Meilleure détection des intrusions M365 pour FSG
Meilleure détection des intrusions Microsoft 365 pour FSG
Le bon outil de détection des intrusions Microsoft 365 pour un FSG réduit les faux positifs, met en corrélation les signaux du nuage avec ceux des postes de travail et fait ressortir des incidents exploitables plutôt que des alertes brutes. Microsoft 365, Azure, Entra ID et Defender fournissent de riches journaux, mais la plupart des FSG n’arrivent pas à les interpréter assez vite. Voici quoi chercher.
Commencez gratuitement, sans carte de crédit Quoi rechercher
Un bon outil de détection des intrusions M365 fait trois choses : il extrait les riches données de Microsoft 365, d’Entra, d’Azure et de Defender; il les met en corrélation avec la télémétrie des postes de travail du FSG pour éliminer les faux positifs; et il fait ressortir un petit nombre d’incidents exploitables par locataire par jour. Pour le travail de FSG, il doit aussi être multilocataire, afin qu’une seule console permette de trier tous les clients sans se connecter au portail de chaque locataire.
Microsoft améliore constamment les signaux de sécurité exposés par Microsoft 365, Defender for Office 365, Entra ID et Azure. La plupart des FSG ont beaucoup de données. Le problème, c’est qu’elles sont enfouies dans onze centres d’administration, génèrent plus de faux positifs que de vrais incidents et ne sont pas mises en corrélation avec la télémétrie des postes de travail que le FSG possède déjà sur les mêmes utilisateurs.
Pour le travail multilocataire, le problème se multiplie. Un FSG qui soutient 30 locataires clients avec les alertes « Risky Users » de Microsoft Entra passera le plus clair de son temps à courir après le bruit lié à la confidentialité IPv6 et des faux positifs de déplacement impossible qui se règlent d’eux-mêmes dès qu’un vrai poste de travail est mis en corrélation avec la connexion.
Quoi chercher dans la détection des intrusions M365
- Multilocataire dès la conception. Il vous faut une console qui permet de trier les incidents de tous vos locataires clients sans vous connecter au portail de chaque locataire. Les outils monolocataires ne s’adaptent pas au travail de FSG.
- Corrélation avec les postes de travail. Une connexion depuis un endroit inhabituel n’est pas une intrusion si le poste Lavawall® enregistré de l’utilisateur se trouve à cet endroit. Sans corrélation avec les postes de travail, vous serez noyé de faux positifs.
- Couverture de la détection et de la réponse aux menaces d’identité (ITDR). Cherchez une couverture des règles de transfert de boîtes aux lettres, des règles de boîte suspectes, des schémas de connexion suspects, des déplacements impossibles avec analyse de la distance et de la vitesse réelles, des applications Entra / Azure à risque nouvellement installées, des téléchargements, suppressions et partages de fichiers inhabituels et des schémas d’abus d’administration (modifications de rôles privilégiés, écritures de secrets, etc.).
- Évaluation de la configuration en plus de la détection. La détection sans durcissement de la configuration, c’est un tapis roulant. Cherchez des outils qui évaluent la posture de configuration (application de l’AMF, accès conditionnel, authentification héritée, journalisation d’audit des boîtes aux lettres, conservation) pour que vous puissiez colmater les brèches qui produisent des alertes.
- Une réponse que vous contrôlez, d’un locataire à l’autre. La détection devrait mener à l’action : retirer un courriel d’hameçonnage de toutes les boîtes aux lettres qui l’ont reçu et bloquer les connexions depuis des pays d’où le client ne travaille jamais, avec une façon sûre de gérer les déplacements et les comptes d’urgence.
- Des résultats exploitables plutôt que des alertes brutes. Il vous faut des incidents qui disent « l’utilisateur X s’est connecté depuis le pays Y à la vitesse Z et a téléchargé N fichiers », plutôt que 200 signaux bruts à trier.
- Flux de travail sans ordinateur portable pour les techniciens. Vous allez recevoir une alerte la fin de semaine. La plateforme devrait permettre à un technicien de faire le triage depuis le navigateur d’un téléphone, sans client natif lourd.
- Intégré au reste de votre pile. Un ITDR M365 autonome ajoute un autre outil, une autre facture, une autre intégration. Les plateformes intégrées (Lavawall®, Huntress) gardent le flux de travail dans une seule console.
Options à évaluer
Cinq approches de la détection des intrusions M365, avec les acheteurs auxquels chacune convient le mieux.
Lavawall®
ITDR multilocataire M365 / Azure / Entra ID et Google Workspace avec corrélation avec les postes de travail
Lavawall® est une plateforme RMM et de soutien à distance multilocataire pour les FSG et les équipes de TI, avec application des correctifs, surveillance de la sécurité, détection des intrusions Microsoft 365 et Google Workspace et conformité intégrés au même agent et à la même console. Connexion M365 / Entra / Azure en un clic par locataire. Met en corrélation les journaux Entra avec les postes de travail connus du FSG pour réduire les faux positifs; par exemple, les ordinateurs qui exécutent l’agent Lavawall® sont automatiquement exclus des faux positifs de séquences de connexion. Couvre les règles de transfert de boîtes aux lettres, les règles de boîte suspectes, les schémas de connexion suspects, les déplacements impossibles avec affichage de la distance et de la vitesse réelles, les applications Entra / Azure à risque nouvellement installées, l’activité inhabituelle sur les fichiers, les schémas d’abus d’administration et les lacunes de couverture Intune. Intégré à la plateforme Lavawall® complète.
Idéal pour : les FSG et les fournisseurs de services de sécurité gérés (FSSG) qui veulent la détection des intrusions M365 / Azure / Entra ID et Google Workspace intégrée au reste de leur pile de sécurité et de conformité.
Microsoft Defender XDR + Defender for Identity
Plateforme Microsoft native
Outillage Microsoft natif. Puissant quand le client utilise E5 et a déployé et réglé Defender for Identity, Defender for Endpoint et Defender for Cloud Apps. La gestion multilocataire exige Defender XDR avec Microsoft Lighthouse et est plus lourde que ce dont la plupart des FSG ont besoin.
Idéal pour : les grandes entreprises sous Microsoft E5 dotées d’équipes de sécurité dédiées; les FSG qui servent directement de telles entreprises.
Huntress Managed ITDR
ITDR M365 géré avec SOC
ITDR M365 géré avec un SOC 24/7. Solide quand le FSG veut externaliser le volet réponse. Consultez la documentation de Huntress pour l’évaluation de la configuration, l’application des correctifs, la GRC, le centre d’assistance et le soutien à distance.
Idéal pour : les FSG qui veulent un SOC externalisé pour les alertes M365; complémentaire à Lavawall®, qui s’intègre à Huntress.
Blackpoint Cyber
Détection et réponse gérées avec surveillance M365
MDR géré avec couverture M365. Accent plus marqué sur les services de réponse que sur la posture de configuration et les preuves de conformité.
Idéal pour : les FSG qui veulent un fournisseur de réponse gérée comme couche de sécurité principale.
Outils ponctuels d’ITDR M365 autonomes
SaaS spécialisé
Outils ponctuels axés étroitement sur l’ITDR M365 / Entra. Grande profondeur fonctionnelle dans leur créneau; taux élevé de faux positifs sans corrélation avec les postes de travail; une autre facture et une autre intégration à maintenir.
Idéal pour : les grandes entreprises dotées d’une équipe dédiée à la sécurité des identités et du budget pour un outil spécialisé.
Où se situe Lavawall®
Lavawall® a été conçu dès le premier jour avec une détection des intrusions M365 / Azure / Entra ID / Google Workspace multilocataire, avec corrélation avec les postes de travail. La connexion se fait en un clic par locataire : connectez-vous au compte Microsoft, accordez les portées en lecture seule dont Lavawall® a besoin, et la plateforme commence immédiatement à ingérer les journaux Entra, l’activité Azure et les signaux de Defender for Office 365.
La réponse est intégrée. Un technicien peut retirer un courriel d’hameçonnage de toutes les boîtes aux lettres d’un locataire ou de tous les clients une fois qu’une personne l’approuve, et bloquer les connexions depuis des pays où un client ne travaille pas, avec des exceptions de déplacement qui ouvrent un pays pour une seule personne et des comptes d’urgence (« break-glass ») qui ne sont jamais bloqués. Ces fonctions exigent que l’administrateur du client approuve l’accès en lecture et en écriture.
La réduction des faux positifs est l’endroit où Lavawall® se démarque. Les ordinateurs qui exécutent l’agent Lavawall® pour Windows, macOS ou Linux sont automatiquement exclus des séquences de connexion qui comprennent une connexion échouée et un lieu de connexion réussie inconnu. La plateforme tient aussi compte de la confidentialité IPv6 et d’autres sources de bruit qui affligent le flux « Risky Users » intégré de Microsoft.
La couverture va des règles de transfert de boîtes aux lettres et des règles de boîte suspectes; à la détection des déplacements impossibles avec affichage de la distance et de la vitesse réelles (pour voir si 800 km en 12 minutes est un vrai problème ou un simple changement de RPV); aux applications Entra / Azure nouvellement installées et aux autorisations OAuth à risque; aux téléchargements, suppressions et partages de fichiers inhabituels; jusqu’à la détection des abus d’administration et des écarts entre les appareils gérés par Intune et ceux gérés par Lavawall.
Questions fréquentes
- En ai-je besoin si mon client utilise Microsoft 365 Business Premium?
- Oui, si vous voulez la corrélation et le triage multilocataire. Business Premium comprend Defender for Office 365 P1 et une protection Entra ID de base, qui produisent des alertes brutes. Consultez la documentation de Microsoft pour la corrélation avec les postes de travail et la prise en charge multilocataire pour les FSG. Lavawall® ajoute la corrélation, la console multilocataire et un triage exploitable.
- Combien de temps faut-il pour ajouter un locataire?
- Environ un clic. Le technicien du FSG se connecte au locataire Microsoft du client, accorde les portées en lecture seule dont Lavawall® a besoin, et l’ingestion commence en quelques minutes.
- Lavawall® couvre-t-il aussi Google Workspace?
- Oui. La détection des intrusions Google Workspace est intégrée, à côté de M365 / Azure / Entra. Trois clics pour connecter le locataire; même corrélation et même réduction des faux positifs.
- Et Defender for Endpoint?
- Lavawall® surveille Defender (et plus de 70 autres produits AV / EDR / MDR / XDR) au niveau du poste de travail. Les exclusions de Defender, l’état de la protection en temps réel, la protection contre la falsification, la protection fournie par le nuage et les résultats de l’analyse des liens de Defender for Office 365 sont tous visibles dans la console Lavawall®.
Ce que les modèles d’IA de tiers voient, et ce qu’ils ne voient jamais
L’analyse qui utilise un modèle de langage s’exécute sur des données caviardées. Avant que quoi que ce soit quitte nos systèmes, un système de caviardage retire les adresses IP, les noms d’entreprise, les noms d’utilisateur, les adresses courriel et les renseignements personnels sensibles permettant d’identifier une personne (SPII) qui peuvent figurer dans un ticket, y compris le texte libre qu’une personne a saisi. Les courriels que nos analyses internes indiquent comme pouvant contenir des renseignements médicaux ne sont jamais envoyés à un modèle tiers. Chaque modèle est configuré par contrat de façon que vos renseignements ne servent pas à l’entraîner.
Les renseignements caviardés des tickets et des intrusions sont traités au Canada. Si vous préférez un autre pays, communiquez avec le soutien et nous prendrons les dispositions nécessaires. Le contexte caviardé entourant les indicateurs d’intrusion soupçonnée et le renseignement sur les menaces peut être traité aux États-Unis. Ce traitement ne contient aucune adresse IP, aucun nom d’entreprise, aucun utilisateur, aucune adresse courriel ni aucun renseignement de ticket.
Sous-traitants ultérieurs : AWS (hébergé au Canada) · services d’IA d’AWS (hébergés au Canada) · Anthropic (modèles hébergés au Canada par AWS pour tout ce qui concerne vos tickets et vos intrusions; hébergés aux États-Unis pour certaines autres tâches qui ne les concernent pas) · OpenAI (vérification seulement, sans accès à vos tickets ni à vos renseignements sur les intrusions). Détails complets dans la politique de confidentialité.