Microsoft Defender : enquêter sur une alerte sans isoler inutilement un poste

Une alerte exige un triage, pas toujours une isolation immédiate

Isoler un poste coupe généralement ses communications réseau tout en conservant la liaison avec Microsoft Defender for Endpoint. C’est un excellent moyen de freiner une attaque active, mais ce n’est pas une étape obligatoire pour chaque alerte. Sur un poste clinique, industriel, de caisse ou d’administration, une isolation réflexe peut créer un incident opérationnel sans améliorer l’enquête.

Le bon objectif est de décider vite avec assez de preuves : que s’est-il passé, l’activité continue-t-elle, quelles identités et quels appareils sont touchés, et quel est le coût d’attendre? La sévérité calculée par Defender oriente la priorité; elle ne remplace pas l’analyse du contexte.

• Microsoft : enquêter sur les alertes Defender for Endpoint ↗

Commencer par l’incident et préserver le contexte

Une alerte décrit une détection. Un incident regroupe les alertes et entités que Microsoft Defender XDR considère liées. Ouvrez donc l’incident, assignez un propriétaire et notez l’heure UTC, l’ID, la sévérité, la source de détection, les appareils, utilisateurs, boîtes et applications associés. Vérifiez pourquoi les alertes ont été corrélées plutôt que de supposer qu’elles forment forcément une seule attaque.

Dans Attack story, Alerts, Assets, Activities et Evidence and Response, distinguez ce que Defender a observé de ce qu’un analyste ou une automatisation a déjà modifié. Capturez les ID d’alerte, le CorrelationId lorsqu’il existe et les actions précédentes. Ajoutez des commentaires factuels; évitez d’écrire une conclusion avant d’avoir établi la chronologie.

• Ne téléchargez pas et n’exécutez pas un fichier suspect sur votre poste d’administration.
• N’effacez pas l’alerte et ne supprimez pas l’appareil avant d’avoir conservé les références nécessaires.
• Une classification antérieure ou un verdict automatique est une piste, pas une preuve suffisante à lui seul.

• Microsoft : investigation d’un incident dans le portail Defender ↗

Faire un triage en cinq questions

Lire l’histoire de l’alerte avant d’agir

L’alert story présente les événements associés et un arbre d’exécution; la timeline offre une vue chronologique plus compacte. Développez le processus parent, ses enfants, la ligne de commande, le compte, le chemin, le hash et les connexions réseau. Une commande PowerShell encodée lancée par Office n’a pas le même poids que la même commande générée par un outil d’administration approuvé et signée dans une fenêtre de maintenance.

Sur la page de l’appareil, examinez les alertes actives, les utilisateurs connectés, l’état du capteur, les vulnérabilités, les logiciels et la timeline avant et après la détection. Microsoft prévient que Last seen peut être plus ancien que des données présentes dans la timeline : ne concluez pas qu’un poste est hors ligne sur ce seul champ. La timeline du portail peut être exportée sur une plage maximale de sept jours; la disponibilité historique dépend aussi de la rétention configurée.

• Microsoft : page d’investigation et timeline d’un appareil ↗

Collecter sans modifier le poste

La collecte locale suivante est en lecture seule. Elle est utile lorsque le portail manque de contexte, mais elle ne doit pas remplacer la télémétrie Defender ni être exécutée avec un compte plus privilégié que nécessaire. Conservez la sortie dans un dossier de dossier d’incident protégé, notez l’opérateur et l’heure, puis appliquez vos exigences de chaîne de possession.

Get-MpThreatDetection reflète l’état de Microsoft Defender Antivirus; il ne liste pas toutes les détections XDR. Les journaux peuvent avoir été tronqués ou redémarrés. N’interprétez donc jamais une sortie vide comme preuve d’absence d’activité.

# Read-only local context; run only through an approved admin channel.
Get-Date -Format o
Get-ComputerInfo | Select-Object WindowsProductName,WindowsVersion,OsBuildNumber
Get-MpComputerStatus | Select-Object AMRunningMode,AntivirusEnabled,
    RealTimeProtectionEnabled,BehaviorMonitorEnabled,
    AntivirusSignatureVersion,AntivirusSignatureLastUpdated
Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending |
    Select-Object -First 20 ThreatID,ThreatStatusID,InitialDetectionTime,
        LastThreatStatusChangeTime,Resources
Get-WinEvent -FilterHashtable @{ LogName='Microsoft-Windows-Windows Defender/Operational'; StartTime=(Get-Date).AddHours(-6) } |
    Select-Object -First 200 TimeCreated,Id,LevelDisplayName,Message

Élargir l’enquête avec Advanced Hunting

Les requêtes suivantes ne déclenchent aucune action. La première inventorie les alertes d’un incident; la deuxième joint les preuves que Defender leur associe; la troisième reconstruit la chaîne de processus autour d’un appareil et d’une fenêtre UTC. Remplacez les valeurs fictives et limitez la fenêtre avant d’élargir.

AlertEvidence contient des entités et verdicts associés par le produit. Un verdict Clean, Suspicious ou Malicious doit être interprété avec l’événement, le rôle de la preuve et la chronologie. Une jointure inner omet les alertes sans ligne de preuve correspondante; comparez toujours avec AlertInfo. La rétention, la licence, l’état d’intégration et le schéma du locataire limitent les résultats.

// Read-only. Replace the fictional incident ID and adjust the time range.
let Incident = 12345;
AlertInfo
| where Timestamp > ago(7d)
| where IncidentId == Incident
| project Timestamp, AlertId, Title, Severity, Category,
    DetectionSource, ServiceSource, AttackTechniques
| order by Timestamp asc

// Read-only. Start with AlertInfo, then join the entities Defender linked.
let Incident = 12345;
AlertInfo
| where Timestamp > ago(7d) and IncidentId == Incident
| join kind=inner (
    AlertEvidence
    | where Timestamp > ago(7d)
    | project AlertId, EvidenceTimestamp=Timestamp, EntityType,
        EvidenceRole, DeviceId, DeviceName, AccountName,
        FileName, SHA1, RemoteIP, RemoteUrl, Verdict
) on AlertId
| project EvidenceTimestamp, AlertId, Title, Severity, EntityType,
    EvidenceRole, DeviceId, DeviceName, AccountName, FileName,
    SHA1, RemoteIP, RemoteUrl, Verdict
| order by EvidenceTimestamp asc

// Read-only. Copy the real DeviceId and UTC window from the alert.
let TargetDevice = "0000000000000000000000000000000000000000";
let Start = datetime(2026-10-08T13:00:00Z);
let Stop  = datetime(2026-10-08T14:00:00Z);
DeviceProcessEvents
| where DeviceId == TargetDevice and Timestamp between (Start .. Stop)
| project Timestamp, DeviceName, AccountName, FileName, FolderPath,
    ProcessCommandLine, SHA1, InitiatingProcessFileName,
    InitiatingProcessCommandLine, InitiatingProcessAccountName,
    InitiatingProcessParentFileName
| order by Timestamp asc

• Microsoft : Advanced Hunting dans Defender XDR ↗
• 10 requêtes KQL utiles pour un administrateur TI →

Choisir un confinement proportionné

L’absence d’isolation immédiate n’est défendable que si elle est consciente, documentée et limitée dans le temps. Le tableau ci-dessous guide la décision; il ne remplace pas le plan de réponse de l’organisation. Une propagation confirmée ou une destruction en cours justifie d’agir avant d’obtenir une chronologie parfaite.

Comprendre ce que fait réellement l’isolation

L’action Isolate device est un changement à impact élevé. Elle limite les communications du poste et maintient normalement la connectivité au service Defender. Validez toutefois le système d’exploitation, l’état d’intégration, le proxy et les exceptions nécessaires. Les options et limites varient selon la plateforme et la version. Les actifs à haute valeur peuvent avoir des actions restreintes configurées à l’intégration.

Avant de confirmer, consignez la raison, le propriétaire métier, le mode d’isolation offert, l’accès de secours et les critères de libération. Après l’action, contrôlez son état dans la page de l’appareil et l’Action center. Une action Pending ou Failed n’équivaut pas à un poste contenu. La libération n’est appropriée qu’après maîtrise du risque et validation de la remédiation.

Les exclusions d’isolation sélective peuvent préserver certaines destinations ou applications sur les plateformes compatibles, mais elles élargissent aussi le chemin réseau laissé au poste. Testez-les sur un pilote et réévaluez-les. Le script de libération forcée fourni par Microsoft est propre à l’appareil, expire et constitue une procédure de récupération, pas un raccourci courant.

• Microsoft : actions de réponse et limites de l’isolation ↗

Utiliser les autres actions avec la même prudence

Run antivirus scan, Stop and quarantine file, Restrict app execution, Collect investigation package et Live Response n’ont pas le même impact. Une collecte de paquet ajoute une action et peut consommer des ressources, mais elle est généralement moins disruptive qu’une isolation. Live Response donne un accès puissant au terminal : réservez-le à des rôles autorisés, journalisez la session et commencez par des commandes de collecte.

Defender for Endpoint Plan 1 inclut un sous-ensemble d’actions manuelles, notamment l’analyse antivirus et l’isolation; Plan 2 expose davantage de capacités. Defender for Business présente aussi des différences. Vérifiez la licence, la plateforme minimale et les permissions du locataire au lieu de supposer qu’un bouton absent est un défaut.

Depuis le 1er septembre 2026, l’investigation et réponse automatisées MDE ne fonctionnent plus comme une expérience distincte déclenchable manuellement pour les alertes et remédiations Endpoint. Microsoft indique que les capacités sont intégrées à la pile de protection antivirus par défaut; pour une investigation à la demande, sa documentation recommande une analyse antivirus complète. Cette modification ne s’applique pas de la même façon à Defender for Office 365.

• Microsoft : Live Response ↗
• Microsoft : Action center et changement AIR de septembre 2026 ↗

Séparer lecture, décision et exécution avec RBAC

Un analyste qui enquête n’a pas toujours besoin du droit d’isoler. Avec le contrôle d’accès unifié Defender XDR, séparez la lecture des données de sécurité, la gestion des alertes et les actions de réponse. Limitez aussi la portée aux groupes d’appareils appropriés. Les rôles Entra larges ne doivent pas devenir la solution par défaut lorsqu’un rôle Defender précis suffit.

Le droit d’approuver ou d’exécuter une remédiation est distinct du simple accès à l’alerte. Testez les rôles avec un compte non privilégié représentatif et conservez un accès d’urgence surveillé. L’Action center fournit ensuite l’état, la source et l’historique des actions manuelles et automatisées; utilisez-le lors de chaque revue.

• Microsoft : rôles personnalisés Defender XDR ↗
• Microsoft : permissions de l’Action center ↗

Clore l’alerte avec une conclusion reproductible

Une fermeture utile explique le déclencheur, la chronologie, la portée, les preuves favorables et contraires, les actions, le risque résiduel et la surveillance prévue. Mettez l’alerte à Resolved seulement après avoir traité les entités connexes et vérifié le résultat des actions. Choisissez True alert ou False alert et une détermination cohérente; ces classifications améliorent la qualité opérationnelle des dossiers suivants.

Une suppression n’est justifiée qu’après validation répétée d’un comportement légitime, avec une portée minimale, un propriétaire et une date de révision. Ne masquez pas une famille de détections pour réduire artificiellement la file. Un audit Microsoft 365 et Defender peut ensuite examiner les rôles, politiques, intégrations, rétention et procédures qui déterminent la qualité de chaque enquête sans prétendre remplacer une réponse à incident complète.

• Conserver les ID d’incident, d’alerte, d’appareil et d’action ainsi que les heures UTC.
• Vérifier dans l’Action center que les actions sont terminées, pas seulement demandées.
• Créer une tâche distincte pour chaque correctif de fond : vulnérabilité, contrôle ASR, identité, segmentation ou formation.

• Accompagnement en cybersécurité et Microsoft Defender →
• Compte Microsoft 365 compromis : première intervention →