Microsoft 365 Breach Console
Triez les compromissions soupçonnées de comptes Microsoft 365, avec une explication en langage clair de ce qui s’est passé et de la suite à donner.
À quoi sert la page
Microsoft 365 Breach Console est une page de la console Lavawall®, dans la section Microsoft 365. Lavawall est la plateforme de RMM, de sécurité et de conformité de ThreeShield, conçue et hébergée au Canada. À propos de cette fonctionnalité.
Lavawall surveille les connexions et l’activité de votre Microsoft 365 à la recherche de signes qu’un compte a été piraté. Plutôt que d’afficher chaque alerte, il regroupe les preuves connexes en incidents et ne place un incident dans Needs action que s’il s’appuie sur plusieurs types de preuves indépendants. Les schémas plus faibles vont dans Watchlist, et le bruit est retiré automatiquement.
Ouvrez un incident pour voir What happened, Why we flagged it et What to do next, suivis des preuves dans l’ordre où elles se sont produites. Des badges indiquent quand les propres systèmes de sécurité de Microsoft l’ont aussi signalé, quand un réseau masqué comme un RPV, Tor ou un mandataire est intervenu, et quand une analyse par IA est disponible.
Lorsque vous avez décidé, marquez l’incident comme Real threat, Normal activity ou Wrongly flagged. Lavawall peut mémoriser un schéma que vous marquez comme normal afin qu’il ne soit plus signalé. Les FSG peuvent consulter un sommaire des incidents de toutes les entreprises.
Ce que vous voyez
- Chiffres de sommaire : Needs action, Watchlist, Users affected, Noise removed (30d) et Resolved (7d). Cliquez sur un chiffre pour afficher cette liste.
- Filtres de file : Needs action, Watchlist, All open et Recently closed; Group by user; un ordre de tri; la recherche; et l’actualisation.
- Liste des incidents : une ligne par incident (ou par personne lorsque les incidents sont regroupés), avec le risque, des badges et un bouton d’investigation. Load more affiche les éléments plus anciens.
- Détails de l’incident : analyse par IA, What happened, Why we flagged it, What to do next, Full user timeline, Search everything for this user et la liste des preuves.
- Barre de décision : Remember this pattern as normal, Notes (optional), PDF report, Real threat, Normal activity et Wrongly flagged.
- Outils d’analyse et d’intervention : une section extensible qui regroupe les chronologies des utilisateurs, l’analyse des connexions, les adresses IP suspectes et les verrouillages de comptes.
Comment trier un incident
- Commencez par Needs action, trié selon Highest risk first.
- Cliquez sur le bouton d’investigation d’un incident.
- Lisez What happened et Why we flagged it, puis examinez les preuves dans l’ordre.
- Suivez les étapes de What to do next. Utilisez Full user timeline ou Search everything for this user pour obtenir plus de contexte.
- Choisissez une décision :
- Real threat : il s’agit d’un véritable problème de sécurité; lancez votre intervention.
- Normal activity : une personne a agi de façon légitime, par exemple en voyage ou sur un nouvel appareil.
- Wrongly flagged : la détection elle-même était erronée.
- Au besoin, cochez Remember this pattern as normal et ajoutez des Notes avant de décider.
Comment trouver un incident précis
- Choisissez All open ou Recently closed.
- Saisissez un utilisateur, un nom, un titre, un type, un pays ou une adresse IP dans la zone de recherche.
- Au besoin, changez le tri pour Newest activity first, Most evidence first, Highest confidence first ou User A→Z.
- Désactivez Group by user pour voir chaque incident sur sa propre ligne.
Comment partager un rapport d’incident
- Ouvrez l’incident.
- Cliquez sur PDF report pour ouvrir un rapport prêt à imprimer que vous pouvez enregistrer ou envoyer.
Conseils
- Une liste Needs action vide est une bonne nouvelle : seuls les incidents appuyés par plusieurs types de preuves y figurent.
- Un badge MS signifie que les systèmes de sécurité de Microsoft sont du même avis. Un badge Hidden network signifie que l’activité est passée par un RPV, Tor ou un mandataire.
- Utilisez Remember this pattern as normal pour une activité légitime récurrente, comme un lieu de voyage connu, afin de recevoir moins de fausses alertes.
- Pour verrouiller un compte ou révoquer des sessions, Lavawall a besoin d’un accès Read + Write. Réautorisez-le à partir du tableau de bord Microsoft 365 au besoin.
- Les heures sont affichées selon le fuseau horaire de votre navigateur.
Dépannage
- « Nothing needs action right now. »
- Aucun incident ne repose actuellement sur assez de preuves indépendantes. Consultez Watchlist pour des signaux plus faibles.
- « No incidents match this filter. »
- Effacez la zone de recherche ou choisissez une autre liste.
- « Microsoft 365 Not Connected. »
- Connectez d’abord Microsoft 365 pour cette entreprise.
- « Could not load this incident: please try again. »
- Actualisez la page et rouvrez l’incident.
Guides pratiques qui utilisent cette page
Articles connexes
Besoin d’aide?
Consultez le centre de soutien ou joignez notre équipe de soutien en nous indiquant la page où vous étiez :
- Clavardage : utilisez le bouton de clavardage dans le coin inférieur droit de cette page pour joindre notre équipe tout de suite. Là où le consentement aux témoins est requis, le clavardage démarre après votre acceptation (paramètres des témoins).
- Courriel : envoyez un message à notre équipe de soutien par la page de contact. Il est lu directement par une personne.
- Téléphone : AB : 1-403-538-5053, C.-B. : 1-778-731-1339, ON : 1-289-724-8829, É.-U. : 1-406-988-7333, R.-U. : +44 20 3695 9786.
Les noms, entreprises, appareils et chiffres des images sont des exemples. Les autres noms de produits et d’entreprises sont des marques de commerce de leurs propriétaires respectifs.