifications via CMD (invite de commande) pour faciliter l&rsquo;analyse et le reporting des incidents.<\/p>\n<p>Vous vous demandez peut-\u00eatre pourquoi c&rsquo;est important. Pour faire simple\u00a0: lorsqu&rsquo;un incident de s\u00e9curit\u00e9 survient, votre priorit\u00e9 n&rsquo;est pas seulement le nettoyage (<em>m\u00eame si c&rsquo;est essentiel<\/em>), c&rsquo;est aussi de comprendre ce qui s&rsquo;est r\u00e9ellement pass\u00e9 afin d&rsquo;\u00e9viter que cela ne se reproduise. Une chronologie claire met en \u00e9vidence\u00a0:<\/p>\n<ul>\n<li><strong>La cause racine et la fen\u00eatre d&rsquo;exposition\u00a0: <\/strong>o\u00f9 l&rsquo;incident de s\u00e9curit\u00e9 a commenc\u00e9 et pendant combien de temps les <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-a-threat-actor\/\">acteurs malveillants<\/a> y ont eu acc\u00e8s<\/li>\n<li><strong>Les preuves de conformit\u00e9\u00a0: <\/strong>de nombreuses r\u00e9glementations (comme le <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/qu-est-ce-que-la-conformite-rgpd\/\">RGPD (r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es)<\/a> et l&rsquo;<a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/la-conformite-hipaa-tout-ce-quil-faut-savoir\/\">HIPAA<\/a>) exigent de prouver quand et comment une violation s&rsquo;est produite.<\/li>\n<li><strong>Le soutien en mati\u00e8re d&rsquo;assurance ou de proc\u00e9dure juridique\u00a0:<\/strong> une documentation rigoureuse renforce les d\u00e9clarations de sinistre ou les enqu\u00eates.<\/li>\n<li><strong>La validation op\u00e9rationnelle\u00a0: <\/strong>elle vous aide \u00e0 voir ce qui a fonctionn\u00e9 (ou non) dans vos d\u00e9fenses<\/li>\n<\/ul>\n<p>\ud83d\udca1 <strong>Remarque<\/strong>\u00a0: voyez cela comme l&rsquo;investigation d&rsquo;une sc\u00e8ne de crime, mais avec Defender for Endpoint, les journaux d&rsquo;audit Microsoft 365 et la t\u00e9l\u00e9m\u00e9trie syst\u00e8me comme \u00e9l\u00e9ments de preuve.<\/p>\n<p>\ud83d\udccc <strong>Strat\u00e9gies de d\u00e9ploiement recommand\u00e9es\u00a0:<\/strong><\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;vertical-align: middle\">\n<p style=\"text-align: center\"><strong>Cliquez pour choisir une m\u00e9thode<\/strong><\/p>\n<\/td>\n<td style=\"text-align: center\"><strong>\ud83d\udcbb<\/strong><br \/>\n<strong>Id\u00e9al pour les utilisateurs individuels<\/strong><\/td>\n<td style=\"text-align: center\"><strong>\ud83d\udcbb\ud83d\udcbb\ud83d\udcbb<\/strong><br \/>\n<strong>Id\u00e9al pour les grandes entreprises<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-1\"><strong>M\u00e9thode 1\u00a0: examen des incidents dans le Defender Security Center<\/strong><\/a><\/td>\n<td style=\"text-align: center\"><strong>\u2713<\/strong><\/td>\n<td style=\"text-align: center\"><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-2\"><strong>M\u00e9thode 2\u00a0: journaux d&rsquo;audit Microsoft 365 (Compliance Center\/PowerShell)<\/strong><\/a><\/td>\n<td style=\"text-align: center\"><\/td>\n<td style=\"text-align: center\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-3\"><strong>M\u00e9thode 3\u00a0: requ\u00eates PowerShell (API Defender + journaux locaux)<\/strong><\/a><\/td>\n<td style=\"text-align: center\"><strong>\u2713<\/strong><\/td>\n<td style=\"text-align: center\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-4\"><strong>M\u00e9thode 4\u00a0: journaux d&rsquo;\u00e9v\u00e9nements des appareils via CMD\/observateur d&rsquo;\u00e9v\u00e9nements<\/strong><\/a><\/td>\n<td style=\"text-align: center\"><strong>\u2713<\/strong><\/td>\n<td style=\"text-align: center\"><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-5\"><strong>M\u00e9thode 5\u00a0: v\u00e9rifications du registre pour d\u00e9tecter les tentatives de persistance<\/strong><\/a><\/td>\n<td style=\"text-align: center\"><strong>\u2713<\/strong><\/td>\n<td style=\"text-align: center\"><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-6\"><strong>M\u00e9thode 6\u00a0: strat\u00e9gie de groupe pour l&rsquo;audit avanc\u00e9<\/strong><\/a><\/td>\n<td style=\"text-align: center\"><\/td>\n<td style=\"text-align: center\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>\ud83d\udca1<strong>Remarque\u00a0: <\/strong>ces m\u00e9thodes ne sont <em>pas des fa\u00e7ons diff\u00e9rentes<\/em> de faire la m\u00eame chose. Chacune met en avant une source de donn\u00e9es ou une technique distincte, mais elles ne constituent pas non plus une proc\u00e9dure pas \u00e0 pas. Certains MSP n&rsquo;utilisent que certaines sources selon leur environnement. Nous vous recommandons de mettre en place uniquement les m\u00e9thodes adapt\u00e9es au v\u00f4tre.<\/p>\n<h2>Cr\u00e9er une chronologie d\u00e9taill\u00e9e des incidents de s\u00e9curit\u00e9<\/h2>\n<h3 id=\"method-1\">M\u00e9thode 1\u00a0: examen des incidents dans le Defender Security Center<\/h3>\n<p>Le Defender Security Center est votre point de d\u00e9part pour toute investigation. Il regroupe les alertes en incidents qui montrent comment les menaces se sont d\u00e9roul\u00e9es.<\/p>\n<p><strong>\ud83d\udccc Cas d&rsquo;usage\u00a0: <\/strong>il s&rsquo;agit de votre point de d\u00e9tection initial, qui vous aide \u00e0 identifier rapidement un incident.<\/p>\n<p><strong>\ud83d\udccc Pr\u00e9requis\u00a0:<\/strong><\/p>\n<ul>\n<li>L&rsquo;appareil doit \u00eatre int\u00e9gr\u00e9 (onboarding) \u00e0 Microsoft Defender for Endpoint.<\/li>\n<li>Disposer des autorisations de s\u00e9curit\u00e9 n\u00e9cessaires pour consulter les incidents dans le portail.<\/li>\n<\/ul>\n<p>\u00c9tapes\u00a0:<\/p>\n<ol>\n<li>Rendez-vous dans le Microsoft 365 Security Center. Si vous utilisez un logiciel de gestion des terminaux, vous pouvez y acc\u00e9der directement depuis la plateforme.<\/li>\n<li>S\u00e9lectionnez l&rsquo;incident concern\u00e9.<\/li>\n<li>Examinez les \u00e9l\u00e9ments suivants\u00a0:\n<ul style=\"list-style-type: disc\">\n<li>Horodatage de la d\u00e9tection<\/li>\n<li>Nom de l&rsquo;appareil et contexte utilisateur<\/li>\n<li>Classification et origine de la menace<\/li>\n<li>D\u00e9placement lat\u00e9ral ou syst\u00e8mes affect\u00e9s<\/li>\n<\/ul>\n<\/li>\n<li>Ouvrez l&rsquo;onglet Advanced Hunting pour explorer les activit\u00e9s corr\u00e9l\u00e9es.<\/li>\n<li>Exportez vos conclusions au format CSV ou PDF pour votre rapport chronologique.<\/li>\n<\/ol>\n<h3 id=\"method-2\">M\u00e9thode 2\u00a0: journaux d&rsquo;audit Microsoft 365 (Compliance Center\/PowerShell)<\/h3>\n<p>Les journaux d&rsquo;audit vous donnent une visibilit\u00e9 sur ce que les utilisateurs (ou les attaquants) ont fait sur l&rsquo;ensemble des ressources Microsoft 365.<\/p>\n<p><strong>\ud83d\udccc Cas d&rsquo;usage\u00a0: <\/strong>cette m\u00e9thode vous permet de suivre les connexions suspectes, les acc\u00e8s aux fichiers ou l&rsquo;activit\u00e9 des bo\u00eetes aux lettres. Vous pouvez \u00e9galement l&rsquo;utiliser pour retracer les \u00e9l\u00e9vations de privil\u00e8ges (changements de r\u00f4le, activit\u00e9 d&rsquo;administrateur, etc.).<\/p>\n<p><strong>\ud83d\udccc Pr\u00e9requis\u00a0: <\/strong><\/p>\n<ul>\n<li>La journalisation d&rsquo;audit unifi\u00e9e est activ\u00e9e dans Microsoft 365<\/li>\n<li>Disposer des autorisations de r\u00f4le pour acc\u00e9der \u00e0 <a href=\"https:\/\/learn.microsoft.com\/en-us\/purview\/audit-get-started\" target=\"_blank\" rel=\"noopener\">Microsoft Purview Audit<\/a>.<\/li>\n<\/ul>\n<p>\u00c9tapes\u00a0:<\/p>\n<ol>\n<li>Rendez-vous sur le portail de recherche dans le journal d&rsquo;audit. Vous pouvez g\u00e9n\u00e9ralement y acc\u00e9der via votre solution de gestion des terminaux, si vous en utilisez une.<\/li>\n<li>Effectuez une recherche par\u00a0:\n<ul style=\"list-style-type: disc\">\n<li>E-mail de l&rsquo;utilisateur ou ID d&rsquo;objet<\/li>\n<li>P\u00e9riode de l&rsquo;incident<\/li>\n<li>Activit\u00e9s\u00a0: FileAccessed, MailboxLogin, RoleAssignmentChange, etc.<\/li>\n<\/ul>\n<\/li>\n<li>\u00c9quivalent PowerShell\u00a0:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\"><strong>Connect-IPPSSession<\/strong><\/p>\n<p style=\"padding-left: 40px\"><code><strong>Search-UnifiedAuditLog -StartDate \"2025-07-01T00:00\" -<br \/>\nEndDate \"2025-07-01T23:59\" -UserIds \"user@domain.com\"<\/strong><\/code><\/p>\n<ol start=\"4\">\n<li>Exportez les r\u00e9sultats et triez-les par ordre chronologique.<\/li>\n<\/ol>\n<h3 id=\"method-3\">M\u00e9thode 3\u00a0: requ\u00eates PowerShell (API Defender + journaux locaux)<\/h3>\n<p>PowerShell vous permet de combiner la t\u00e9l\u00e9m\u00e9trie cloud de Defender avec les journaux locaux des terminaux pour une corr\u00e9lation plus pouss\u00e9e.<\/p>\n<p><strong>\ud83d\udccc Cas d&rsquo;usage\u00a0: <\/strong>cette m\u00e9thode facilite l&rsquo;extraction des \u00e9v\u00e9nements de s\u00e9curit\u00e9 depuis l&rsquo;API Defender \u00e0 des fins d&rsquo;automatisation.<\/p>\n<p><strong>\ud83d\udccc Pr\u00e9requis\u00a0:<\/strong><\/p>\n<ul>\n<li>PowerShell 5.1+ et le module Graph install\u00e9s<\/li>\n<li>Autorisations d&rsquo;interrogation de l&rsquo;API Defender (SecurityEvents.Real.All)<\/li>\n<li>Droits d&rsquo;administrateur local sur le terminal<\/li>\n<li>Besoin d&rsquo;une remise \u00e0 niveau\u00a0? Inscrivez-vous \u00e0 cette formation acc\u00e9l\u00e9r\u00e9e gratuite\u00a0: <a href=\"https:\/\/go.ninjaone.com\/powershell-for-it-ninjas\" target=\"_blank\" rel=\"noopener\">PowerShell pour les ninjas de l&rsquo;informatique<\/a>.<\/li>\n<\/ul>\n<p>\u00c9tapes\u00a0:<\/p>\n<ol>\n<li>Ouvrez PowerShell.<\/li>\n<li>Ex\u00e9cutez les commandes suivantes, selon vos besoins\u00a0:<\/li>\n<\/ol>\n<ul>\n<li>Recherche de menaces Defender via l&rsquo;API Graph\u00a0:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px\"><code><strong>Connect-MgGraph -Scopes \"SecurityEvents.Read.All\"<\/strong><\/code><\/p>\n<p style=\"padding-left: 40px\"><code><strong>Invoke-MgGraphRequest -Method GET -Uri \"<a href=\"https:\/\/graph.microsoft.com\/v1.0\/security\/alerts\" target=\"_blank\" rel=\"noopener\">https:\/\/graph.microsoft.com\/v1.0\/security\/alerts<\/a>\" |<\/strong><\/code><\/p>\n<p style=\"padding-left: 40px\"><strong>ConvertFrom-Json | Select-Object id, createdDateTime, title, severity, status<\/strong><\/p>\n<ul>\n<li>Journaux Defender locaux\u00a0:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px\"><code><strong>Get-WinEvent -LogName \"Microsoft-Windows-Windows Defender\/Operational\" |<\/strong><\/code><\/p>\n<p style=\"padding-left: 40px\"><strong>Where-Object { $_.TimeCreated -gt (Get-Date).AddHours(-24) } |<\/strong><\/p>\n<p style=\"padding-left: 40px\"><strong>Select TimeCreated, Message<\/strong><\/p>\n<p><strong>\ud83d\udca1 Astuce<\/strong>\u00a0: utilisez cette approche pour corr\u00e9ler la t\u00e9l\u00e9m\u00e9trie des terminaux avec les menaces d\u00e9tect\u00e9es dans le cloud.<\/p>\n<h3 id=\"method-4\">M\u00e9thode 4\u00a0: journaux d&rsquo;\u00e9v\u00e9nements des appareils via CMD\/observateur d&rsquo;\u00e9v\u00e9nements<\/h3>\n<p>Les journaux d&rsquo;\u00e9v\u00e9nements locaux vous aident \u00e0 approfondir l&rsquo;analyse des connexions, de l&rsquo;activit\u00e9 syst\u00e8me et de l&rsquo;ex\u00e9cution de scripts qui n&rsquo;apparaissent pas forc\u00e9ment dans Defender ou M365.<\/p>\n<p><strong>\ud83d\udccc Cas d&rsquo;usage\u00a0: <\/strong>cette m\u00e9thode vous permet de rep\u00e9rer les plantages, red\u00e9marrages ou arr\u00eats du syst\u00e8me pendant la fen\u00eatre d&rsquo;attaque. Vous pouvez \u00e9galement l&rsquo;utiliser pour examiner l&rsquo;ex\u00e9cution de scripts PowerShell comme vecteur d&rsquo;attaque possible.<\/p>\n<p><strong>\ud83d\udccc Pr\u00e9requis\u00a0: <\/strong><\/p>\n<ul>\n<li>Droits d&rsquo;administrateur local sur les machines concern\u00e9es<\/li>\n<li>Journalisation de la s\u00e9curit\u00e9 et de PowerShell activ\u00e9e<\/li>\n<\/ul>\n<p>\u00c9tapes\u00a0:<\/p>\n<ol>\n<li>Ouvrez une invite de commande en mode administrateur.<\/li>\n<li>Ex\u00e9cutez ces commandes dans l&rsquo;ordre.<\/li>\n<\/ol>\n<ul>\n<li>\u00c9v\u00e9nements de connexion des comptes (ID d&rsquo;\u00e9v\u00e9nement <a href=\"https:\/\/learn.microsoft.com\/en-us\/previous-versions\/windows\/it-pro\/windows-10\/security\/threat-protection\/auditing\/event-4624\" target=\"_blank\" rel=\"noopener\">4624<\/a> (ouverture de session r\u00e9ussie), <a href=\"https:\/\/learn.microsoft.com\/en-us\/previous-versions\/windows\/it-pro\/windows-10\/security\/threat-protection\/auditing\/event-4625\" target=\"_blank\" rel=\"noopener\">4625<\/a> (\u00e9chec d&rsquo;ouverture de session), <a href=\"https:\/\/learn.microsoft.com\/en-us\/previous-versions\/windows\/it-pro\/windows-10\/security\/threat-protection\/auditing\/event-4648\" target=\"_blank\" rel=\"noopener\">4648<\/a> (tentative d&rsquo;ouverture de session avec des identifiants explicites))\u00a0:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px\"><code><strong>wevtutil qe Security \"\/q:*[System[(EventID=4624 or EventID=4625 or EventID=4648)]]\" \/c:10 \/f:text<\/strong><\/code><\/p>\n<ul>\n<li>\u00c9v\u00e9nements syst\u00e8me (d\u00e9marrage\/arr\u00eat\/erreurs)\u00a0:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px\"><strong>wevtutil qe System \/c:10 \/f\u00a0:text<\/strong><\/p>\n<ul>\n<li>Activit\u00e9 PowerShell\u00a0:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px\"><code><strong>wevtutil qe \"Microsoft-Windows-PowerShell\/Operational\" \/c:20 \/f:text<\/strong><\/code><\/p>\n<h3 id=\"method-5\">M\u00e9thode 5\u00a0: v\u00e9rifications du registre pour d\u00e9tecter les tentatives de persistance<\/h3>\n<p>Les attaquants modifient souvent des cl\u00e9s de registre pour que leurs outils s&rsquo;ex\u00e9cutent automatiquement apr\u00e8s un red\u00e9marrage.<\/p>\n<p><strong>\ud83d\udccc Cas d&rsquo;usage\u00a0: <\/strong>cette m\u00e9thode d\u00e9tecte les programmes de d\u00e9marrage non autoris\u00e9s et rep\u00e8re toute alt\u00e9ration du registre.<\/p>\n<p><strong>\ud83d\udccc Pr\u00e9requis\u00a0:<\/strong><\/p>\n<ul>\n<li>Audit du registre activ\u00e9 (via GPO ou politique de s\u00e9curit\u00e9)<\/li>\n<li>La journalisation des \u00e9v\u00e9nements est configur\u00e9e pour les modifications du registre.<\/li>\n<\/ul>\n<p>\u00c9tapes\u00a0:<\/p>\n<ol>\n<li>Appuyez sur <strong>Win + R<\/strong>, saisissez <strong>regedit<\/strong>, puis appuyez sur <strong>Entr\u00e9e<\/strong>.<\/li>\n<li>V\u00e9rifiez les chemins de persistance courants\u00a0:<\/li>\n<\/ol>\n<ol>\n<li style=\"list-style-type: none\">\n<ol style=\"list-style-type: lower-alpha\">\n<li><strong>HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run<\/strong><\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<p>Cette cl\u00e9 concerne tous les utilisateurs du syst\u00e8me. Un malware pr\u00e9sent ici se lancera pour chaque compte qui ouvre une session.<\/p>\n<ol>\n<li style=\"list-style-type: none\">\n<ol start=\"2\" style=\"list-style-type: lower-alpha\">\n<li><strong>HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run<\/strong><\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<p>Cette cl\u00e9 ne concerne que l&rsquo;utilisateur actuel. La persistance est li\u00e9e \u00e0 un seul profil utilisateur compromis.<\/p>\n<p>\ud83d\udca1 <em>Les acteurs malveillants privil\u00e9gient parfois HKCU, car c&rsquo;est plus discret et cela ne n\u00e9cessite pas de droits d&rsquo;administrateur. C&rsquo;est donc une bonne pratique d&rsquo;examiner les deux chemins. <\/em><\/p>\n<ol start=\"3\">\n<li>Recherchez l&rsquo;ID d&rsquo;\u00e9v\u00e9nement <a href=\"https:\/\/learn.microsoft.com\/en-us\/previous-versions\/windows\/it-pro\/windows-10\/security\/threat-protection\/auditing\/event-4657\" target=\"_blank\" rel=\"noopener\">4657<\/a> dans les journaux de s\u00e9curit\u00e9 (modification d&rsquo;une valeur de registre).<\/li>\n<li>Recoupez les entr\u00e9es suspectes avec l&rsquo;activit\u00e9 relev\u00e9e dans Defender ou dans les journaux d&rsquo;audit M365.<\/li>\n<\/ol>\n<h3 id=\"method-6\">M\u00e9thode 6\u00a0: strat\u00e9gie de groupe pour l&rsquo;audit avanc\u00e9<\/h3>\n<p><strong>\ud83d\udccc Cas d&rsquo;usage\u00a0: <\/strong>cette m\u00e9thode garantit l&rsquo;existence de journaux critiques pour les incidents futurs. Vous pouvez \u00e9galement l&rsquo;utiliser pour renforcer la couverture des serveurs et postes de travail strat\u00e9giques (parfait pour le reporting de conformit\u00e9\u00a0!).<\/p>\n<p><strong>\ud83d\udccc Pr\u00e9requis\u00a0:<\/strong><\/p>\n<ul>\n<li>Droits de gestion des GPO<\/li>\n<li>Environnement de domaine (recommand\u00e9, m\u00eame si la politique locale fonctionne aussi)<\/li>\n<\/ul>\n<p><strong>\u00c9tapes\u00a0: <\/strong><\/p>\n<ol>\n<li>Appuyez sur <strong>Win + R<\/strong>, saisissez <strong>gpedit.msc<\/strong>, puis appuyez sur <strong>Entr\u00e9e<\/strong>.<\/li>\n<li>Acc\u00e9dez \u00e0\u00a0: <strong>Configuration ordinateur \u2192 Param\u00e8tres Windows \u2192 Param\u00e8tres de s\u00e9curit\u00e9 \u2192 Configuration avanc\u00e9e de la strat\u00e9gie d&rsquo;audit \u2192 Strat\u00e9gies d&rsquo;audit<\/strong><\/li>\n<li>Activez\u00a0:\n<ul style=\"list-style-type: disc\">\n<li><strong>Auditer les \u00e9v\u00e9nements de connexion<\/strong><\/li>\n<li><strong>Auditer l&rsquo;acc\u00e8s aux objets<\/strong><\/li>\n<li><strong>Auditer le suivi des processus<\/strong><\/li>\n<li><strong>Auditer les modifications de strat\u00e9gie<\/strong><\/li>\n<\/ul>\n<\/li>\n<li>Appliquez ces politiques aux serveurs et postes de travail cl\u00e9s.<\/li>\n<\/ol>\n<h2><strong>\u26a0\ufe0f <\/strong>Points de vigilance<\/h2>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center\"><strong>Risques<\/strong><\/td>\n<td style=\"text-align: center\"><strong>Cons\u00e9quences possibles<\/strong><\/td>\n<td style=\"text-align: center\"><strong>Solutions<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Lacunes dans la conservation des journaux (Defender, M365 ou journaux locaux)<\/td>\n<td>Activit\u00e9 manquante sur la fen\u00eatre d&rsquo;attaque\u00a0; chronologie incompl\u00e8te<\/td>\n<td>Prolongez les politiques de conservation (ex.\u00a0: journal d&rsquo;audit Purview E5 = 1 an)\u00a0; centralisez les journaux dans un SIEM.<\/td>\n<\/tr>\n<tr>\n<td>Rotation des journaux d&rsquo;\u00e9v\u00e9nements (journaux S\u00e9curit\u00e9\/Syst\u00e8me)<\/td>\n<td>Preuves anciennes \u00e9cras\u00e9es par de nouveaux \u00e9v\u00e9nements<\/td>\n<td>Augmentez la taille des journaux via GPO\u00a0; d\u00e9portez les journaux vers un collecteur.<\/td>\n<\/tr>\n<tr>\n<td>Audit d\u00e9sactiv\u00e9 ou mal configur\u00e9<\/td>\n<td>Aucun \u00e9v\u00e9nement de registre, de fichier ou de privil\u00e8ge captur\u00e9<\/td>\n<td>V\u00e9rifiez les param\u00e8tres d&rsquo;audit dans les GPO\u00a0; activez la Configuration avanc\u00e9e de la strat\u00e9gie d&rsquo;audit.<\/td>\n<\/tr>\n<tr>\n<td>Faux positifs (applications l\u00e9gitimes dans les cl\u00e9s Run, connexions inhabituelles)<\/td>\n<td>Temps d&rsquo;investigation perdu ou interruption accidentelle<\/td>\n<td>Recoupez les entr\u00e9es avec l&rsquo;inventaire logiciel et les comportements utilisateurs connus.<\/td>\n<\/tr>\n<tr>\n<td>Collecte excessive de donn\u00e9es<\/td>\n<td>Difficult\u00e9 \u00e0 rep\u00e9rer l&rsquo;activit\u00e9 r\u00e9ellement malveillante<\/td>\n<td>Utilisez le filtrage dans PowerShell\/Advanced Hunting pour affiner les requ\u00eates.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Autres points \u00e0 consid\u00e9rer lors de la cr\u00e9ation d&rsquo;un journal d&rsquo;audit Office 365<\/h2>\n<ul>\n<li><strong>Conservation des journaux\u00a0: <\/strong>assurez-vous que les journaux sont conserv\u00e9s au moins 90 \u00e0 180 jours (selon vos exigences de conformit\u00e9).<\/li>\n<li><strong>Int\u00e9gration SIEM\u00a0:<\/strong> envisagez de centraliser tous les journaux dans un <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-security-information-and-event-management-siem\/\">SIEM<\/a> \u00e0 des fins de corr\u00e9lation.<\/li>\n<li><strong>Synchronisation horaire\u00a0:<\/strong> v\u00e9rifiez que tous les syst\u00e8mes sont synchronis\u00e9s via NTP (<strong>w32tm \/query \/status<\/strong>) pour \u00e9viter les incoh\u00e9rences dans la chronologie.<\/li>\n<li><strong>Documentation\u00a0: <\/strong>conservez un mod\u00e8le de chronologie standard pour les incidents.<\/li>\n<\/ul>\n<h2>R\u00e9solution des probl\u00e8mes courants<\/h2>\n<ol>\n<li><strong>Journaux manquants\u00a0: <\/strong>la journalisation n&rsquo;\u00e9tait pas activ\u00e9e ou les journaux ont \u00e9t\u00e9 \u00e9cras\u00e9s par rotation.\n<ul style=\"list-style-type: disc\">\n<li>Pour y rem\u00e9dier\u00a0: v\u00e9rifiez l&rsquo;audit dans les GPO, augmentez la taille des journaux ou centralisez-les dans un SIEM.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Aucune donn\u00e9e Defender\u00a0: <\/strong>l&rsquo;appareil n&rsquo;est pas int\u00e9gr\u00e9 ou est exclu de la protection\n<ul style=\"list-style-type: disc\">\n<li>Pour y rem\u00e9dier\u00a0: v\u00e9rifiez l&rsquo;onboarding dans le Security Center et passez en revue les politiques d&rsquo;exclusion.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Erreurs de journal d&rsquo;audit (M365)\u00a0: <\/strong>le journal d&rsquo;audit unifi\u00e9 n&rsquo;est pas activ\u00e9 ou la licence limite la dur\u00e9e de conservation\n<ul style=\"list-style-type: disc\">\n<li>Pour y rem\u00e9dier\u00a0: activez la journalisation d&rsquo;audit dans Purview et v\u00e9rifiez votre licence (E5 = conservation 1 an, hors E5 = 180 jours).<\/li>\n<\/ul>\n<\/li>\n<li><strong>\u00c9carts horaires\u00a0: <\/strong>syst\u00e8mes non synchronis\u00e9s, d&rsquo;o\u00f9 des trous dans la chronologie\n<ul style=\"list-style-type: disc\">\n<li>Pour y rem\u00e9dier\u00a0: ex\u00e9cutez <strong>w32tm \/query \/status<\/strong> et configurez la synchronisation NTP sur tous les syst\u00e8mes.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Probl\u00e8mes d&rsquo;export\/import\u00a0: <\/strong>les exports CSV ne se trient pas correctement.\n<ul style=\"list-style-type: disc\">\n<li>Pour y rem\u00e9dier\u00a0: r\u00e9exportez via PowerShell et triez par TimeCreated ou CreationDate.<\/li>\n<\/ul>\n<\/li>\n<li><strong>Trop de bruit\u00a0: <\/strong>le volume d&rsquo;\u00e9v\u00e9nements masque les v\u00e9ritables indicateurs.\n<ul style=\"list-style-type: disc\">\n<li>Pour y rem\u00e9dier\u00a0: utilisez le filtrage (ID d&rsquo;\u00e9v\u00e9nement, filtres utilisateur, requ\u00eates KQL) pour affiner les r\u00e9sultats.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h2>Les services NinjaOne<\/h2>\n<p>NinjaOne, la plateforme automatis\u00e9e de gestion des terminaux, peut vous aider \u00e0 construire une chronologie d&rsquo;incident de cybers\u00e9curit\u00e9 plus d\u00e9taill\u00e9e. Voici comment\u00a0:<\/p>\n<ul>\n<li><strong>Collecte centralis\u00e9e des journaux<\/strong>\u00a0: NinjaOne vous permet de collecter \u00e0 grande \u00e9chelle et selon une planification les journaux d&rsquo;\u00e9v\u00e9nements Windows, Defender Operational et PowerShell, pour que les preuves ne disparaissent pas.<\/li>\n<li><strong>Orchestration PowerShell one-to-many<\/strong>\u00a0: vous pouvez ex\u00e9cuter des scripts param\u00e9tr\u00e9s sur les appareils\/clients de votre choix et r\u00e9cup\u00e9rer les r\u00e9sultats en JSON\/CSV\/texte. Les sorties peuvent \u00eatre jointes \u00e0 des tickets, archiv\u00e9es ou transmises via des webhooks pour une analyse imm\u00e9diate.<\/li>\n<li><strong>Dossiers de preuves automatis\u00e9s<\/strong>\u00a0: lancez des playbooks qui r\u00e9cup\u00e8rent en une seule passe les ID d&rsquo;\u00e9v\u00e9nements cl\u00e9s, les d\u00e9tections Defender, les entr\u00e9es d&rsquo;ex\u00e9cution automatique du registre et l&rsquo;\u00e9tat de la synchronisation horaire.<\/li>\n<li><strong>D\u00e9tection et alertes \u00e0 fort signal<\/strong>\u00a0: recevez des alertes en cas d&rsquo;\u00e9v\u00e9nements 4625 r\u00e9p\u00e9t\u00e9s, de d\u00e9tections Defender, d&rsquo;occurrences ScriptBlock ou de modifications du registre relev\u00e9es par les scripts.<\/li>\n<li><strong>R\u00e9ponse automatis\u00e9e et s\u00e9curis\u00e9e<\/strong>\u00a0: des actions script\u00e9es peuvent supprimer les ex\u00e9cutions automatiques malveillantes, arr\u00eater des processus, isoler un h\u00f4te ou renouveler les identifiants locaux avec des contr\u00f4les pr\u00e9alables.<\/li>\n<li><strong>Meilleure journalisation par politique<\/strong>\u00a0: d\u00e9ployez par script des tailles de journaux accrues, la journalisation ScriptBlock\/Transcription et les cat\u00e9gories d&rsquo;audit avanc\u00e9es.<\/li>\n<li><strong>Passage \u00e0 l&rsquo;\u00e9chelle multi-clients pour les MSP<\/strong>\u00a0: r\u00e9utilisez les m\u00eames collectes, alertes et playbooks chez tous vos clients gr\u00e2ce aux \u00e9tiquettes et aux groupes d&rsquo;appareils cibl\u00e9s.<\/li>\n<li><strong>Contexte sur les actifs et l&rsquo;exposition<\/strong>\u00a0: passez d&rsquo;une alerte aux d\u00e9tails d&rsquo;inventaire, comme la version du syst\u00e8me d&rsquo;exploitation, l&rsquo;anciennet\u00e9 des correctifs et les logiciels pr\u00e9sents.<\/li>\n<li><strong>\u00c9tiquetage des incidents, reporting et exports<\/strong>\u00a0: \u00e9tiquetez appareils, tickets et artefacts avec un identifiant d&rsquo;incident, et exportez les dossiers de preuves (CSV\/JSON\/ZIP).<\/li>\n<li><strong>Int\u00e9grations et gouvernance<\/strong>\u00a0: utilisez les webhooks\/API pour \u00e9changer des donn\u00e9es avec les SIEM, l&rsquo;ITSM et les outils de discussion\u00a0; enrichissez vos chronologies avec des requ\u00eates Graph\/Defender ex\u00e9cut\u00e9es par script.<\/li>\n<\/ul>\n<h2>Prot\u00e9gez votre environnement gr\u00e2ce \u00e0 un journal d&rsquo;audit Microsoft 365 d\u00e9taill\u00e9<\/h2>\n<p>Reconstituer une chronologie d&rsquo;incident de cybers\u00e9curit\u00e9 ne se r\u00e9sume pas \u00e0 une seule action. Cela suppose de croiser les preuves issues des incidents Defender, de l&rsquo;activit\u00e9 d&rsquo;audit Microsoft 365 et de la t\u00e9l\u00e9m\u00e9trie des terminaux.<\/p>\n<p>Nous vous avons pr\u00e9sent\u00e9 six m\u00e9thodes \u00e0 tester, mais nous tenons \u00e0 le rappeler\u00a0: ces strat\u00e9gies ne sont pas totalement ind\u00e9pendantes les unes des autres. Choisissez la m\u00e9thode adapt\u00e9e \u00e0 vos besoins et consultez notre tableau des strat\u00e9gies de d\u00e9ploiement recommand\u00e9es pour en savoir plus.<\/p>\n<p><strong>Sujets connexes\u00a0:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/it-hub\/endpoint-security\/reponse-aux-incidents\/\">Qu&rsquo;est-ce que la r\u00e9ponse aux incidents\u00a0?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/it-hub\/endpoint-security\/qu-est-ce-que-la-cybersecurite\/\">Qu&rsquo;est-ce que la cybers\u00e9curit\u00e9\u00a0?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/comprendre-wdac\/\">Comprendre Windows Defender Application Control (WDAC)<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/les-12-types-de-cyberattaques-les-plus-courants-comment-les-reperer-et-les-prevenir\/\">Les 12 types de cyberattaques les plus courants\u00a0: comment les rep\u00e9rer et les \u00e9viter<\/a><\/li>\n<\/ul>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Guide de d\u00e9marrage rapide<\/h2><p>NinjaOne peut vous aider \u00e0 construire une chronologie d&rsquo;incident de cybers\u00e9curit\u00e9 \u00e0 partir des journaux Defender et des journaux d&rsquo;audit. Voici les points cl\u00e9s\u00a0:<\/p>\n<p><b data-stringify-type=\"bold\">Cr\u00e9ation de la chronologie d&rsquo;incident<\/b><br aria-hidden=\"true\"\/>NinjaOne offre de solides capacit\u00e9s de collecte de journaux pour cr\u00e9er une chronologie d&rsquo;incident de s\u00e9curit\u00e9\u00a0:<\/p>\n<ol>\n<li><b data-stringify-type=\"bold\">Journaux syst\u00e8me Windows<\/b>\n<ul>\n<li>Collectez les journaux d&rsquo;\u00e9v\u00e9nements Windows depuis\u00a0:\n<ul>\n<li>le journal Application<\/li>\n<li>le journal S\u00e9curit\u00e9<\/li>\n<li>le journal Syst\u00e8me<\/li>\n<\/ul>\n<\/li>\n<li>Concentrez-vous sur la p\u00e9riode pr\u00e9cise de l&rsquo;alerte ou de l&rsquo;incident<\/li>\n<\/ul>\n<\/li>\n<li><b data-stringify-type=\"bold\">Collecte de journaux sur diff\u00e9rents syst\u00e8mes d&rsquo;exploitation<\/b>\n<ul>\n<li>Syst\u00e8mes Windows\u00a0: journaux d&rsquo;\u00e9v\u00e9nements Windows complets<\/li>\n<li>Syst\u00e8mes macOS\u00a0:\n<ul>\n<li>journaux syst\u00e8me<\/li>\n<li>journaux d&rsquo;applications<\/li>\n<li>journaux de s\u00e9curit\u00e9 et d&rsquo;authentification<\/li>\n<\/ul>\n<\/li>\n<li>Syst\u00e8mes Linux\u00a0:\n<ul>\n<li>journaux syst\u00e8me<\/li>\n<li>journaux d&rsquo;authentification<\/li>\n<li>journaux propres aux applications<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<li><b data-stringify-type=\"bold\">Collecte de preuves compl\u00e9mentaires<\/b>\n<ul>\n<li>Fichiers PCAP (captures r\u00e9seau)<\/li>\n<li>D\u00e9finitions des alertes antivirus<\/li>\n<li>Toute autre information pertinente fournie par le client<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p><b data-stringify-type=\"bold\">Int\u00e9gration avec les outils de s\u00e9curit\u00e9<\/b><br aria-hidden=\"true\"\/>NinjaOne s&rsquo;int\u00e8gre \u00e0 des outils de s\u00e9curit\u00e9 tels que\u00a0:<\/p>\n<ul>\n<li>Bitdefender GravityZone<\/li>\n<li>SentinelOne<\/li>\n<li>CrowdStrike<\/li>\n<\/ul>\n<p>Ces int\u00e9grations permettent une d\u00e9tection des menaces, une journalisation et une reconstitution chronologique compl\u00e8tes.<\/p>\n<p><b data-stringify-type=\"bold\">Processus recommand\u00e9<\/b><\/p>\n<ol>\n<li>Rassemblez les journaux des appareils concern\u00e9s<\/li>\n<li>Collectez les journaux des outils de s\u00e9curit\u00e9 concern\u00e9s<\/li>\n<li>Identifiez la p\u00e9riode de l&rsquo;incident<\/li>\n<li>Corr\u00e9lez les journaux et les \u00e9v\u00e9nements<\/li>\n<li>Cr\u00e9ez une chronologie de l&rsquo;incident de s\u00e9curit\u00e9<\/li>\n<\/ol>\n<p>Pour obtenir une chronologie d&rsquo;incident compl\u00e8te, collectez les journaux de plusieurs sources et analysez soigneusement l&rsquo;encha\u00eenement des \u00e9v\u00e9nements.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Dans ce guide, nous d\u00e9taillons les diff\u00e9rentes m\u00e9thodes permettant de reconstituer une chronologie d&rsquo;incident de cybers\u00e9curit\u00e9 \u00e0 partir des donn\u00e9es de Microsoft Defender for Endpoint, des journaux d&rsquo;audit Microsoft 365 et de la t\u00e9l\u00e9m\u00e9trie syst\u00e8me. Nous y incluons des requ\u00eates PowerShell, des techniques d&rsquo;audit du registre et des GPO, ainsi que des v\u00e9rifications via CMD [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":536388,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4355],"tags":[],"class_list":["post-886585","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/886585","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/comments?post=886585"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/886585\/revisions"}],"predecessor-version":[{"id":886586,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/886585\/revisions\/886586"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/media\/536388"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/media?parent=886585"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/categories?post=886585"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/tags?post=886585"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}