Stratégies d’alerte dans Microsoft 365

Vous pouvez utiliser des stratégies d’alerte et le tableau de bord d’alerte dans le portail de conformité Microsoft Purview ou le portail Microsoft Defender pour créer des stratégies d’alerte, puis afficher les alertes générées lorsque les utilisateurs effectuent des activités qui correspondent aux conditions d’une stratégie d’alerte. Il existe plusieurs stratégies d’alerte par défaut qui vous aident à surveiller les activités telles que l’attribution de privilèges d’administrateur dans Exchange Online, les attaques par programme malveillant, les campagnes de hameçonnage et les niveaux inhabituels de suppressions de fichiers et de partage externe.

Les politiques d'alerte vous permettent de catégoriser les alertes déclenchées par une politique, d'appliquer cette politique à tous les utilisateurs de votre organisation, de définir un niveau de seuil pour le déclenchement d'une alerte et de décider si vous souhaitez recevoir des notifications par courriel lorsque des alertes sont déclenchées. Il existe également une page Alertes dans laquelle vous pouvez afficher et filtrer les alertes, définir un état d’alerte pour vous aider à gérer les alertes, puis ignorer les alertes après avoir traité ou résolu l’incident sous-jacent.

Fonctionnement des stratégies d’alerte

Voici une vue d’ensemble rapide du fonctionnement des stratégies d’alerte et des alertes déclenchées lorsque l’activité de l’utilisateur ou de l’administrateur correspond aux conditions d’une stratégie d’alerte.

1. Un administrateur de votre organisation crée, configure et active une stratégie d’alerte à l’aide de la page Stratégies d’alerte du portail de conformité ou du portail Microsoft Defender. Vous pouvez également créer des stratégies d’alerte à l’aide de l’applet de commande New-ProtectionAlert dans PowerShell Security & Compliance.

   Pour créer des stratégies d’alerte, vous devez disposer du rôle Gérer les alertes ou Configuration de l’organisation dans le portail de conformité ou le portail Defender.

   Notes

   Il faut jusqu’à 24 heures après la création ou la mise à jour d’une stratégie d’alerte avant que les alertes puissent être déclenchées par la stratégie. Cela est dû au fait que la stratégie doit être synchronisée avec le moteur de détection des alertes.

2. Un utilisateur effectue une activité qui correspond aux conditions d’une stratégie d’alerte. En cas d’attaques par programme malveillant, les messages électroniques infectés envoyés aux utilisateurs de votre organisation déclenchent une alerte.

3. Microsoft 365 génère une alerte qui s’affiche sur la page Alertes du portail de conformité ou du portail Defender. En outre, si les notifications par e-mail sont activées pour la stratégie d’alerte, Microsoft envoie une notification à une liste de destinataires. Les alertes qu’un administrateur ou d’autres utilisateurs peuvent voir dans la page Alertes sont déterminées par les rôles attribués à l’utilisateur. Pour plus d’informations, consultez Autorisations RBAC requises pour afficher les alertes.

4. Un administrateur gère les alertes dans le portail de conformité Microsoft Purview. La gestion des alertes consiste à attribuer un état d’alerte pour faciliter le suivi et la gestion de toute investigation.

Paramètres de stratégie d’alerte

Une politique d'alerte consiste en un ensemble de règles et de conditions qui définissent l'activité de l'utilisateur ou de l'administrateur qui génère une alerte, une liste d'utilisateurs qui déclenchent l'alerte s'ils effectuent l'activité, et un seuil qui définit combien de fois l'activité doit se produire avant qu'une alerte soit déclenchée. Vous classez également la stratégie et lui affectez un niveau de gravité. Ces deux paramètres vous aident à gérer les stratégies d’alerte (et les alertes déclenchées lorsque les conditions de stratégie sont mises en correspondance), car vous pouvez filtrer sur ces paramètres lors de la gestion des stratégies et de l’affichage des alertes dans le portail de conformité Microsoft Purview. Par exemple, vous pouvez afficher les alertes qui correspondent aux conditions de la même catégorie ou afficher les alertes avec le même niveau de gravité.

Pour afficher et créer des stratégies d’alerte :

• Portail de conformité Microsoft Purview :

  Accédez au portail de conformité, puis sélectionnez Stratégies>d’alerte Stratégies d’alerte>.

  

• Portail Microsoft Defender :

  Accédez au portail Microsoft Defender et sous Collaboration & e-mail , sélectionnez Stratégies & règles>Stratégie d’alerte. Vous pouvez également accéder directement à https://security.microsoft.com/alertpolicies.

  

Une stratégie d’alerte se compose des paramètres et conditions suivants.

• Activité que l’alerte suit. Vous créez une stratégie pour suivre une activité ou, dans certains cas, quelques activités connexes, telles qu’un partage d’un fichier avec un utilisateur externe en le partageant, en attribuant des autorisations d’accès ou en créant un lien anonyme. Lorsqu’un utilisateur effectue l’activité définie par la stratégie, une alerte est déclenchée en fonction des paramètres de seuil d’alerte.

  Notes

  Les activités que vous pouvez suivre dépendent de l’offre Office 365 Entreprise ou Office 365 US Government de votre organisation. En général, les activités liées aux campagnes de programmes malveillants et aux attaques par hameçonnage nécessitent un abonnement E5/G5 ou un abonnement E1/F1/G1 ou E3/F3/G3 avec un abonnement de complément Defender pour Office 365 Plan 2 .

• Conditions d’activité. Pour la plupart des activités, vous pouvez définir des conditions supplémentaires qui doivent être remplies pour déclencher une alerte. Les conditions courantes incluent les adresses IP (afin qu’une alerte soit déclenchée lorsque l’utilisateur effectue l’activité sur un ordinateur avec une adresse IP spécifique ou dans une plage d’adresses IP), si une alerte est déclenchée si un utilisateur ou des utilisateurs spécifiques effectuent cette activité, et si l’activité est effectuée sur un nom de fichier ou une URL spécifique. Vous pouvez également configurer une condition qui déclenche une alerte lorsque l’activité est effectuée par un utilisateur de votre organisation. Les conditions disponibles dépendent de l’activité sélectionnée.

Vous pouvez également définir des balises utilisateur comme condition d’une stratégie d’alerte. Cette définition génère les alertes déclenchées par la stratégie pour inclure le contexte de l’utilisateur concerné. Vous pouvez utiliser des balises utilisateur système ou des étiquettes utilisateur personnalisées. Pour plus d’informations, voir Balises utilisateur dans Microsoft Defender pour Office 365.

• Lorsque l’alerte est déclenchée. Vous pouvez configurer un paramètre qui définit la fréquence à laquelle une activité peut se produire avant le déclenchement d’une alerte. Cela vous permet de configurer une stratégie pour générer une alerte chaque fois qu’une activité correspond aux conditions de stratégie, lorsqu’un certain seuil est dépassé ou lorsque l’occurrence de l’activité que l’alerte suit devient inhabituelle pour votre organisation.

  

  Si vous sélectionnez le paramètre en fonction d’une activité inhabituelle, Microsoft établit une valeur de base qui définit la fréquence normale de l’activité sélectionnée. L’établissement de cette base de référence prend jusqu’à sept jours, pendant lesquels les alertes ne sont pas générées. Une fois la ligne de base établie, une alerte est déclenchée lorsque la fréquence de l’activité suivie par la stratégie d’alerte dépasse considérablement la valeur de base. Pour les activités liées à l’audit (telles que les activités de fichiers et de dossiers), vous pouvez établir une base de référence basée sur un seul utilisateur ou sur tous les utilisateurs de votre organisation. pour les activités liées aux programmes malveillants, vous pouvez établir une base de référence basée sur une seule famille de programmes malveillants, un seul destinataire ou tous les messages de votre organisation.

  Notes

  La possibilité de configurer des stratégies d’alerte en fonction d’un seuil ou d’une activité inhabituelle nécessite un abonnement E5/G5, ou un abonnement E1/F1/G1 ou E3/F3/G3 avec un abonnement Microsoft Defender pour Office 365 P2, Conformité Microsoft 365 E5 ou Microsoft 365 eDiscovery et Audit. Les organisations disposant d’un abonnement E1/F1/G1 et E3/F3/G3 peuvent uniquement créer des stratégies d’alerte lorsqu’une alerte est déclenchée chaque fois qu’une activité se produit.

• Catégorie d’alerte. Pour faciliter le suivi et la gestion des alertes générées par une stratégie, vous pouvez affecter l’une des catégories suivantes à une stratégie.

  • Protection contre la perte de données
  • Gouvernance des informations
  • Flux de messagerie
  • Autorisations
  • Gestion des menaces
  • Autres

  Lorsqu’une activité qui correspond aux conditions de la stratégie d’alerte se produit, l’alerte générée est marquée avec la catégorie définie dans ce paramètre. Cela vous permet de suivre et de gérer les alertes qui ont le même paramètre de catégorie dans la page Alertes du portail Microsoft Purview, car vous pouvez trier et filtrer les alertes en fonction de la catégorie.

• Gravité de l’alerte. Comme pour la catégorie d’alerte, vous affectez un attribut de gravité (Faible, Moyen, Élevé ou Informationnel) aux stratégies d’alerte. Comme pour la catégorie d'alerte, lorsqu'une activité correspondant aux conditions de la politique d'alerte se produit, l'alerte générée est étiquetée avec le même niveau de gravité que celui défini pour la politique d'alerte. Là encore, cela vous permet de suivre et de gérer les alertes qui ont le même paramètre de gravité dans la page Alertes . Par exemple, vous pouvez filtrer la liste des alertes afin que seules les alertes avec une gravité élevée soient affichées.

  Conseil

  Lors de la configuration d’une stratégie d’alerte, envisagez d’affecter une gravité plus élevée aux activités qui peuvent entraîner des conséquences négatives graves, telles que la détection de programmes malveillants après la remise aux utilisateurs, l’affichage de données sensibles ou classifiées, le partage de données avec des utilisateurs externes ou d’autres activités pouvant entraîner une perte de données ou des menaces de sécurité. Cela peut vous aider à hiérarchiser les alertes et les actions que vous effectuez pour examiner et résoudre les causes sous-jacentes.

• Enquêtes automatisées. Certaines alertes déclenchent des investigations automatisées pour identifier les menaces et les risques potentiels qui nécessitent une correction ou une atténuation. Dans la plupart des cas, ces alertes sont déclenchées par la détection d’e-mails ou d’activités malveillants, mais dans certains cas, les alertes sont déclenchées par des actions de l’administrateur dans le portail de sécurité. Pour plus d’informations sur les investigations automatisées, voir Investigation et réponse automatisées (AIR) dans Microsoft Defender pour Office 365.

• Notifications par e-mail. Vous pouvez configurer la stratégie afin que les notifications par e-mail soient envoyées (ou non) à une liste d’utilisateurs lorsqu’une alerte est déclenchée. Vous pouvez également définir une limite de notification quotidienne afin qu’une fois le nombre maximal de notifications atteint, aucune autre notification ne soit envoyée pour l’alerte au cours de cette journée. En plus des notifications par e-mail, vous ou d’autres administrateurs pouvez afficher les alertes déclenchées par une stratégie dans la page Alertes . Envisagez d’activer les notifications par e-mail pour les stratégies d’alerte d’une catégorie spécifique ou qui ont un paramètre de gravité plus élevé.

Stratégies d’alerte par défaut

Microsoft fournit des stratégies d’alerte intégrées qui permettent d’identifier les abus d’autorisations d’administrateur Exchange, l’activité des programmes malveillants, les menaces externes et internes potentielles et les risques de gouvernance des informations. Dans la page Stratégies d’alerte , les noms de ces stratégies intégrées sont en gras et le type de stratégie est défini comme Système. Ces stratégies sont activées par défaut. Vous pouvez désactiver ces stratégies (ou réactiver), configurer une liste de destinataires auxquels envoyer des notifications par e-mail et définir une limite de notification quotidienne. Les autres paramètres de ces stratégies ne peuvent pas être modifiés.

Les tableaux suivants répertorient et décrivent les stratégies d’alerte par défaut disponibles et la catégorie à laquelle chaque stratégie est affectée. La catégorie est utilisée pour déterminer les alertes qu’un utilisateur peut afficher dans la page Alertes. Pour plus d’informations, consultez Autorisations RBAC requises pour afficher les alertes.

Les tableaux indiquent également les plans Office 365 Entreprise et Office 365 US Government requis pour chacun d’eux. Certaines stratégies d’alerte par défaut sont disponibles si votre organisation dispose de l’abonnement complémentaire approprié en plus d’un abonnement E1/F1/G1 ou E3/F3/G3.

Stratégies d’alerte de gouvernance des informations

Stratégies d’alerte de flux de messagerie

Stratégies d’alerte d’autorisations

Stratégies d’alerte de gestion des menaces

¹ Cette stratégie d’alerte fait partie des fonctionnalités de remplacement des stratégies d’alerte Phish remises en raison du remplacement du locataire ou de l’utilisateur et de l’usurpation d’identité de l’utilisateur remises aux stratégies d’alerte de boîte de réception/dossier qui ont été supprimées en fonction des commentaires de l’utilisateur. Pour plus d’informations sur l’anti-hameçonnage dans Office 365, voir Stratégies anti-hameçonnage.

Afficher les alertes

Lorsqu’une activité effectuée par des utilisateurs de votre organisation correspond aux paramètres d’une stratégie d’alerte, une alerte est générée et affichée sur la page Alertes du portail Microsoft Purview ou du portail Defender. Selon les paramètres d’une stratégie d’alerte, une notification par e-mail est également envoyée à une liste d’utilisateurs spécifiés lorsqu’une alerte est déclenchée. Pour chaque alerte, le tableau de bord de la page Alertes affiche le nom de la stratégie d’alerte correspondante, la gravité et la catégorie de l’alerte (définies dans la stratégie d’alerte), ainsi que le nombre de fois où une activité s’est produite à l’origine de la génération de l’alerte. Cette valeur est basée sur le paramètre de seuil de la stratégie d’alerte. Le tableau de bord affiche également l’état de chaque alerte. Pour plus d’informations sur l’utilisation de la propriété status pour gérer les alertes, consultez Gestion des alertes.

Pour afficher les alertes :

Portail de conformité Microsoft Purview

Accédez à https://compliance.microsoft.com , puis sélectionnez Alertes. Vous pouvez également accéder directement à https://compliance.microsoft.com/compliancealerts.

Portail Microsoft Defender

Accédez à https://security.microsoft.com , puis sélectionnez Incidents & alertes>Alertes. Vous pouvez également accéder directement à https://security.microsoft.com/alerts.

Vous pouvez utiliser les filtres suivants pour afficher un sous-ensemble de toutes les alertes dans la page Alertes :

• État : affiche les alertes auxquelles un état particulier est attribué. L’état par défaut est Actif. Vous ou d’autres administrateurs pouvez modifier la valeur d’état.
• Stratégie : afficher les alertes qui correspondent au paramètre d’une ou plusieurs stratégies d’alerte. Vous pouvez également afficher toutes les alertes pour toutes les stratégies d’alerte.
• Intervalle de temps : affiche les alertes qui ont été générées dans un intervalle de date et d’heure spécifique.
• Gravité : affiche les alertes auxquelles une gravité spécifique est affectée.
• Catégorie : afficher les alertes d’une ou plusieurs catégories d’alertes.
• Balises :Afficher les alertes d’une ou plusieurs balises utilisateur. Les étiquettes sont reflétées en fonction des boîtes aux lettres étiquetées ou des utilisateurs qui apparaissent dans les alertes. Pour en savoir plus , voir Balises utilisateur dans Defender pour Office 365 .
• Source : utilisez ce filtre pour afficher les alertes déclenchées par les stratégies d’alerte dans le portail Microsoft Purview ou les alertes déclenchées par les stratégies Microsoft Defender for Cloud Apps, ou les deux. Pour plus d’informations sur les alertes Defender for Cloud Apps, consultez la section Afficher les alertes Defender for Cloud Apps de cet article.

Agrégation d’alertes

Lorsque plusieurs événements qui correspondent aux conditions d’une stratégie d’alerte se produisent sur une courte période, ils sont ajoutés à une alerte existante par un processus appelé agrégation d’alertes. Lorsqu’un événement déclenche une alerte, l’alerte est générée et affichée sur la page Alertes et une notification est envoyée. Si le même événement se produit dans l’intervalle d’agrégation, Microsoft 365 ajoute des détails sur le nouvel événement à l’alerte existante au lieu de déclencher une nouvelle alerte. L’objectif de l’agrégation des alertes est de réduire la « fatigue » des alertes et de vous permettre de vous concentrer et d’agir sur moins d’alertes pour le même événement.

La durée de l’intervalle d’agrégation dépend de votre abonnement Office 365 ou Microsoft 365.

Lorsque des événements qui correspondent à la même stratégie d’alerte se produisent dans l’intervalle d’agrégation, des détails sur l’événement suivant sont ajoutés à l’alerte d’origine. Pour tous les événements, des informations sur les événements agrégés sont affichées dans le champ détails et le nombre de fois où un événement s’est produit avec l’intervalle d’agrégation est affiché dans le champ activité/nombre d’accès. Vous pouvez afficher plus d’informations sur toutes les instances d’événements agrégés en consultant la liste des activités.

La capture d’écran suivante montre une alerte avec quatre événements agrégés. La liste des activités contient des informations sur les quatre messages électroniques pertinents pour l’alerte.

Gardez à l’esprit les éléments suivants concernant l’agrégation des alertes :

• Les alertes déclenchées par le clic sur une URL potentiellement malveillante détectée par défaut ne sont pas agrégées. Ce comportement se produit parce que les alertes déclenchées par cette stratégie sont propres à chaque utilisateur et message électronique.

• À ce stade, la propriété Alerte de nombre de correspondances n’indique pas le nombre d’événements agrégés pour toutes les stratégies d’alerte. Pour les alertes déclenchées par ces stratégies d’alerte, vous pouvez afficher les événements agrégés en cliquant sur Afficher la liste des messages ou Afficher l’activité sur l’alerte. Nous nous efforçons de rendre disponible le nombre d’événements agrégés répertoriés dans la propriété d’alerte nombre d’accès pour toutes les stratégies d’alerte.

Autorisations RBAC requises pour afficher les alertes

Les autorisations de contrôle d’accès en fonction du rôle (RBAC) attribuées aux utilisateurs de votre organisation déterminent les alertes qu’un utilisateur peut voir dans la page Alertes . Comment cela est-il accompli ? Les rôles de gestion attribués aux utilisateurs (en fonction de leur appartenance aux groupes de rôles dans le portail de conformité ou le portail Microsoft Defender) déterminent les catégories d’alerte qu’un utilisateur peut voir dans la page Alertes . Voici quelques exemples :

• Les membres du groupe de rôles Gestion des documents ne peuvent visualiser que les alertes générées par les politiques d'alerte auxquelles est attribuée la catégorie Gouvernance de l'information.
• Les membres du groupe de rôles Administrateur de la conformité ne peuvent pas visualiser les alertes générées par les politiques d'alerte auxquelles est attribuée la catégorie Gestion des menaces.
• Les membres du groupe de rôles eDiscovery Manager ne peuvent pas afficher d'alertes car aucun des rôles attribués ne permet d'afficher les alertes d'une quelconque catégorie d'alerte.

Cette conception (basée sur les autorisations RBAC) vous permet de déterminer quelles alertes peuvent être consultées (et gérées) par les utilisateurs dans des rôles de travail spécifiques dans votre organisation.

Le tableau suivant répertorie les rôles requis pour afficher les alertes des six catégories d’alertes différentes. Une coche indique qu’un utilisateur auquel ce rôle est attribué peut afficher les alertes de la catégorie d’alerte correspondante répertoriée dans la ligne de titre.

Pour connaître la catégorie à laquelle une stratégie d’alerte par défaut est affectée, consultez les tableaux dans Stratégies d’alerte par défaut.

$RoleGroups = Get-RoleGroup

$RoleGroups | foreach {Write-Output -InputObject `r`n,$_.Name,("-"*25); Get-RoleGroup $_.Identity | Select-Object -ExpandProperty Roles}

Gérer des alertes

Une fois les alertes générées et affichées dans la page Alertes du portail Microsoft Purview, vous pouvez les trier, les examiner et les résoudre. Les mêmes autorisations RBAC qui donnent aux utilisateurs l’accès aux alertes leur donnent également la possibilité de gérer les alertes.

Voici quelques tâches que vous pouvez effectuer pour gérer les alertes.

• Affecter un état aux alertes : vous pouvez affecter l’un des états suivants aux alertes : Actif (valeur par défaut), Examen, Résolution ou Ignoré. Ensuite, vous pouvez filtrer sur ce paramètre pour afficher les alertes avec le même paramètre d’état. Ce paramètre d’état peut vous aider à suivre le processus de gestion des alertes.

• Afficher les détails de l’alerte : vous pouvez sélectionner une alerte pour afficher une page de menu volant avec des détails sur l’alerte. Les informations détaillées dépendent de la stratégie d’alerte correspondante, mais elles incluent généralement les informations suivantes :

  • Nom de l’opération réelle qui a déclenché l’alerte, par exemple une applet de commande ou une opération de journal d’audit.
  • Description de l’activité qui a déclenché l’alerte.
  • L’utilisateur (ou la liste des utilisateurs) qui a déclenché l’alerte. Cela est inclus uniquement pour les stratégies d’alerte configurées pour suivre un seul utilisateur ou une seule activité.
  • Nombre de fois où l’activité suivie par l’alerte a été effectuée. Ce nombre peut ne pas correspondre au nombre réel d’alertes associées répertoriées dans la page Alertes, car d’autres alertes ont peut-être été déclenchées.
  • Lien vers une liste d’activités qui inclut un élément pour chaque activité effectuée qui a déclenché l’alerte. Chaque entrée de cette liste identifie le moment où l’activité s’est produite, le nom de l’opération réelle (par exemple, « FileDeleted »), l’utilisateur qui a effectué l’activité, l’objet (tel qu’un fichier, un cas eDiscovery ou une boîte aux lettres) sur lequel l’activité a été effectuée et l’adresse IP de l’ordinateur de l’utilisateur. Pour les alertes liées aux programmes malveillants, ce lien renvoie à une liste de messages.
  • Nom (et lien) de la stratégie d’alerte correspondante.

• Supprimer les notifications par e-mail : vous pouvez désactiver (ou supprimer) les notifications par e-mail à partir de la page de menu volant pour une alerte. Lorsque vous supprimez des notifications par e-mail, Microsoft n’envoie pas de notifications lorsque des activités ou des événements qui correspondent aux conditions de la stratégie d’alerte se produisent. Toutefois, les alertes sont déclenchées lorsque les activités effectuées par les utilisateurs correspondent aux conditions de la stratégie d’alerte. Vous pouvez également désactiver les notifications par e-mail en modifiant la stratégie d’alerte.

• Résoudre les alertes : vous pouvez marquer une alerte comme résolue dans la page volante d’une alerte (ce qui définit l’état de l’alerte sur Résolu). Sauf si vous modifiez le filtre, les alertes résolues ne s’affichent pas dans la page Alertes .

Afficher les alertes Defender for Cloud Apps

Les alertes déclenchées par les stratégies Defender for Cloud Apps s’affichent désormais sur la page Alertes du portail Microsoft Purview. Cela inclut les alertes déclenchées par les stratégies d’activité et les alertes déclenchées par les stratégies de détection d’anomalie dans Defender for Cloud Apps. Cela signifie que vous pouvez afficher toutes les alertes dans le portail Microsoft Purview. Defender for Cloud Apps est disponible uniquement pour les organisations disposant d’un abonnement Office 365 Entreprise E5 ou Office 365 US Government G5. Pour plus d’informations, consultez Vue d’ensemble de Defender for Cloud Apps.

Les organisations qui ont Microsoft Defender for Cloud Apps dans le cadre d’un abonnement Enterprise Mobility + Security E5 ou en tant que service autonome peuvent également afficher les alertes Defender pour cloud Apps liées aux applications et services Microsoft 365 dans le portail de conformité ou le portail Microsoft Defender.

Pour afficher uniquement les alertes Defender for Cloud Apps dans le portail Microsoft Purview ou le portail Defender, utilisez le filtre Source et sélectionnez Defender pour les applications cloud.

À l’instar d’une alerte déclenchée par une stratégie d’alerte dans le portail Microsoft Purview, vous pouvez sélectionner une alerte Defender for Cloud Apps pour afficher une page de menu volant avec des détails sur l’alerte. L’alerte inclut un lien pour afficher les détails et gérer l’alerte dans le portail Defender for Cloud Apps, ainsi qu’un lien vers la stratégie Defender for Cloud Apps correspondante qui a déclenché l’alerte. Consultez Surveiller les alertes dans Defender for Cloud Apps.