Nouveautés de Defender for Cloud recommandations, alertes et incidents

Cet article récapitule les nouveautés des recommandations de sécurité, des alertes et des incidents dans Microsoft Defender for Cloud. Il inclut des informations sur les suggestions et alertes nouvelles, modifiées et dépréciées.

  • Cette page est fréquemment mise à jour avec les dernières recommandations et alertes dans Defender for Cloud.

  • Les recommandations antérieures à six mois sont disponibles dans la liste de référence des recommandations pertinentes.

  • Recherchez les dernières informations sur les fonctionnalités de Defender for Cloud nouvelles et mises à jour dans Nouveautés de Defender for Cloud fonctionnalités.

Conseil

Recevez une notification quand cette page est mise à jour en copiant et collant l’URL suivante dans votre lecteur de flux : https://aka.ms/mdc/rss-recommendations-alerts

Mises à jour en matière de suggestions, d’alertes et d’incidents

Les nouvelles suggestions, les nouvelles alertes et les nouveaux incidents ainsi que leurs mises à jour sont ajoutés à la table par ordre chronologique.

Date annoncée Type État Nom
14 avril 2026 Recommandation PRÉVERSION Les recommandations suivantes sont désormais disponibles en préversion pour les serveurs flexibles Azure Database pour PostgreSQL dans le cadre de CSPM Defender :
* Le point de terminaison privé doit être configuré pour les serveurs Azure Database pour PostgreSQL
* « Autoriser l'accès aux services Azure » doit être désactivé pour les serveurs PostgreSQL
13 avril 2026 Recommandation Dépréciation Suite à l’annonce du 4 mars 2026, les recommandations de vulnérabilité de conteneur groupées suivantes sont désormais déconseillées :
Recommandations de conteneur :
* [Préversion] Les résultats de vulnérabilité des conteneurs s’exécutant dans Azure doivent être résolus
* [Aperçu] Les conteneurs s’exécutant dans AWS doivent avoir leurs découvertes de vulnérabilité résolues
* [Préversion] Les résultats de vulnérabilité des conteneurs s’exécutant dans GCP doivent être résolus
Recommandations d'image de conteneur :
* [Aperçu] Les images de conteneurs dans le registre Azure doivent avoir les vulnérabilités identifiées résolues
* [Aperçu] Les images de conteneur dans le registre AWS devraient avoir les constats de vulnérabilité résolus
* [Préversion] Les résultats de vulnérabilité des images conteneur dans le registre GCP doivent être résolus

Ces recommandations regroupées sont remplacées par des recommandations individuelles qui offrent une visibilité plus granulaire, une meilleure hiérarchisation et une gouvernance améliorée. En savoir plus sur l’abandon de la préversion des recommandations de vulnérabilité concernant les conteneurs et les images conteneur.
30 mars 2026 Alerte PRÉVERSION L’alerte suivante est désormais en aperçu :
* Contenu malveillant détecté dans le modèle IA chargé
29 mars 2026 Recommandation PRÉVERSION Les recommandations suivantes sont désormais disponibles en préversion pour les serveurs flexibles Azure Database pour PostgreSQL dans le cadre de CSPM Defender :
* Les sauvegardes géoredondantes doivent être activées pour les serveurs PostgreSQL
* require_secure_transport doit être défini sur « activé » pour les serveurs Azure Database pour PostgreSQL
29 mars 2026 Recommandation Dépréciation Suite à l’annonce du 3 décembre 2025, la recommandation Microsoft Defender for SQL status should be protected for Arc-enabled SQL Servers pour Defender pour SQL Servers sur Machines est désormais obsolète.
04 mars 2026 Recommandation Dépréciation à venir Les recommandations de vulnérabilité pour les conteneurs groupés suivantes seront désuètes à partir du 13 avril 2026 :
Recommandations de conteneur :
* [Préversion] Les résultats de vulnérabilité des conteneurs s’exécutant dans Azure doivent être résolus
* [Aperçu] Les conteneurs s’exécutant dans AWS doivent avoir leurs découvertes de vulnérabilité résolues
* [Préversion] Les résultats de vulnérabilité des conteneurs s’exécutant dans GCP doivent être résolus
Recommandations d'image de conteneur :
* [Aperçu] Les images de conteneurs dans le registre Azure doivent avoir les vulnérabilités identifiées résolues
* [Aperçu] Les images de conteneur dans le registre AWS devraient avoir les constats de vulnérabilité résolus
* [Préversion] Les résultats de vulnérabilité des images conteneur dans le registre GCP doivent être résolus

Ces recommandations regroupées sont remplacées par des recommandations individuelles qui offrent une visibilité plus granulaire, une meilleure hiérarchisation et une gouvernance améliorée. En savoir plus sur l’abandon de la préversion des recommandations de vulnérabilité concernant les conteneurs et les images conteneur.
24 février 2026 Recommandation GA Les recommandations de données suivantes sont disponibles en disponibilité générale (GA) :

- Les comptes de stockage doivent restreindre l’accès réseau à l’aide de règles de réseau virtuel.

- Le compte de stockage doit utiliser une connexion de liaison privée.

- Les comptes de stockage doivent empêcher l’accès à la clé partagée.
16 février 2026 Recommandation Dépréciation à venir
(19 mars 2026)		 La recommandation de préversion Machines should be configured securely (powered by MDVM), qui s’applique aux machines Windows, sera bientôt dépréciée. La recommandation est sur le point d'être remplacée par les recommandations spécifiques au système d’exploitation suivantes, qui incluent la prise en charge de Linux avec une configuration invité :

- Les vulnérabilités dans la configuration de la sécurité sur vos machines Linux doivent être corrigées (alimentées par Guest Configuration)

- Vulnerabilities dans la configuration de la sécurité sur vos machines Windows doivent être corrigées (alimentées par Guest Configuration).

Ces recommandations de remplacement sont déjà disponibles dans Defender for Cloud.

Si vous avez des règles de gouvernance, des rapports ou des flux de travail qui référencent la recommandation déconseillée, mettez-les à jour pour utiliser les recommandations de remplacement. Pour vous assurer que les nouvelles recommandations peuvent évaluer vos machines, vérifiez que les conditions préalables requises sont en place :

- Azure machines devez avoir installé l’extension Azure Machine Configuration.
- Machines non-Azure doivent être intégrées via Azure Arc, qui inclut l’extension Configuration de la Machine par défaut.
10 février 2026 Recommandation PRÉVERSION Les recommandations suivantes sont publiées en aperçu :
Les autorisations d'exécution sur xp_cmdshell de tous les utilisateurs (sauf dbo) doivent être révoquées pour les serveurs SQL.
* Les dernières mises à jour doivent être installées pour les serveurs SQL Server
* L’utilisateur invité de base de données ne doit pas être membre d’un rôle dans les bases de données SQL
* Les requêtes distribuées ad hoc doivent être désactivées pour les serveurs SQL Server
* LE CLR doit être désactivé pour les serveurs SQL
* Les assemblies approuvés non suivis doivent être supprimés des serveurs SQL
* Le chaînage de propriétés de base de données doit être désactivé pour toutes les bases de données, à l’exception de « master », « msdb » et « tempdb » sur sql Server
* Invité principal ne doit pas avoir accès à une base de données SQL utilisateur
* Les connexions d’administration distantes doivent être désactivées, sauf si elles sont spécifiquement requises pour les bases de données SQL
* La trace par défaut doit être activée pour les serveurs SQL Server
* CHECK_POLICY doit être activé pour toutes les connexions SQL pour SQL Server
* La vérification de l’expiration du mot de passe doit être activée pour toutes les connexions SQL sur sql Server
* Les principaux de base de données ne doivent pas être mappés au compte sa dans les bases de données SQL
* AUTO_CLOSE doit être désactivé pour les bases de données SQL
* BUILTIN\Administrators doit être supprimé en tant que connexion de serveur pour SQL Server
* Le compte portant le nom par défaut « sa » doit être renommé et désactivé sur les serveurs SQL
* Les autorisations excessives ne doivent pas être accordées au rôle PUBLIC sur des objets ou des colonnes dans des bases de données SQL
* La connexion 'sa' doit être désactivée pour les serveurs SQL Server
* xp_cmdshell doit être désactivé pour les serveurs SQL
* Les points de terminaison Service Broker inutilisés doivent être supprimés pour les serveurs SQL
* L’option Database Mail XPs doit être désactivée lorsqu’elle n’est pas utilisée sur les serveurs SQL
* Les autorisations de serveur ne doivent pas être accordées directement aux principaux pour les serveurs SQL Server
* Les utilisateurs de base de données ne doivent pas partager le même nom qu’une connexion de serveur pour la base de données Model SQL
* L’option « Analyser les procédures stockées de démarrage » doit être désactivée pour les serveurs SQL Server
* Le mode d’authentification doit être Windows Authentification pour les serveurs SQL
* L’audit des tentatives de connexion réussies et ayant échoué (trace par défaut) doit être activé lorsque l’option « Audit de connexion » est configurée pour suivre les connexions pour SQL Server
* L’instance SQL Server ne devrait pas être annoncée par le service SQL Server Browser pour les serveurs SQL.
* Le nombre maximal de journaux d’erreurs doit être de 12 ou plus pour les serveurs SQL Server
* Les autorisations de base de données ne doivent pas être accordées directement aux principaux pour les serveurs SQL Server
* Les autorisations excessives ne doivent pas être accordées au rôle PUBLIC dans les bases de données SQL
* L’invité principal ne doit pas recevoir d’autorisations dans les bases de données SQL
* L’invité principal ne doit pas recevoir d’autorisations sur des objets ou des colonnes dans des bases de données SQL
* Le chiffrement AES doit être requis pour tout point de terminaison de mise en miroir ou SSB existant sur des bases de données SQL
* L’utilisateur INVITÉ ne doit pas recevoir d’autorisations sur les éléments sécurisables de base de données SQL
* Le bit digne de confiance doit être désactivé sur toutes les bases de données, sauf MSDB pour les bases de données SQL
* L’utilisateur 'dbo' ne doit pas être utilisé pour l’opération de service normale dans les bases de données SQL
* Seul 'dbo' doit avoir accès à la base de données Model SQL
* Le chiffrement transparent des données doit être activé pour les bases de données SQL
* La communication de base de données à l’aide de TDS doit être protégée par le biais de TLS pour les serveurs SQL
* Les clés symétriques de chiffrement de base de données doivent utiliser l’algorithme AES dans les bases de données SQL
* Les clés de chiffrement au niveau cellulaire doivent utiliser l'algorithme AES dans les bases de données SQL
* Les clés de certificat doivent utiliser au moins 2048 bits pour les bases de données SQL
* La longueur des clés asymétriques doit être d’au moins 2048 bits dans les bases de données SQL
* Filestream doit être désactivé pour les serveurs SQL
* La configuration du serveur « Réplication XPs » doit être désactivée pour les serveurs SQL Server
* Les utilisateurs orphelins doivent être supprimés des bases de données SQL Server
* Les informations du propriétaire de la base de données dans la base de données doivent correspondre aux informations de propriétaire de base de données respectives dans la base de données master pour les bases de données SQL
* Les rôles d’application ne doivent pas être utilisés dans les bases de données SQL
* Il ne doit y avoir aucun Service Pack marqué comme démarrage automatique pour les serveurs SQL.
* Les rôles de base de données définis par l’utilisateur ne doivent pas être membres de rôles fixes dans les bases de données SQL
* Les assemblys CLR utilisateur ne doivent pas être définis dans les bases de données SQL
* Les propriétaires de bases de données doivent correspondre aux attentes pour les bases de données SQL.
* L’audit des tentatives de connexion réussies et ayant échoué doit être activé pour les serveurs SQL Server
* L’audit des tentatives de connexion réussies et ayant échoué pour l’authentification de base de données autonome doit être activé pour les bases de données SQL
* Les utilisateurs autonomes doivent utiliser l’authentification Windows dans les bases de données SQL Server
* Le chiffrement réseau Polybase doit être activé pour les bases de données SQL
* Créer une base de référence des fournisseurs de gestion de clés externes pour les serveurs SQL
Le chiffrement forcé doit être activé pour TDS pour les serveurs SQL
* Les autorisations de serveur accordées au public doivent être réduites pour les serveurs SQL Server
* Toutes les adhésions pour les rôles définis par l’utilisateur doivent être prises en compte dans les bases de données SQL.
* Les rôles de base de données orphelins doivent être supprimés des bases de données SQL
* Il doit y avoir au moins 1 audit actif dans le système pour sql Server
* Un ensemble minimal de principaux doit se voir accorder les autorisations ALTER ou ALTER ANY USER au niveau base de données dans les bases de données SQL
* Un ensemble minimal d'entités principales doit recevoir l’autorisation EXECUTE sur des objets ou des colonnes dans des bases de données SQL
* La détection des menaces SQL doit être activée au niveau du serveur SQL
* L’audit doit être activé au niveau du serveur pour les serveurs SQL
* Les règles de pare-feu au niveau de la base de données ne doivent pas accorder un accès excessif pour les serveurs SQL
* Les règles de pare-feu au niveau du serveur ne doivent pas accorder un accès excessif pour les serveurs SQL
* Les règles de pare-feu au niveau de la base de données doivent être suivies et conservées au minimum pour les serveurs SQL Server
* Les règles de pare-feu au niveau du serveur doivent être suivies et gérées au minimum sur les serveurs SQL
* Les autorisations d’exécution inutiles sur les procédures stockées étendues doivent être révoquées pour les serveurs SQL
* Un ensemble minimal de principaux doit être membre des rôles fixes de la base de données master Azure SQL Database
* Un ensemble minimal de principaux acteurs devrait être membre des rôles fixes à impact élevé de base de données dans les bases de données SQL
* Un ensemble minimal de principaux acteurs doit être membres de rôles fixes de base de données à faible impact dans les bases de données SQL
* Les autorisations d’exécution pour accéder au Registre doivent être limitées pour les serveurs SQL Server
* Les exemples de bases de données doivent être supprimés pour les serveurs SQL
* Les autorisations DTS (Data Transformation Services) doivent uniquement être accordées aux rôles SSIS dans la base de données SQL MSDB
* Un ensemble minimal de principaux doit être membre des rôles serveur fixes pour les serveurs SQL
* Les fonctionnalités susceptibles d’affecter la sécurité doivent être désactivées pour les serveurs SQL
* La fonctionnalité « Procédures OLE Automation » doit être désactivée pour les serveurs SQL Server
* La fonctionnalité « Options utilisateur » doit être désactivée pour les serveurs SQL Server
* Les fonctionnalités d’extensibilité susceptibles d’affecter la sécurité doivent être désactivées si elles ne sont pas nécessaires pour les serveurs SQL
* Évaluation des vulnérabilités doit être configurée sur SQL Server 2012 et versions ultérieures uniquement
* Les modifications apportées aux modules signés doivent être autorisées pour les bases de données SQL
* Suivre tous les utilisateurs ayant accès à la base de données pour les bases de données SQL
* Les connexions SQL avec des noms couramment utilisés doivent être désactivées pour les serveurs SQL
* Consultez le mappage complet des règles et recommandations
11 décembre 2025 Alerte Deprecated Les alertes suivantes sont désormais obsolètes.
* AppServices_AnomalousPageAccess
* AppServices_CurlToDisk
* AppServices_WpThemeInjection
* AppServices_SmartScreen
* AppServices_ScanSensitivePage
* AppServices_CommandlineSuspectDomain
* AzureDNS_ThreatIntelSuspectDomain
*AppServices_FilelessAttackBehaviorDetection
* AppServices_FilelessAttackTechniqueDetection
* AppServices_FilelessAttackToolkitDetection
* AppServices_PhishingContent
* AppServices_ProcessWithKnownSuspiciousExtension

Ces alertes sont supprimées dans le cadre d’un processus d’amélioration de la qualité et remplacées par des alertes plus récentes et plus avancées qui fournissent une plus grande précision et des fonctionnalités améliorées de détection des menaces. Cette mise à jour garantit une couverture de sécurité améliorée et un bruit réduit.
3 décembre 2025 Recommandation Dépréciation à venir (avis de 30 jours) La recommandation suivante est définie pour être abandonnée dans 30 jours : Microsoft Defender for SQL status should be protected for Arc-enabled SQL Servers pour Defender pour serveurs SQL sur un plan Machines.
1er décembre 2025 Recommandation PRÉVERSION (Préversion) La signature de code doit être activée sur Lambda
1er décembre 2025 Recommandation PRÉVERSION (préversion) Le mécanisme de sécurité doit être utilisé sur l’API Gateway de la fonction lambda
1er décembre 2025 Recommandation PRÉVERSION (Aperçu) L’authentification doit être activée sur les URLs de fonction Lambda
1er décembre 2025 Recommandation PRÉVERSION (Aperçu) La fonction Lambda doit implémenter la Concurrence Réservée pour empêcher l'épuisement des ressources
1er décembre 2025 Recommandation PRÉVERSION (Préversion) La fonction Lambda doit être configurée pour les mises à jour automatiques de version de l'environnement d'exécution
1er décembre 2025 Recommandation PRÉVERSION (Aperçu) L'authentification doit être activée sur Azure Functions
1er décembre 2025 Recommandation PRÉVERSION (Version préliminaire) Des autorisations excessivement permissives ne doivent pas être configurées sur Function App, Web App ou Logic App
1er décembre 2025 Recommandation PRÉVERSION (Préversion) L’accès réseau restreint doit être configuré sur l’application de fonction exposée à Internet
21 octobre 2025 Alerte Mise à jour Les modifications suivantes s’appliquent à K8S. Node_* Alertes pour les clusters EKS et GKE. La propriété resourceIdentifiers référence l’identificateur du connecteur MDC : Microsoft. Security/securityConnectors/CONNECTOR_NAME/securityentitydata/EKS_CLUSTER_NAME au lieu de l’ID de ressource Arc Microsoft. Kubernetes/connectedClusters/ARC_CLUSTER_NAME. La propriété Entities référencera l’identificateur natif cloud arn :aws :eks :AWS_REGION :AWS_ACCOUNT :cluster/CLUSTER_NAME ou container.googleapis.com/projects/PROJECT_ID/zones/ZONE/clusters/CLUSTER_NAME, plutôt que l’ID de ressource Arc Microsoft. Kubernetes/connectedClusters/ARC_CLUSTER_NAME. Le champ resourceTypefield sous extendedProperties va passer de « Kubernetes – Azure Arc » au type de ressource « AWS EKS Cluster » ou « GCP GKE Cluster ».
10 septembre 2025 Alerte Dépréciation L’alerte suivante est déconseillée :
Nom de processus suspect détecté
1er juin 2025 Alerte Dépréciation à venir L’alerte suivante est déconseillée, car la méthode n’est plus prise en charge dans PowerZure :
* Utilisation de la fonction PowerZure pour maintenir la persistance dans votre environnement de Azure
15 mai 2025 Alerte Dépréciation à venir Les alertes suivantes seront déconseillées et ne seront pas disponibles via l’intégration XDR :
* Attaque DDoS détectée pour l’adresse IP publique
* Attaque DDoS atténuée pour l’adresse IP publique
Note : les alertes seront disponibles sur Defender for Cloud portail.
1er mai 2025 Alerte GA Les alertes IA ont été publiées en disponibilité générale avec la publication officielle du plan de disponibilité générale
20 avril 2025 Alerte PRÉVERSION (Version préliminaire) IA - Données sensibles suspectes mentionnées par votre ressource Azure AI, cela remplace l’alerte de détection de données sensibles précédente
29 avril 2025 Recommandation GA Role-Based Access Control doit être utilisé sur keyvault Services
20 avril 2025 Alerte PRÉVERSION IA - Anomalie suspecte détectée dans les données sensibles exposées par la ressource IA, cela remplace l’alerte d’exposition de données sensibles précédente
5 février 2025 Recommandation Dépréciation à venir Les recommandations suivantes seront abandonnées :
* Configurer Microsoft Defender pour le stockage (Classique) afin qu'il soit activé
* Configurer les Microsoft Defender de base pour que le stockage soit activé (surveillance des activités uniquement)
29 janvier 2025 Recommandation GA Nous avons renforcé davantage la recommandation Éviter d’exécuter des conteneurs en tant qu’utilisateur root.

Ce qui a changé.

Vous devez à présent spécifier au moins une plage pour la règle « Exécuter en tant que groupe ». Cette modification a été nécessaire pour garantir que les conteneurs n’ont pas accès aux fichiers appartenant à la racine et aux groupes disposant d’autorisations pour le groupe racine.
13 janvier 2025 Alerte PRÉVERSION IA – Accès à partir d’une adresse IP suspecte
13 janvier 2025 Alerte PRÉVERSION IA – Attaque suspecte du portefeuille
19 décembre 2024 Alerte GA Les alertes Stockage Azure suivantes sont GA :
Un blob malveillant a été téléchargé depuis un compte de stockage
Un jeton SAS inhabituel a été utilisé pour accéder à un compte de stockage Azure depuis une adresse IP publique
Opération externe suspecte vers un compte de stockage Azure avec un jeton SAS trop permissif
Accès externe suspect à un compte de stockage Azure avec un jeton SAS trop permissif
Accès public non authentifié inhabituel à un conteneur d’objets blob sensibles
Quantité inhabituellement élevée de données extraites d’un conteneur d’objets blob sensibles
Nombre inhabituel d’objets blob extraits d’un conteneur d’objets blob sensibles
Accès depuis un emplacement inhabituel à un conteneur d’objets blob sensibles
Accès depuis une application suspecte connue vers un conteneur d’objets blob sensibles
Accès depuis une adresse IP suspecte connue à un conteneur d’objets blob sensibles
Accès depuis un nœud de sortie Tor vers un conteneur d’objets blob sensibles
16 décembre 2024 Alerte PRÉVERSION IA – Accès à partir d’une adresse IP Tor
19 novembre 2024 Dépréciation GA Les recommandations de l’authentification multifacteur sont obsolètes, car Azure l’exige désormais.
Les recommandations suivantes sont obsolètes :
* Les comptes disposant d’autorisations de lecture sur les ressources Azure doivent être activés pour l’authentification multifacteur
* Les comptes disposant d’autorisations d’écriture sur les ressources Azure doivent être activés pour l’authentification multifacteur
* Les comptes disposant d’autorisations de propriétaire sur les ressources Azure doivent être activés pour l’authentification multifacteur
19 novembre 2024 Alerte PRÉVERSION IA - détection d’un agent utilisateur suspect
19 novembre 2024 Alerte PRÉVERSION Injection d’invite de contrebande ASCII détectée
30 octobre 2024 Alerte GA Extraction suspecte de clés de compte Azure Cosmos DB
30 octobre 2024 Alerte GA Le niveau d'accès d'un conteneur de blob de stockage sensible a été modifié pour autoriser l'accès public non authentifié
30 octobre 2024 Recommandation Dépréciation à venir Les recommandations de l’authentification multifacteur sont obsolètes, car Azure l’exige désormais.
Les recommandations suivantes seront déconseillées :
* Les comptes disposant d’autorisations de lecture sur les ressources Azure doivent avoir l'authentification multifacteur activée
* Les comptes disposant d’autorisations d’écriture sur les ressources Azure doivent avoir l'authentification multifacteur activée
* Les comptes disposant d’autorisations de propriétaire sur les ressources Azure doivent avoir l'authentification multifacteur activée
12 octobre 2024 Recommandation GA Le serveur flexible Azure Database pour PostgreSQL devrait avoir uniquement l'authentification Microsoft Entra activée
6 octobre 2024 Recommandation Mise à jour [Préversion] Les résultats de l’analyse de vulnérabilité des conteneurs exécutés dans GCP doivent être résolus
6 octobre 2024 Recommandation Mise à jour [Aperçu] Les conteneurs s’exécutant dans AWS doivent avoir les constatations de vulnérabilités résolues
6 octobre 2024 Recommandation Mise à jour [Preview] Les conteneurs exécutés sur Azure doivent voir les vulnérabilités détectées résolues
10 septembre 2024 Alerte PRÉVERSION Application IA\modèle\données corrompus ont dirigé une tentative de phishing vers un utilisateur
10 septembre 2024 Alerte PRÉVERSION URL de phishing partagée dans une application IA
10 septembre 2024 Alerte PRÉVERSION Tentative de phishing détectée dans une application IA
5 septembre 2024 Recommandation GA Les mises à jour système devraient être installées sur vos machines (alimentées par Gestionnaire de mise à jour Azure)
5 septembre 2024 Recommandation GA Les machines doivent être configurées pour rechercher régulièrement les mises à jour système manquantes

Contenu connexe

Pour plus d'informations sur les nouvelles fonctionnalités, consultez Quoi de neuf dans les fonctionnalités de Defender for Cloud.

  • Last updated on