Intégrer EASM à votre pile de sécurité : Sentinel, Copilot et au-delà

By Mirko Peters · 2026-08-13

Bienvenue dans cette nouvelle plongée au cœur de l’univers en constante évolution de la sécurité cloud et de l’architecture Microsoft 365. Dans notre série de podcasts, nous répétons sans cesse que les opérations de sécurité modernes exigent une vision globale de votre environnement numérique…

Automatically translated with AI from the original post. Read the English original

Bienvenue dans cette nouvelle plongée au cœur de l’univers en constante évolution de la sécurité cloud et de l’architecture Microsoft 365. Dans notre série de podcasts, nous répétons sans cesse que les opérations de sécurité modernes exigent une vision globale de votre environnement numérique. Dans un épisode récent, nous avons détaillé les fondamentaux de la découverte des actifs exposés sur Internet. Si vous ne l’avez pas encore écouté, n’hésitez pas à consulter l’épisode associé, Microsoft Defender EASM - Simply Explained, dans lequel nous explorons comment les organisations peuvent changer en profondeur leur façon de considérer leur empreinte publique.

Comprendre ce qui se trouve sur l’Internet public est une avancée majeure, mais disposer d’un simple inventaire des actifs exposés ne suffit pas. La véritable valeur apparaît lorsque vous intégrez les informations de l’External Attack Surface Management (EASM) à l’ensemble de votre pile de sécurité. Dans cet article, nous approfondissons ces concepts et explorons comment Microsoft Defender EASM alimente Microsoft Sentinel, Log Analytics, Azure Data Explorer et Security Copilot en contexte essentiel, afin d’améliorer nettement votre posture de sécurité globale.

Présentation de l’External Attack Surface Management

Avant d’aborder l’intégration, posons brièvement le cadre du problème central. Les cadres de sécurité traditionnels sont essentiellement orientés vers l’intérieur. Les plateformes de gestion des informations et événements de sécurité, les outils de détection et de réponse sur les postes de travail et les scanners de vulnérabilités s’appuient généralement sur des agents installés sur les appareils gérés ou sur des analyses du réseau interne. Pourtant, les attaquants ne lancent pas leurs campagnes depuis votre réseau interne ; ils partent d’Internet.

Defender EASM comble cette lacune en fonctionnant comme un collecteur de renseignements plutôt que comme un outil de contrôle en ligne traditionnel, tel qu’un pare-feu ou un antivirus. Il cartographie en continu les domaines, sous-domaines, certificats SSL, adresses IP publiques et ports ouverts selon une perspective de l’extérieur vers l’intérieur. Mais découvrir ces actifs n’est que le début du parcours. Pour susciter un changement opérationnel significatif, ces informations externes doivent être acheminées vers les outils qu’utilisent chaque jour les analystes de votre Security Operations Center (SOC).

Comprendre la perspective externe face aux inventaires internes

Lorsque les équipes de sécurité constituent leurs inventaires d’actifs, elles s’appuient généralement sur les données issues des bases de gestion de configuration, de l’historique des tickets informatiques et des portails d’abonnements cloud. Malheureusement, ces inventaires internes souffrent notoirement de zones d’ombre dues au Shadow IT, aux campagnes marketing oubliées, aux environnements de test non surveillés et aux infrastructures héritées d’acquisitions.

Une perspective externe s’affranchit du bruit généré par les silos organisationnels internes. Peu lui importe quel service a déployé une charge de travail cloud ou quel prestataire a mis en place un portail public. Si un actif est accessible depuis un navigateur ou détectable par un scanner IP sur le web public, EASM le trouvera. En traduisant ces données brutes en observations structurées, les organisations peuvent enfin comparer ce qu’elles pensent être exposé avec ce qui est réellement accessible depuis l’extérieur.

Comment Microsoft Defender EASM découvre les actifs publics

Pour comprendre comment ces données s’intègrent au reste de votre pile de sécurité, il est utile de connaître le fonctionnement du moteur de découverte. La découverte part d’un point d’origine simple, comme un domaine d’entreprise principal, un numéro de système autonome ou un bloc d’adresses IP publiques connu. À partir de là, le système effectue une découverte récursive.

Il suit des pistes numériques : un domaine racine pointe vers un certificat, le certificat référence d’autres sous-domaines, ces sous-domaines résolvent vers des hôtes précis, et ces hôtes se trouvent sur des adresses IP publiques liées à des services web spécifiques. Au fil de la cartographie de ces relations, Defender EASM construit un graphe riche d’actifs. Exporter cette cartographie vers vos outils de sécurité en aval offre à vos analystes un contexte sans précédent lors d’une investigation.

Intégrer les informations EASM à Microsoft Sentinel

Microsoft Sentinel est le système nerveux central des opérations de sécurité modernes, puisqu’il ingère journaux, alertes et renseignements sur les menaces de l’ensemble de l’entreprise. Lorsque vous intégrez les informations de Defender EASM à Sentinel, vous comblez le fossé entre l’exposition externe et la télémétrie interne.

Imaginez qu'une alerte se déclenche dans Sentinel suite à des tentatives d'authentification anormales visant une application web. Si les données EASM sont ingérées dans votre espace de travail Sentinel, vos règles d'analyse et vos requêtes de corrélation peuvent déterminer instantanément si l'application web ciblée est un système de production officiellement validé ou un serveur de préproduction oublié, sans gestion, découvert lors de l'analyse de votre surface d'attaque externe. Cet enrichissement contextuel immédiat aide les analystes à trier les incidents plus rapidement, en distinguant les menaces prioritaires visant des actifs critiques du bruit généré par une infrastructure informatique fantôme (shadow IT) obsolète.

Exploiter Log Analytics et Azure Data Explorer pour les données EASM

Les grandes entreprises gèrent souvent des empreintes publiques massives, composées de milliers de domaines, de certificats et de plages d'adresses IP. L'analyse d'un tel volume de données de surface d'attaque nécessite des plateformes de données robustes. C'est là qu'interviennent Log Analytics et Azure Data Explorer.

En exportant les données d'inventaire et d'observation EASM vers des espaces de travail Log Analytics, les équipes d'ingénierie de la sécurité peuvent créer des classeurs personnalisés et des tableaux de bord de supervision. Vous pouvez suivre des indicateurs tels que le nombre de certificats SSL arrivant à expiration dans les trente prochains jours, le nombre de nouvelles adresses IP publiques non classifiées apparues cette semaine, ou les unités opérationnelles qui accumulent le plus grand nombre d'expositions externes à haut risque.

Pour les organisations opérant à très grande échelle, réparties sur plusieurs filiales internationales, Azure Data Explorer apporte la puissance nécessaire pour exécuter des requêtes complexes et ultra-rapides sur des millions de points de données historiques de surface d'attaque. Les architectes de sécurité peuvent mener des analyses de tendances sur plusieurs mois, voire plusieurs années, et suivre l'évolution de la posture externe au rythme de la croissance de l'entreprise, des fusions et des acquisitions.

Accélérer les investigations avec Security Copilot

À mesure que les outils de sécurité gagnent en sophistication, la charge cognitive des analystes SOC ne cesse d'augmenter. La rédaction de requêtes complexes en Kusto Query Language pour corréler les données des actifs externes avec les sources de journaux internes peut ralentir la réponse aux incidents en cours. C'est là que Microsoft Security Copilot transforme le flux de travail.

Security Copilot agit comme une interface en langage naturel couvrant l'ensemble de votre écosystème de sécurité, y compris vos données EASM. Un analyste qui traite un incident en cours peut poser à Copilot des questions formulées en langage courant, par exemple : "Affiche-moi toutes les adresses IP externes associées à notre marque principale qui disposent de ports de gestion à distance ouverts et d'alertes récentes de force brute dans Sentinel."

Copilot synthétise les données de posture externe issues de Defender EASM avec la télémétrie des menaces internes, et génère un rapport de situation complet en quelques secondes. Si les professionnels de la sécurité restent pleinement aux commandes, en interprétant les résultats et en exécutant les actions de remédiation, Copilot réduit considérablement le temps passé à naviguer entre des portails d'administration disparates.

Combiner EASM et Microsoft Security Exposure Management

Au-delà des outils SIEM et d'analyse traditionnels, Defender EASM joue un rôle essentiel au sein de Microsoft Security Exposure Management. Alors qu'EASM indique ce qui est visible depuis l'internet public, Security Exposure Management réunit les informations issues de plusieurs charges de travail, notamment la sécurité cloud, les postures d'identité, la conformité des terminaux et les surfaces d'attaque externes, au sein d'un score de sécurité unifié et d'un moteur de priorisation unique.

Lorsque vous combinez EASM avec des outils internes de gestion de la posture, vos équipes de sécurité peuvent prioriser les actions correctives en fonction du risque réel plutôt qu'en suivant des suppositions. Par exemple, un serveur web exposé découvert par EASM pourra être signalé comme présentant un risque élevé non seulement parce qu'il est accessible publiquement, mais aussi parce que Defender for Cloud signale une vulnérabilité critique non corrigée et que Microsoft Entra ID constate l'absence de contrôles d'authentification multifacteur appropriés. Cette vue à plusieurs niveaux garantit que les efforts de remédiation sont ciblés là où ils comptent le plus.

Bonnes pratiques pour bien démarrer et passer à l'action

L'intégration d'EASM dans l'ensemble de votre dispositif de sécurité est une stratégie opérationnelle continue, et non un projet de déploiement ponctuel. Pour réussir, suivez ces bonnes pratiques concrètes :

• Commencez par des points de départ fiables : Définissez votre périmètre de découverte initial à partir des domaines d'entreprise principaux, des marques officielles et des numéros ASN vérifiés. Évitez de vouloir tout couvrir dès le premier jour.
• Impliquez les équipes transverses : Les actifs externes concernent le marketing, l'ingénierie cloud, le développement et les prestataires externes. Partagez les résultats EASM avec ces unités opérationnelles afin d'attribuer avec précision la propriété des actifs.
• Automatisez les pipelines d’exportation : configurez des exportations de données continues depuis Defender EASM vers Log Analytics et Microsoft Sentinel afin que vos analystes SOC travaillent toujours avec des cartes de surface d’attaque à jour.
• Établissez des cadences de revue : mettez en place des revues opérationnelles régulières pour évaluer les nouvelles observations, éliminer les faux positifs ou les actifs qui ne vous appartiennent pas, et transformer les découvertes en tickets de remédiation concrets.

Conclusion

La visibilité est le fondement d’une défense efficace. Microsoft Defender EASM change le paradigme de la sécurité en permettant aux organisations de voir leur infrastructure à travers les yeux d’un attaquant externe. Toutefois, cloisonner ces informations en limite la valeur. En alimentant Microsoft Sentinel, Log Analytics, Azure Data Explorer et Security Copilot avec les données d’EASM, et en unifiant ces résultats au sein de Microsoft Security Exposure Management, vous créez une pile de sécurité cohérente et intelligente.

Pour en savoir plus sur les fondamentaux de la découverte des actifs externes et sur la manière de faire vos premiers pas dans la cartographie de votre empreinte publique, écoutez notre discussion complète dans l’épisode associé, Microsoft Defender EASM - Simply Explained. Retenez ce que vous avez appris aujourd’hui, choisissez trois domaines publics associés à votre organisation, et commencez dès aujourd’hui à poser les questions difficiles sur la propriété, la finalité et la remédiation.