Threat Alerts
Vos analyses régulières vous donnent une image à un instant donné de la configuration de votre tenant. Threat Alerts est différent : il vous montre ce qui se passe en ce moment même. Il extrait les signaux de risque d'identité actuels de votre tenant Microsoft 365 et les présente en un seul endroit, afin que vous puissiez repérer un compte compromis et agir sans quitter Aether365.
Threat Alerts utilise votre connexion AI Pilot. Il est en lecture seule pour la consultation, et il ajoute un moyen, en un clic, de contenir un utilisateur à risque lorsque vous devez réagir vite.
Nécessite une connexion AI Pilot
Threat Alerts lit les signaux de risque en temps réel via la connexion AI Pilot. Si vous n'en avez pas encore configuré une, consultez AI Pilot pour savoir comment la connecter. Votre connexion d'analyse en lecture seule ne suffit pas à alimenter Threat Alerts.
Ce que montre Threat Alerts
La page Threat Alerts s'organise autour de trois sources. Chacune répond à une question différente sur le risque d'identité dans votre tenant.
Utilisateurs à risque
Les personnes de votre tenant dont Microsoft considère actuellement les comptes comme à risque. Pour chaque utilisateur, vous voyez qui il est, son niveau de risque actuel et la raison de son signalement. C'est le moyen le plus rapide de repérer un compte potentiellement compromis et de décider s'il faut le contenir.
Détections de risque
Les signaux de risque individuels à l'origine de ces utilisateurs : par exemple des connexions depuis des emplacements inhabituels, des adresses IP anonymes, des identifiants divulgués ou des schémas de déplacement impossibles. Là où une vue au niveau de l'utilisateur vous dit « ce compte semble à risque », les détections de risque vous indiquent ce qui a précisément déclenché cette conclusion.
Nécessite Microsoft Entra ID P2
Les détections de risque proviennent de Microsoft Entra ID Protection, qui requiert une licence Microsoft Entra ID P2. Si votre tenant n'en dispose pas, cette source affiche une mention « Pas encore disponible » au lieu de données. Voir Licences et la mention « Pas encore disponible » ci-dessous.
Alertes de sécurité
Des alertes de sécurité de plus haut niveau émises pour votre tenant : une activité suspecte corrélée en une alerte qui mérite un examen plus approfondi. Elles vous donnent une image de sécurité plus large, en complément des signaux propres à l'identité.
Nécessite Microsoft Defender
Les alertes de sécurité proviennent de Microsoft Defender. Si votre tenant ne dispose pas d'un plan Microsoft Defender produisant ces alertes, cette source affiche une mention « Pas encore disponible » au lieu de données.
Threat Alerts est en lecture seule pour la consultation
Consulter Threat Alerts ne change jamais rien dans votre tenant. Il lit l'état de risque actuel et l'affiche. La seule action qui produit réellement une modification est la réponse à compromission décrite ci-dessous, et elle ne s'exécute que lorsque vous la déclenchez explicitement sur un utilisateur précis.
Réponse à compromission : contenir un utilisateur à risque en un clic
Lorsque vous repérez un compte compromis ou au comportement suspect, vous pouvez le contenir directement depuis la liste des utilisateurs à risque. Contenir un utilisateur effectue deux actions à la fois :
- Révoque les sessions actives de l'utilisateur, ce qui force tout attaquant connecté à se reconnecter.
- Désactive le compte, de sorte qu'aucune nouvelle connexion ne puisse aboutir jusqu'à ce que vous le réactiviez.
Ensemble, ces actions coupent rapidement l'accès d'un attaquant pendant que vous enquêtez.
Pour contenir un utilisateur :
- Ouvrez Threat Alerts depuis la barre latérale.
- Dans la liste des utilisateurs à risque, repérez le compte que vous souhaitez contenir.
- Cliquez sur Contenir pour cet utilisateur et confirmez.
- Aether365 révoque les sessions de l'utilisateur et désactive le compte via votre connexion AI Pilot.
Le confinement est réversible
Désactiver un compte ne le supprime pas. Une fois votre enquête menée et le compte jugé sûr, vous pouvez le réactiver depuis le centre d'administration Microsoft Entra. Contenez d'abord, enquêtez ensuite : il est bien plus facile de réactiver un compte sain que de se remettre d'une intrusion active.
Parce que la réponse à compromission écrit dans votre tenant, elle s'appuie sur la connexion d'écriture AI Pilot. Si un tenant ne dispose que d'une connexion d'analyse en lecture seule, les données sources peuvent tout de même s'afficher, mais contenir un utilisateur n'est pas possible tant qu'AI Pilot n'est pas connecté.
Licences et la mention « Pas encore disponible »
Threat Alerts fait remonter tous les signaux Microsoft que votre tenant est licencié pour produire. Les sources qui dépendent d'une licence dont vous ne disposez pas affichent une mention claire « Pas encore disponible » au lieu de données vides ou trompeuses :
| Source | Nécessite | Si non licencié |
|---|---|---|
| Utilisateurs à risque | Signaux de risque d'identité | Affiché lorsque disponible |
| Détections de risque | Microsoft Entra ID P2 | Mention « Pas encore disponible » |
| Alertes de sécurité | Microsoft Defender | Mention « Pas encore disponible » |
Cette mention est informative, ce n'est pas une erreur. Elle signifie que la source est prête à s'activer dès que le tenant obtient la licence appropriée, sans configuration supplémentaire de votre part. Les sources pour lesquelles vous êtes licencié continuent de fonctionner normalement, quoi qu'il en soit.
Voir aussi
- AI Pilot : la connexion d'écriture qui alimente Threat Alerts et la réponse à compromission
- Policy Management : examiner et renforcer les politiques de sécurité de votre tenant
- Connecter un tenant : configurer vos connexions
- Modèle de sécurité : lecture seule par défaut et accès en écriture optionnel