Piloter et déployer des Defender for Office 365

S’applique à :

• Microsoft Defender XDR

Cet article fournit un flux de travail pour le pilotage et le déploiement de Microsoft Defender pour Office 365 dans votre organization. Vous pouvez utiliser ces recommandations pour intégrer Microsoft Defender pour Office 365 en tant qu’outil de cybersécurité individuel ou dans le cadre d’une solution de bout en bout avec Microsoft Defender XDR.

Cet article suppose que vous disposez d’un client Microsoft 365 de production et que vous pilotez et déployez Microsoft Defender pour Office 365 dans cet environnement. Cette pratique conserve tous les paramètres et personnalisations que vous configurez pendant votre pilote pour votre déploiement complet.

Defender for Office 365 contribue à une architecture Confiance nulle en aidant à prévenir ou à réduire les dommages à l’entreprise causés par une violation. Pour plus d’informations, consultez le scénario Empêcher ou réduire les dommages causés par une violation de l’entreprise dans l’infrastructure d’adoption de Microsoft Confiance nulle.

Déploiement de bout en bout pour Microsoft Defender XDR

Il s’agit de l’article 3 sur 6 d’une série qui vous aide à déployer les composants de Microsoft Defender XDR, y compris l’examen et la réponse aux incidents.

Les articles de cette série correspondent aux phases suivantes du déploiement de bout en bout :

Piloter et déployer un workflow pour Defender for Office 365

Le diagramme suivant illustre un processus courant de déploiement d’un produit ou d’un service dans un environnement informatique.

Vous commencez par évaluer le produit ou le service et comment il fonctionnera dans votre organization. Ensuite, vous pilotez le produit ou le service avec un sous-ensemble convenablement petit de votre infrastructure de production à des fins de test, d’apprentissage et de personnalisation. Ensuite, augmentez progressivement l’étendue du déploiement jusqu’à ce que l’ensemble de votre infrastructure ou organization soit couvert.

Voici le flux de travail pour le pilotage et le déploiement de Defender for Office 365 dans votre environnement de production.

Procédez comme suit :

1. Auditer et vérifier l’enregistrement MX public
2. Auditer les domaines acceptés
3. Auditer les connecteurs entrants
4. Activer l’évaluation
5. Créer des groupes pilotes
6. Configurer la protection
7. Tester les fonctionnalités

Voici les étapes recommandées pour chaque étape de déploiement.

architecture Defender for Office 365 et exigences

Le diagramme suivant illustre l’architecture de base pour Microsoft Defender pour Office 365, qui peut inclure une passerelle SMTP tierce ou une intégration locale. Les scénarios de coexistence hybride (autrement dit, les boîtes aux lettres de production sont à la fois locales et en ligne) nécessitent des configurations plus complexes et ne sont pas abordés dans cet article ou ce guide d’évaluation.

Le tableau suivant décrit cette illustration.

L’intégration locale est courante, mais facultative. Si votre environnement est cloud uniquement, ces conseils vous conviennent également.

Un pilote d’évaluation ou de production Defender for Office 365 réussi nécessite les conditions préalables suivantes :

• Toutes vos boîtes aux lettres de destinataire se trouvent actuellement dans Exchange Online.
• Votre enregistrement MX public est résolu directement en EOP ou une passerelle SMTP (Simple Mail Transfer Protocol) tierce qui relaie ensuite le courrier externe entrant directement vers EOP.
• Votre domaine de messagerie principal est configuré comme faisant autorité dans Exchange Online.
• Vous avez correctement déployé et configuré le blocage de périphérie basé sur les répertoires (DBEB) comme il convient. Pour plus d’informations, consultez Utiliser le blocage Directory-Based Edge pour rejeter les messages envoyés à des destinataires non valides.

Étape 1 : Auditer et vérifier l’enregistrement MX public

Pour évaluer efficacement Microsoft Defender pour Office 365, il est important que les e-mails externes entrants sont relayés via les instance Exchange Online Protection (EOP) associées à votre locataire.

1. Dans le portail Administration M365 à , https://admin.microsoft.comdéveloppez ... Affichez tout si nécessaire, développez Paramètres, puis sélectionnez Domaines. Ou, pour accéder directement à la page Domaines , utilisez https://admin.microsoft.com/Adminportal/Home#/Domains.
2. Dans la page Domaines, sélectionnez votre domaine de messagerie vérifié en cliquant n’importe où dans l’entrée autre que la zone case activée.
3. Dans le menu volant détails du domaine qui s’ouvre, sélectionnez l’onglet Enregistrements DNS . Notez l’enregistrement MX qui est généré et affecté à votre locataire EOP.
4. Accédez à votre zone DNS externe (publique) et case activée l’enregistrement MX principal associé à votre domaine de messagerie :
   • Si votre enregistrement MX public correspond actuellement à l’adresse EOP attribuée (par exemple, contoso-com.mail.protection.outlook.com), aucune autre modification de routage ne doit être nécessaire.
   • Si votre enregistrement MX public est actuellement résolu en passerelle SMTP tierce ou locale, des configurations de routage supplémentaires peuvent être nécessaires.
   • Si votre enregistrement MX public est actuellement résolu en exchange local, vous êtes peut-être toujours dans un modèle hybride où certaines boîtes aux lettres de destinataire n’ont pas encore été migrées vers EXO.

Étape 2 : Auditer les domaines acceptés

1. Dans le Centre d’administration Exchange (EAC) à https://admin.exchange.microsoft.com, développez Flux de courrier, puis cliquez sur Domaines acceptés. Ou, pour accéder directement à la page Domaines acceptés , utilisez https://admin.exchange.microsoft.com/#/accepteddomains.
2. Dans la page Domaines acceptés , notez la valeur Type de domaine pour votre domaine de messagerie principal.
   • Si le type de domaine est défini sur Autorité, il est supposé que toutes les boîtes aux lettres de destinataires de votre organization résident actuellement dans Exchange Online.
   • Si le type de domaine est défini sur InternalRelay, il se peut que vous soyez toujours dans un modèle hybride où certaines boîtes aux lettres de destinataire résident toujours localement.

Étape 3 : Auditer les connecteurs entrants

1. Dans le Centre d’administration Exchange (EAC) à https://admin.exchange.microsoft.com, développez Flux de courrier, puis cliquez sur Connecteurs. Ou, pour accéder directement à la page Connecteurs, utilisez https://admin.exchange.microsoft.com/#/connectors.
2. Dans la page Connecteurs , notez tous les connecteurs avec les paramètres suivants :
   • La valeur De est l’organisation partenaire qui peut être corrélée à une passerelle SMTP tierce.
   • La valeur De est Votre organisation , ce qui peut indiquer que vous êtes toujours dans un scénario hybride.

Étape 4 : Activer l’évaluation

Suivez les instructions fournies ici pour activer votre évaluation Microsoft Defender pour Office 365 à partir du portail Microsoft Defender.

Pour plus d’informations, consultez Essayer Microsoft Defender pour Office 365.

1. Dans le portail Microsoft Defender à l’adresse https://security.microsoft.com, développez Email & collaboration>, sélectionnez Stratégies & règles> sélectionnez Stratégies> de menace faites défiler vers le bas jusqu’à la section Autres, puis sélectionnez Mode d’évaluation. Ou, pour accéder directement à la page Mode d’évaluation , utilisez https://security.microsoft.com/atpEvaluation.

2. Dans la page Mode d’évaluation , cliquez sur Démarrer l’évaluation.

   

3. Dans la boîte de dialogue Activer la protection , sélectionnez Non, Je veux uniquement créer des rapports, puis cliquez sur Continuer.

   

4. Dans la boîte de dialogue Sélectionner les utilisateurs que vous souhaitez inclure , sélectionnez Tous les utilisateurs, puis cliquez sur Continuer.

   

5. Dans la boîte de dialogue Aidez-nous à comprendre votre flux de messagerie , l’une des options suivantes est automatiquement sélectionnée en fonction de notre détection de l’enregistrement MX pour votre domaine :

   • J’utilise uniquement Microsoft Exchange Online : les enregistrements MX de votre domaine pointent vers Microsoft 365. Il ne reste plus rien à configurer. Cliquez donc sur Terminer.

     

   • J’utilise un fournisseur de services tiers et/ou local : dans les écrans à venir, sélectionnez le nom du fournisseur ainsi que le connecteur entrant qui accepte les messages de cette solution. Vous décidez également si vous avez besoin d’une règle de flux de courrier Exchange Online (également appelée règle de transport) qui ignore le filtrage du courrier indésirable pour les messages entrants provenant du service de protection ou de l’appareil tiers. Lorsque vous avez terminé, cliquez sur Terminer.

Étape 5 : Créer des groupes pilotes

Lorsque vous pilotez Microsoft Defender pour Office 365, vous pouvez choisir de piloter des utilisateurs spécifiques avant d’activer et d’appliquer des stratégies pour l’ensemble de votre organization. La création de groupes de distribution peut aider à gérer les processus de déploiement. Par exemple, créez des groupes tels que Defender for Office 365 Users - Standard Protection, Defender for Office 365 Users - Strict Protection, Defender for Office 365 Users - Custom Protection ou Defender for Office 365 Utilisateurs - Exceptions.

Il n’est peut-être pas évident pourquoi « Standard » et « Strict » sont les termes utilisés pour ces groupes, mais cela deviendra clair lorsque vous explorerez plus en détail Defender for Office 365 présélections de sécurité. Les groupes de noms « personnalisé » et « exceptions » parlent d’eux-mêmes, et bien que la plupart de vos utilisateurs doivent être soumis à des groupes standard et stricts, les groupes personnalisés et d’exceptions collectent des données précieuses pour vous concernant la gestion des risques.

Les groupes de distribution peuvent être créés et définis directement dans Exchange Online ou synchronisés à partir de Active Directory local.

1. Connectez-vous au Centre Administration Exchange (CAE) à https://admin.exchange.microsoft.com l’aide d’un compte auquel le rôle Administrateur de destinataire a été attribué ou des autorisations de gestion de groupe déléguées.

2. Accédez à Destinataires>Groupes.

   

3. Dans la page Groupes, sélectionnez Ajoutez un groupe.

   

4. Pour type de groupe, sélectionnez Distribution, puis cliquez sur Suivant.

   

5. Donnez au groupe un nom et une description facultative, puis cliquez sur Suivant.

   

6. Sur les pages restantes, affectez un propriétaire, ajoutez des membres au groupe, définissez l’adresse e-mail, les restrictions de jonction/départ et d’autres paramètres.

Étape 6 : Configurer la protection

Certaines fonctionnalités dans Defender for Office 365 sont configurées et activées par défaut, mais les opérations de sécurité peuvent vouloir augmenter le niveau de protection par défaut.

Certaines fonctionnalités ne sont pas encore configurées. Vous disposez des options suivantes pour configurer la protection (qui sont faciles à modifier ultérieurement) :

• Affecter des utilisateurs à des stratégies de sécurité prédéfinies : les stratégies de sécurité prédéfinies sont la méthode recommandée pour attribuer rapidement un niveau de protection uniforme sur toutes les fonctionnalités. Vous pouvez choisir une protection standard ou une protection stricte . Les paramètres pour Standard et Strict sont décrits dans les tableaux ici. Les différences entre Standard et Strict sont résumées dans le tableau ici.

  Les avantages des stratégies de sécurité prédéfinies sont que vous protégez des groupes d’utilisateurs aussi rapidement que possible à l’aide des paramètres recommandés par Microsoft en fonction des observations dans les centres de données. À mesure que de nouvelles fonctionnalités de protection sont ajoutées et que le paysage de la sécurité change, les paramètres des stratégies de sécurité prédéfinies sont automatiquement mis à jour vers nos paramètres recommandés.

  L’inconvénient des stratégies de sécurité prédéfinies est que vous ne pouvez personnaliser pratiquement aucun des paramètres de sécurité dans les stratégies de sécurité prédéfinies (par exemple, vous ne pouvez pas modifier une action de remise en courrier indésirable en quarantaine, ou inversement). L’exception concerne les entrées et les exceptions facultatives pour l’emprunt d’identité utilisateur et la protection contre l’emprunt d’identité de domaine, que vous devez configurer manuellement.

  Gardez également à l’esprit que les stratégies de sécurité prédéfinies sont toujours appliquées avant les stratégies personnalisées. Par conséquent, si vous souhaitez créer et utiliser des stratégies personnalisées, vous devez exclure les utilisateurs de ces stratégies personnalisées des stratégies de sécurité prédéfinies.

• Configurer des stratégies de protection personnalisées : si vous préférez configurer l’environnement vous-même, comparez les paramètres par défaut, Standard et Strict dans Paramètres recommandés pour la sécurité EOP et Microsoft Defender pour Office 365. Conservez une feuille de calcul indiquant où votre build personnalisée s’écarte.

  Vous pouvez également utiliser l’analyseur de configuration pour comparer les paramètres de vos stratégies personnalisées aux valeurs Standard et Strict.

Pour plus d’informations sur le choix des stratégies de sécurité prédéfinies et des stratégies personnalisées, consultez Déterminer votre stratégie de protection.

Attribuer des stratégies de sécurité prédéfinies

Nous vous recommandons de commencer par les stratégies de sécurité prédéfinies dans EOP et Defender for Office 365 rapidement en les affectant à des utilisateurs pilotes spécifiques ou à des groupes définis dans le cadre de votre évaluation. Les stratégies prédéfinies offrent un modèle de protection standard de base ou un modèle de protection Strict plus agressif, qui peut être attribué indépendamment.

Par exemple, une condition EOP pour les évaluations pilotes peut être appliquée si les destinataires sont membres d’un groupe EOP Standard Protection défini, puis géré en ajoutant des comptes au groupe ou en supprimant le compte du groupe.

De même, une condition de Defender for Office 365 pour les évaluations pilotes peut être appliquée si les destinataires sont membres d’un groupe de protection standard défini Defender for Office 365, puis gérés en ajoutant ou en supprimant des comptes via le groupe.

Pour obtenir des instructions complètes, consultez Utiliser le portail Microsoft Defender pour attribuer des stratégies de sécurité prédéfinies Standard et Strict aux utilisateurs.

Configurer des stratégies de protection personnalisées

Les modèles de stratégie de Defender for Office 365 standard ou strict prédéfinis offrent à vos utilisateurs pilotes la protection de base recommandée. Toutefois, vous pouvez également créer et affecter des stratégies de protection personnalisées dans le cadre de votre évaluation.

Il est important de connaître la priorité de ces stratégies de protection lorsqu’elles sont appliquées et appliquées, comme expliqué dans Ordre de priorité pour les stratégies de sécurité prédéfinies et d’autres stratégies.

L’explication et le tableau dans Configurer les stratégies de protection fournissent une référence pratique pour ce que vous devez configurer.

Étape 7 : Tester les fonctionnalités

Maintenant que votre pilote est configuré et configuré, il est utile de vous familiariser avec les outils de création de rapports, de surveillance et de simulation d’attaque qui sont uniques à Microsoft Defender pour Microsoft 365.

Intégration SIEM

Vous pouvez intégrer Defender for Office 365 à Microsoft Sentinel ou à un service SIEM (Security Information and Event Management) générique pour permettre une surveillance centralisée des alertes et des activités à partir d’applications connectées. Avec Microsoft Sentinel, vous pouvez analyser de manière plus complète les événements de sécurité dans votre organization et créer des playbooks pour une réponse efficace et immédiate.

Microsoft Sentinel comprend un connecteur Defender for Office 365. Pour plus d’informations, consultez Connecter des alertes à partir de Microsoft Defender pour Office 365.

Microsoft Defender pour Office 365 peuvent également être intégrés à d’autres solutions SIEM à l’aide de l’API de gestion des activités Office 365. Pour plus d’informations sur l’intégration avec les systèmes SIEM génériques, consultez Intégration SIEM générique.

Étape suivante

Incorporez les informations contenues dans Microsoft Defender pour Office 365 Guide des opérations de sécurité dans vos processus SecOps.

Étape suivante pour le déploiement de bout en bout de Microsoft Defender XDR

Poursuivez votre déploiement de bout en bout de Microsoft Defender XDR avec Pilote et déployez Defender pour point de terminaison.