Microsoft Defender : règle de réduction de la surface d’attaque pour les points de terminaison

By Mirko Peters · 2026-03-06 · Updated 2026-03-24

Renforcez la sécurité des points de terminaison grâce aux règles de réduction de la surface d’attaque. Auditez l’efficacité des règles ASR à l’aide de requêtes KQL avancées pour améliorer la détection et ajuster les exclusions.

Automatically translated with AI from the original post. Read the English original

L’audit des règles de réduction de la surface d’attaque joue un rôle essentiel dans le maintien de la posture de sécurité de votre organisation. Vous pouvez considérablement rationaliser ce processus en recourant à KQL avancé. Ce langage de requête puissant vous permet d’analyser les données plus efficacement, ce qui vous fait gagner du temps et améliore la précision. Grâce à KQL avancé, vous pouvez rapidement identifier les vulnérabilités et vous assurer de la conformité aux stratégies de sécurité. Cette approche renforce non seulement vos capacités d’audit, mais vous permet aussi de prendre des décisions éclairées concernant votre stratégie de sécurité.

Points clés

• Comprenez la structure de base des requêtes KQL pour améliorer vos compétences en audit.
• Utilisez des techniques de filtrage pour cibler des règles ASR spécifiques et les données pertinentes.
• Joignez des tables de données pour combiner les informations et obtenir une vue d’ensemble des audits ASR.
• Utilisez des fonctions comme count() et summarize pour analyser efficacement les tendances et les schémas.
• Mettez en place un calendrier d’audit régulier pour maintenir la conformité et la posture de sécurité.
• Documentez en détail vos constats afin de suivre les progrès et d’identifier les tendances dans le temps.
• Améliorez en continu vos processus d’audit en analysant les résultats et en sollicitant des retours.
• Traitez proactivement les lacunes de données pour garantir la fiabilité de vos données d’audit.

1. Les jointures entre espaces de travail sont pratiques et rapides — KQL avancé prend en charge les jointures entre plusieurs espaces de travail, ce qui permet aux audits ASR de corréler les événements des points de terminaison, les signaux de menaces et les données de configuration sans processus ETL lourd.
2. Les fonctions approximatives accélèrent les requêtes à grande échelle — Des fonctions comme approx_count_distinct et percentile_approx vous permettent de synthétiser de volumineuses données de télémétrie ASR, avec beaucoup moins de ressources de calcul et une réactivité quasi temps réel.
3. Les opérateurs de séries temporelles révèlent des tendances subtiles — Des opérateurs comme make-series, series_fir et series_decompose aident à détecter la dérive progressive des règles ASR et les exceptions de stratégie récurrentes que de simples filtres ne permettent pas de repérer.
4. L’enrichissement des entités est intégré — KQL peut enrichir à la volée les données d’audit ASR avec des renseignements sur les menaces, l’inventaire des appareils et les attributs d’identité, et produire des alertes contextualisées sans pipelines d’enrichissement distincts.
5. Le rendu graphique réduit les faux positifs — L’utilisation directe de render timechart, barchart et heatmap dans les requêtes aide les auditeurs à repérer rapidement les détections de règles ASR anormales qui méritent une investigation, par opposition au bruit de fond.
6. Les limites de requête et le contrôle des coûts sont précis — KQL expose des contrôles au moment de la requête (comme take, limit et row_count_between) ainsi que des diagnostics de requête, afin que les auditeurs puissent limiter l’utilisation des ressources tout en extrayant des informations ASR exploitables.
7. Détection avancée de motifs avec regex et sequence — La combinaison de regex, de mv-expand et de l’opérateur sequence permet d’identifier des schémas d’attaque complexes en plusieurs étapes dans les journaux ASR, que de simples comptages d’événements manqueraient.

Mise en place d’un environnement KQL avancé

Prérequis KQL

Avant de plonger dans KQL avancé, vous devez remplir certaines conditions préalables. Tout d’abord, assurez-vous d’avoir accès à Microsoft Defender, car il fournit les données nécessaires à vos requêtes. Une familiarité avec les concepts de programmation de base vous aidera également à mieux comprendre KQL. Voici les principaux prérequis :

• Accès à Microsoft Defender : cet outil est indispensable pour collecter les données de sécurité.
• Compréhension de base des requêtes de données : savoir lire et écrire des requêtes simples rendra votre apprentissage plus fluide.
• Familiarité avec les concepts de sécurité : comprendre des notions comme les vulnérabilités et la conformité renforcera votre capacité à auditer efficacement.

Outils pour KQL

Pour travailler efficacement avec KQL, vous avez besoin des bons outils. Voici quelques outils recommandés pour bien démarrer :

• Kusto Query Explorer : il s’agit d’un outil web qui vous permet d’écrire et de tester vos requêtes KQL en temps réel.
• Azure Data Explorer : cette plateforme offre un environnement robuste pour exécuter des requêtes KQL sur de grands volumes de données.
• Portail Microsoft Defender : utilisez ce portail pour accéder aux données de sécurité et aux analyses, que vous pouvez exploiter à l’aide de KQL.

Configuration de votre environnement

Une configuration correcte de votre environnement est essentielle pour obtenir des performances optimales avec KQL. Suivez ces étapes pour le préparer efficacement :

1. Installer les outils nécessaires : commencez par installer Kusto Query Explorer et vérifiez que vous disposez d’un accès à Microsoft Defender.
2. Configurer les sources de données : connectez vos outils aux sources de données pertinentes. Cette connexion vous permet de récupérer les données nécessaires à vos requêtes.
3. Optimiser les performances des requêtes : utilisez la fonction materialize pour accélérer vos requêtes en mettant en cache les résultats intermédiaires. L’ordre des opérateurs au sein d’une requête KQL influe fortement sur le résultat comme sur les performances. Structurez donc vos requêtes avec soin pour obtenir les meilleurs résultats.

En suivant ces étapes, vous posez des bases solides pour utiliser KQL avancé dans vos audits ASR. Cette configuration non seulement fluidifie votre processus d’audit, mais améliore aussi la précision de vos conclusions.

Requêtes KQL pour les audits ASR

Structure de base d’une requête

Lorsque vous commencez à écrire des requêtes KQL pour les audits ASR, il est essentiel de comprendre leur structure de base. Une requête KQL se compose généralement de plusieurs éléments qui travaillent ensemble pour extraire les données souhaitées. Voici les principaux composants d’une requête KQL :

• Nom de la table : il indique la source de données à interroger. Pour les audits ASR, vous pouvez utiliser des tables comme DeviceEvents ou AlertEvidence.
• Opérateurs : ce sont des commandes qui effectuent des actions sur les données. Les opérateurs courants incluent where, project et summarize.
• Filtres : vous pouvez appliquer des filtres pour affiner vos résultats. Par exemple, vous pouvez filtrer par date ou par règles ASR spécifiques.
• Fonctions : les fonctions permettent de manipuler les données. Vous pouvez les utiliser pour compter des occurrences ou calculer des moyennes.

La fonctionnalité Advanced Hunting de Microsoft Defender for Endpoint vous permet d’effectuer une analyse détaillée des règles ASR grâce à des requêtes KQL personnalisées. Ces requêtes peuvent fournir des informations sur les détections de règles, les appareils concernés et l’impact sur les applications.

Composants d’une requête KQL

Voici un exemple simple de structure de requête KQL :

DeviceEvents
| where ActionType == "ASRRuleTriggered"
| project DeviceName, Timestamp, ActionType

Dans cet exemple, vous interrogez la table DeviceEvents, filtrez les événements dont le type d’action est « ASRRuleTriggered » et ne projetez que le nom de l’appareil, l’horodatage et le type d’action.

Fonctions courantes dans KQL

KQL propose plusieurs fonctions qui renforcent vos capacités d’interrogation. Voici quelques fonctions courantes que vous devriez connaître :

• count() : cette fonction compte le nombre d’enregistrements répondant à vos critères.
• distinct() : utilisez cette fonction pour renvoyer les valeurs uniques d’une colonne donnée.
• summarize : cette fonction agrège les données selon les critères spécifiés, ce qui permet d’analyser les tendances dans le temps.

Techniques de requête avancées

Une fois les bases maîtrisées, vous pouvez explorer les techniques KQL avancées pour extraire des informations plus détaillées des données d’audit ASR. Ces techniques vous aideront à mieux comprendre votre posture de sécurité.

Filtrer les données ASR

Le filtrage est essentiel lorsque vous souhaitez vous concentrer sur des aspects précis de vos données ASR. Vous pouvez utiliser plusieurs conditions dans votre clause where pour affiner vos résultats. Par exemple :

DeviceEvents
| where ActionType == "ASRRuleTriggered" and Timestamp > ago(30d)
| summarize Count = count() by DeviceName

Cette requête filtre les déclenchements de règles ASR des 30 derniers jours et résume le nombre de déclenchements par nom d’appareil.

Jointure de tables de données

La jointure de tables de données vous permet de combiner des informations provenant de sources différentes, pour une vue plus complète de vos audits ASR. Vous pouvez utiliser l’opérateur join pour fusionner des tables à partir d’un champ commun. Voici un exemple :

DeviceEvents
| join kind=inner (Alerts) on DeviceId
| where ActionType == "ASRRuleTriggered"
| project DeviceName, AlertSeverity, Timestamp

Dans cette requête, vous joignez la table DeviceEvents à la table Alerts sur le champ DeviceId. Vous pouvez ainsi identifier les alertes correspondant aux déclenchements de règles ASR.

En maîtrisant ces techniques KQL, de base comme avancées, vous pourrez nettement renforcer vos capacités d’audit des règles ASR. Vous serez en mesure d’extraire des informations pertinentes et de prendre des décisions éclairées concernant les mesures de sécurité de votre organisation.

Interpréter les résultats de l’audit ASR

Comprendre les formats de sortie

Lorsque vous exécutez des requêtes KQL, les formats de sortie peuvent varier selon les données interrogées. Comprendre ces formats vous aide à extraire des informations exploitables de vos audits ASR. Voici quelques aspects clés à prendre en compte :

• Le portail Microsoft Defender fournit des rapports détaillés sur les activités détectées. Vous pouvez suivre l’efficacité des règles de réduction de la surface d’attaque grâce à ces rapports.
• Des alertes sont générées lorsque les règles se déclenchent, vous offrant une visibilité immédiate sur les menaces potentielles.
• Vous pouvez consulter le journal des événements Windows. Plus précisément, filtrez sur l’ID d’événement 1121 dans le journal Microsoft-Windows-Windows Defender/Operational afin d’identifier les applications qui auraient été bloquées par les règles ASR.

Analyser les résultats ASR

Analyser les résultats de votre audit ASR est essentiel pour mesurer l’efficacité de vos mesures de sécurité. Voici comment mener une analyse approfondie :

1. Utilisez le mode audit pour recueillir des informations sur les stratégies ASR.
2. Accédez au portail Microsoft Defender et ouvrez « Rapports ».
3. Sous « Points de terminaison », sélectionnez « Règles de réduction de la surface d’attaque ».
4. Filtrez les règles pour afficher les indicateurs, en choisissant « Tous » afin d’obtenir des données complètes.
5. Analysez les « Détections en mode audit » pour évaluer la nécessité des actions qui auraient été bloquées.
6. Passez régulièrement en revue les tendances et les configurations pour vérifier que les appareils sont correctement paramétrés.
7. Utilisez la page « Ajouter des exclusions » pour gérer les occurrences spécifiques des règles ASR.

En suivant ces étapes, vous pourrez analyser efficacement les résultats de votre audit et affiner vos stratégies de sécurité.

Identifier les failles de sécurité

Identifier les failles de sécurité est une étape essentielle de votre processus d’audit ASR. Vous pouvez utiliser les informations obtenues grâce à vos requêtes KQL pour repérer les vulnérabilités de votre posture de sécurité. Voici quelques stratégies pour vous aider à identifier ces failles :

• Recherchez des schémas récurrents dans les données. Par exemple, si certains appareils déclenchent fréquemment les règles ASR, ils peuvent nécessiter des mesures de sécurité supplémentaires.
• Comparez les résultats de vos audits ASR dans le temps. Cette comparaison peut révéler si votre posture de sécurité s’améliore ou se dégrade.
• Utilisez des requêtes KQL avancées pour approfondir des incidents précis. Par exemple, vous pourriez exécuter une requête telle que DeviceEvents | where ActionType startswith 'Asr' afin d’obtenir des informations utiles à l’affinage de la stratégie.

En identifiant activement les failles de sécurité, vous pouvez prendre des mesures proactives pour renforcer la sécurité de votre organisation et réduire le risque de menaces potentielles.

Bonnes pratiques pour les audits ASR

Planification régulière des audits

Établir un calendrier d’audit régulier est essentiel pour maintenir l’efficacité de vos règles de réduction de la surface d’attaque. Vous devez réaliser des audits au minimum tous les trimestres. Cette fréquence vous permet de rester informé de toute évolution de votre paysage de sécurité. Voici quelques conseils pour établir votre calendrier d’audit :

• Fixez des dates précises : choisissez des jours précis chaque trimestre pour effectuer vos audits. Cette régularité vous aide à ne pas oublier la tâche et à la prioriser.
• Impliquez votre équipe : associez votre équipe de sécurité à la planification. Leur contribution peut aider à identifier les meilleurs moments pour les audits, en fonction de la charge de travail et des autres engagements.
• Utilisez des rappels automatiques : servez-vous des outils d’agenda pour programmer des rappels avant les prochains audits. L’automatisation réduit le risque d’oublier un audit.

Documenter les constats

Documenter vos constats lors des audits est indispensable pour suivre les progrès et repérer les tendances. Vous devez créer un format structuré pour votre documentation. Pensez à inclure les éléments suivants :

• Date de l’audit : notez la date à laquelle l’audit a eu lieu.
• Synthèse des constats : résumez les principaux constats, y compris les règles de réduction de la surface d’attaque déclenchées.
• Recommandations : formulez des recommandations concrètes à partir de vos constats. Cette étape garantit que vous traitez rapidement les problèmes identifiés.
• Actions de suivi : listez les actions de suivi requises et attribuez les responsabilités aux membres de l’équipe.

En tenant une documentation rigoureuse, vous constituez une ressource précieuse pour les audits à venir. Cette ressource vous permettra de comparer les résultats dans le temps et d’affiner vos stratégies de sécurité.

Stratégies d’amélioration continue

L’amélioration continue est essentielle à un audit efficace. Vous devez revoir régulièrement vos processus d’audit et les ajuster si nécessaire. Voici quelques stratégies pour renforcer vos audits ASR :

1. Analyser les tendances : Recherchez des schémas récurrents dans les résultats de vos audits. Identifier les problèmes qui reviennent vous aide à cibler les domaines à améliorer.
2. Solliciter des retours : Encouragez votre équipe à faire part de ses retours sur le processus d’audit. Ses observations peuvent conduire à des améliorations précieuses.
3. Rester informé : Suivez l’actualité des pratiques de sécurité et d’audit. Participez à des webinaires, lisez des articles et prenez part aux forums pour apprendre des autres professionnels du domaine.
4. Tester de nouvelles approches : N’hésitez pas à expérimenter de nouvelles techniques ou de nouveaux outils d’audit. Tester différentes méthodes peut révéler des moyens plus efficaces de mener vos audits.

En appliquant ces bonnes pratiques, vous pouvez renforcer vos audits ASR et consolider votre posture de sécurité globale. Des audits réguliers, une documentation rigoureuse et un engagement envers l’amélioration continue vous aideront à garder une longueur d’avance sur les menaces potentielles.

Défis courants des audits KQL

Dépannage des requêtes KQL

Lorsque vous travaillez avec KQL, vous pouvez rencontrer des difficultés qui freinent votre progression. Dépanner ces requêtes est indispensable pour mener des audits efficaces. Voici quelques problèmes courants et leurs solutions :

• Erreurs de syntaxe : Vérifiez les fautes de frappe et la syntaxe employée. KQL est sensible à la mise en forme. Assurez-vous d’utiliser les opérateurs et fonctions appropriés.
• Incompatibilités de types de données : Vérifiez que les types de données de vos requêtes correspondent à ceux attendus dans la base de données. Par exemple, comparer une chaîne de caractères à un nombre générera des erreurs.
• Problèmes de performance : Si vos requêtes s’exécutent lentement, pensez à les optimiser. Utilisez la fonction summarize pour réduire la quantité de données traitées. Filtrez également vos données le plus tôt possible dans la requête.

Astuce : Testez toujours vos requêtes par segments plus petits. Cette approche vous permet d’isoler plus efficacement les problèmes.

Traiter les lacunes de données

Les lacunes de données peuvent poser des difficultés importantes lors de vos audits. Des données manquantes ou incomplètes peuvent conduire à des conclusions erronées. Voici des stratégies pour y remédier :

1. Contrôles réguliers des données : Planifiez des contrôles réguliers de vos sources de données. Assurez-vous que tous les flux de données pertinents fonctionnent correctement.
2. Utilisation des alertes : Configurez des alertes pour les points de données critiques. Cela vous permet de réagir rapidement si des données deviennent indisponibles.
3. Vérification croisée : Comparez les données de votre audit avec d’autres sources. Cette pratique vous aide à identifier les écarts et à compléter les informations manquantes.

En traitant proactivement les lacunes de données, vous renforcez la fiabilité de vos données d’audit. Cette fiabilité est essentielle pour prendre des décisions de sécurité éclairées.

Garantir la conformité ASR

Garantir la conformité aux règles ASR est indispensable au maintien de la posture de sécurité de votre organisation. Voici les mesures à prendre pour assurer cette conformité :

• Audits réguliers : Réalisez des audits fréquemment pour vérifier que les règles ASR sont correctement appliquées. Des contrôles réguliers vous permettent de repérer tout écart par rapport à la conformité.
• Documentation : Tenez des registres détaillés de vos audits. Consigner les constats et les actions menées garantit la responsabilité et fournit une référence pour les audits futurs.
• Formation : Formez votre équipe aux règles ASR et à l’utilisation de KQL. Une équipe bien informée est mieux équipée pour maintenir la conformité et réagir aux menaces de sécurité.

En vous concentrant sur ces domaines, vous renforcez vos efforts de conformité et améliorez votre stratégie de sécurité globale.

En résumé, l’utilisation d’KQL avancé pour les audits ASR améliore considérablement votre processus d’audit de sécurité. Vous pouvez rationaliser votre analyse et identifier les vulnérabilités plus efficacement. Voici quelques points clés :

Appliquez ces techniques pour améliorer en continu vos processus d’audit. Restez proactif dans l’affinement de vos mesures de sécurité. La sécurité de votre organisation en dépend' !

Questions fréquentes

Qu’est-ce qu’Advanced KQL ?

Advanced KQL (Kusto Query Language) est un langage de requête puissant utilisé pour analyser de grands volumes de données dans Microsoft Defender. Il vous aide à extraire efficacement des informations à partir des données de sécurité.

Comment commencer à utiliser KQL ?

Commencez par accéder à Microsoft Defender et familiarisez-vous avec Kusto Query Explorer. Entraînez-vous à écrire des requêtes simples pour bien maîtriser le langage.

Puis-je automatiser les requêtes KQL ?

Oui, vous pouvez automatiser les requêtes KQL à l’aide d’Azure Logic Apps ou de Power Automate. Ces outils vous permettent de planifier des requêtes et de recevoir des alertes selon des conditions précises.

Quelles sont les erreurs courantes en KQL ?

Les erreurs courantes incluent les fautes de syntaxe, les incohérences de types de données et les problèmes de performances. Vérifiez toujours la structure de vos requêtes et assurez-vous que les types de données correspondent à vos attentes.

À quelle fréquence faut-il auditer les règles ASR ?

Vous devriez réaliser des audits ASR au moins une fois par trimestre. Des audits réguliers vous permettent de rester informé de votre posture de sécurité et de vérifier la conformité aux règles ASR.

Quels outils prennent en charge KQL ?

Les principaux outils pour KQL sont Kusto Query Explorer, Azure Data Explorer et le portail Microsoft Defender. Ils fournissent des environnements pour écrire et tester vos requêtes.

Comment améliorer mes compétences en KQL ?

Pour améliorer vos compétences en KQL, pratiquez régulièrement, suivez des sessions de formation et participez à des forums en ligne. Échanger avec la communauté peut apporter des idées et des conseils précieux.

Utiliser la chasse avancée et Defender : KQL avancé pour les audits ASR

Qu’est-ce que « KQL avancé pour les audits ASR » et quelle est sa place dans la chasse avancée ?

« KQL avancé pour les audits ASR » désigne des requêtes Kusto Query Language conçues pour faire ressortir des informations détaillées sur les règles de réduction de la surface d’attaque (ASR) et leurs événements d’audit. Dans la chasse avancée de Defender comme dans la chasse avancée de Microsoft 365 Defender, ces requêtes aident les équipes de threat hunting et les opérateurs de sécurité à identifier les appareils dont les règles sont en mode audit, les listes d’appareils concernés, les déploiements de stratégies via Intune et les activités potentiellement malveillantes signalées par Microsoft Defender for Endpoint.

Comment vérifier que les règles ASR sont en mode audit à l’aide de requêtes de chasse ?

Utilisez les requêtes de chasse avancée de Defender pour extraire les rapports sur les règles et les événements d’audit indiquant si les règles sont activées et dans quel mode (audit ou blocage). Les requêtes KQL typiques, qui font ressortir des informations détaillées, joignent les rapports sur les règles ASR aux tables d’appareils et d’événements. Elles permettent de confirmer les règles en audit, d’afficher les événements des 30 derniers jours et de vérifier les résultats d’audit de différentes manières, notamment par recoupement avec les stratégies Intune et la télémétrie de Microsoft Defender XDR.

Puis-je créer une détection personnalisée pour les événements ASR avec Microsoft 365 Defender ?

Oui, vous pouvez rédiger des détections personnalisées et des règles de détection dans Microsoft 365 Defender à l’aide de requêtes de chasse avancée. Les requêtes KQL qui font ressortir des informations détaillées sur les vecteurs d’attaque et l’activité des logiciels malveillants vous permettent de configurer une détection personnalisée pour signaler les événements de règles répétés, les exclusions ou les événements d’audit suspects que Microsoft recommande de surveiller. Vous pouvez ensuite transformer ces détections en rapports sur les règles ou en playbooks de réponse automatisée.

Comment signaler l’activité ASR et générer des rapports sur les règles ASR à des fins de conformité ?

Générez un rapport sur les règles de réduction de la surface d’attaque et des rapports sur les règles ASR en interrogeant les règles de détection et les tables de chasse avancée de Defender, puis en exportant les événements des 30 derniers jours ou sur des plages de dates personnalisées. Utilisez l’API ou les fonctionnalités de génération de rapports intégrées à Microsoft 365 pour créer des tableaux de bord présentant les règles activées, les règles en mode audit, le nombre d’appareils concernés et les tendances. Ces éléments sont utiles pour optimiser les règles ASR et gérer leur déploiement dans Intune et sur les appareils locaux.

Quelles sont les méthodes courantes pour vérifier l’audit et optimiser les règles ASR à partir des résultats de requêtes ?

Plusieurs méthodes permettent de vérifier l’audit : examiner les événements d’audit, comparer les règles d’audit entre les appareils, contrôler les stratégies Intune et l’état de leur déploiement, et mener une chasse aux menaces à l’aide de requêtes de chasse avancée afin de vérifier que le mode audit ne laisse pas passer de comportements malveillants. Exploitez ces résultats pour décider entre audit et blocage, ajoutez des exclusions si nécessaire, et optimisez les règles ASR en ajustant les règles de protection standard ou en mettant en œuvre des règles de détection supplémentaires.

Comment effectuer une chasse aux menaces avec KQL avancé dans Defender XDR et Microsoft Sentinel ?

Rédigez des requêtes de chasse avancée qui pivotent entre Defender for Endpoint, les données de Microsoft Defender XDR et les journaux de Microsoft Sentinel. Corrélez les événements d’audit ASR avec la télémétrie des terminaux, les détections de logiciels malveillants et les indicateurs réseau afin de faire ressortir les schémas suspects. Cette approche permet de mener une chasse aux menaces et de déterminer si les événements d’audit correspondent à des logiciels légitimes, nécessitent des exclusions ou révèlent de véritables tentatives d’attaque exigeant une remédiation rapide.

Que faut-il inclure dans les requêtes pour faire apparaître les appareils concernés et les détails propres à chaque règle ?

Incluez des champs tels que DeviceId, DeviceName, Timestamp, ActionType, RuleId, RuleName et DetectionSource dans votre KQL. Joignez les rapports ou événements des règles ASR aux tables d’inventaire des appareils et d’inscription Intune afin d’afficher la liste des appareils concernés, les règles activées par appareil et l’état de chaque règle, en mode audit ou blocage. Un KQL qui restitue des informations détaillées facilite la priorisation des actions de remédiation et la mise à jour des rapports sur les règles.

À quelle fréquence faut-il exécuter les requêtes de chasse avancée, et sur quelle période remonter (par exemple 30 jours) ?

Exécutez les requêtes de chasse en continu ou selon un planning adapté à votre modèle de menace ; une base de référence courante consiste à analyser les 30 derniers jours afin de repérer les tendances et les événements récurrents. Utilisez des requêtes planifiées dans Microsoft 365 Defender ou via l’API pour automatiser les rapports sur les règles, et ajustez les fenêtres d’analyse selon les besoins de la réponse aux incidents ou lorsque vous testez des règles en mode audit, afin de disposer de télémétrie suffisante avant de passer en mode blocage.

Quelle est l’incidence des exclusions et du mode blocage sur les audits ASR, et que doivent prendre en compte les requêtes ?

Les exclusions et le mode blocage modifient le comportement des règles ASR : les exclusions suppriment les alertes pour les applications légitimes connues, tandis que le mode blocage applique la prévention. Les requêtes de chasse doivent tenir compte des exclusions en filtrant ou en signalant les processus exclus, et inclure des champs indiquant la source de la stratégie (Intune, stratégie locale). Cela permet d’interpréter correctement les événements d’audit et de vérifier que le passage du mode audit au mode blocage ne perturbe pas de manière inattendue des applications critiques pour l’activité.

Où en savoir plus sur l’apprentissage de KQL et la création de requêtes de chasse avancée efficaces pour les règles ASR ?

Commencez par les modules Microsoft Learn consacrés à la chasse avancée dans Defender et à la chasse avancée dans Microsoft 365 Defender, puis entraînez-vous à écrire du KQL qui fait ressortir des informations détaillées, à l’aide de jeux de données d’exemple et d’événements réels des règles ASR. Combinez les ressources de la documentation de Microsoft Defender for Endpoint, les recommandations de Microsoft Defender sur la réduction de la surface d’attaque et les requêtes de chasse partagées par la communauté afin de développer vos compétences en chasse aux menaces, en rapports sur les règles et en gestion efficace des règles ASR.

Que faire en cas de lacunes dans les données ?

Si vous constatez des lacunes dans les données, effectuez régulièrement des contrôles sur vos sources de données. Configurez des alertes pour les points de données critiques afin de réagir rapidement lorsqu’une donnée devient indisponible.