Détection avancée d’attaques à plusieurs niveaux dans Azure Sentinel

Microsoft Sentinel utilise Fusion, un moteur de corrélation basé sur des algorithmes d’apprentissage automatique évolutifs, pour détecter automatiquement les attaques multiphases (également appelées menaces persistantes avancées ou APT) en identifiant des combinaisons de comportements anormaux et d’activités suspectes observées à différentes étapes de la chaîne de destruction. Sur la base de ces découvertes, Microsoft Sentinel génère des incidents qui seraient autrement difficiles à intercepter. Ces incidents comprennent au moins deux alertes ou activités. Par conception, ces incidents sont de faible volume, de haute fidélité et de gravité élevée.

Personnalisée pour votre environnement, cette technologie de détection réduit non seulement les taux de faux positifs , mais peut également détecter les attaques avec des informations limitées ou manquantes.

Étant donné que Fusion met en corrélation plusieurs signaux provenant de différents produits pour détecter les attaques multiphases avancées, les détections Fusion réussies sont présentées sous forme d’incidents Fusion sur la page Incidents Microsoft Sentinel et non sous forme d’alertes, et sont stockées dans la table SecurityIncident dans Logs et non dans la table SecurityAlert.

Configurer Fusion

Fusion est activée par défaut dans Microsoft Sentinel, sous la forme d’une règle d’analyse appelée Détection avancée des attaques multiphases. Vous pouvez afficher et modifier les status de la règle, configurer les signaux sources à inclure dans le modèle Fusion ML ou exclure de la détection Fusion des modèles de détection spécifiques qui peuvent ne pas être applicables à votre environnement. Découvrez comment configurer la règle Fusion.

Pour Microsoft Sentinel espaces de travail intégrés au portail Microsoft Defender, Fusion est désactivé. Ses fonctionnalités sont remplacées par le moteur de corrélation Microsoft Defender XDR.

Fusion pour les menaces émergentes

Configurer Fusion

Fusion est activée par défaut dans Microsoft Sentinel, sous la forme d’une règle d’analyse appelée Détection avancée des attaques multiphases. Vous pouvez afficher et modifier les status de la règle, configurer les signaux sources à inclure dans le modèle Fusion ML ou exclure de la détection Fusion des modèles de détection spécifiques qui peuvent ne pas s’appliquer à votre environnement. Découvrez comment configurer la règle Fusion.

Vous souhaiterez peut-être désactiver Fusion si vous avez activé les clés gérées par le client (CMK) dans votre espace de travail. Microsoft Sentinel utilise actuellement 30 jours de données historiques pour entraîner les algorithmes d’apprentissage automatique du moteur Fusion, et ces données sont toujours chiffrées à l’aide des clés de Microsoft à mesure qu’elles passent par le pipeline d’apprentissage automatique. Toutefois, les données d’apprentissage ne sont pas chiffrées à l’aide de CMK. Pour désactiver Fusion, désactivez la règle analytique Détection avancée des attaques multiphases dans Microsoft Sentinel. Pour plus d’informations, consultez Configurer des règles fusion.

Fusion est désactivé quand Microsoft Sentinel est intégré au portail Defender. Au lieu de cela, lorsque vous travaillez dans le portail Defender, les fonctionnalités fournies par Fusion sont remplacées par le moteur de corrélation Microsoft Defender XDR.

Fusion pour les menaces émergentes (préversion)

Le volume des événements de sécurité ne cesse de croître, et l’étendue et la sophistication des attaques ne cessent d’augmenter. Nous pouvons définir les scénarios d’attaque connus, mais qu’en est-il des menaces émergentes et inconnues dans votre environnement ?

Microsoft Sentinel moteur Fusion alimenté par ML peut vous aider à trouver les menaces émergentes et inconnues dans votre environnement en appliquant une analyse ML étendue et en comettant en corrélation une plus grande étendue de signaux anormaux, tout en maintenant une fatigue d’alerte faible.

Les algorithmes ML du moteur Fusion apprennent constamment des attaques existantes et appliquent une analyse basée sur la façon dont les analystes de sécurité pensent. Il peut donc détecter des menaces précédemment non détectées provenant de millions de comportements anormaux dans la chaîne de destruction dans votre environnement, ce qui vous permet de garder une longueur d’avance sur les attaquants.

Fusion pour les menaces émergentes prend en charge la collecte et l’analyse des données à partir des sources suivantes :

• Détections d’anomalies prêtes à l’emploi

• Alertes des services Microsoft :

  • Protection Microsoft Entra ID
  • Microsoft Defender pour le cloud
  • Microsoft Defender pour IoT
  • Microsoft Defender XDR
  • Microsoft Defender for Cloud Apps
  • Microsoft Defender pour point de terminaison
  • Microsoft Defender pour l’identité
  • Microsoft Defender pour Office 365

• Alertes provenant de règles d’analyse planifiées. Les règles d’analyse doivent contenir des informations de kill-chain (tactiques) et de mappage d’entités pour pouvoir être utilisées par Fusion.

Vous n’avez pas besoin d’avoir connecté toutes les sources de données répertoriées ci-dessus pour que Fusion fonctionne pour les menaces émergentes. Toutefois, plus vous avez connecté de sources de données, plus la couverture est large et plus Fusion trouvera de menaces.

Lorsque les corrélations du moteur Fusion entraînent la détection d’une menace émergente, Microsoft Sentinel génère un incident de gravité élevée intitulé Possibles activités d’attaque multiphases détectées par Fusion.

Fusion pour les rançongiciels

Le moteur Fusion de Microsoft Sentinel génère un incident lorsqu’il détecte plusieurs alertes de types différents à partir des sources de données suivantes, et détermine qu’elles peuvent être liées à l’activité de ransomware :

• Microsoft Defender pour le cloud
• Microsoft Defender pour point de terminaison
• connecteur Microsoft Defender pour Identity
• Microsoft Defender for Cloud Apps
• Microsoft Sentinel règles d’analyse planifiées. Fusion prend uniquement en compte les règles d’analyse planifiées avec des informations tactiques et des entités mappées.

Ces incidents Fusion sont nommés Alertes multiples potentiellement liées à l’activité de ransomware détectée, et sont générés lorsque des alertes pertinentes sont détectées pendant une période spécifique et sont associées aux étapes d’exécution et d’évasion de défense d’une attaque.

Par exemple, Microsoft Sentinel générerait un incident pour les activités de ransomware possibles si les alertes suivantes sont déclenchées sur le même hôte dans un délai spécifique :

Détections fusion basées sur un scénario

La section suivante répertorie les types d’attaques multiphases basées sur un scénario, regroupées par classification des menaces, que Microsoft Sentinel détecte à l’aide du moteur de corrélation Fusion.

Pour activer ces scénarios de détection d’attaque avec Fusion, les sources de données associées doivent être ingérées dans votre espace de travail Log Analytics. Sélectionnez les liens dans le tableau ci-dessous pour en savoir plus sur chaque scénario et ses sources de données associées.

Contenu connexe

Pour plus d’informations, reportez-vous aux rubriques suivantes :

• Scénarios détectés par le moteur Microsoft Sentinel Fusion
• Configurer des règles de détection d’attaque multiphase (Fusion) dans Microsoft Sentinel