Passer au contenu principal

​
Prise en main

​
Fonctionnement de notre intégration

Nous utilisons la prise en charge d’OAuth par Microsoft pour que vous autorisiez Wirespeed à accéder à votre locataire Microsoft, à établir chaque jour l’inventaire de vos produits Microsoft sous licence et à commencer à synchroniser les données de votre annuaire (utilisateurs et terminaux) ainsi que votre télémétrie de sécurité. Que vous preniez la licence d’un nouveau produit Microsoft aujourd’hui ou dans 3 ans, nous le détecterons, récupérerons sa télémétrie et commencerons à trier les détections pour votre compte. Pour en savoir plus sur les autorisations nécessaires à ce travail, consultez la section Détails des autorisations ci-dessous.

​
Intégration

Pour commencer, ajoutez une nouvelle intégration et sélectionnez Microsoft. Vous serez redirigé vers la page de consentement OAuth.
Connectez l’intégration Microsoft avec un compte Global Administrator. Wirespeed vérifie l’accès aux SKU souscrits de votre locataire lors de la configuration, et Microsoft refuse généralement cet accès si le flux de consentement n’est pas réalisé par un Global Administrator.

​
Test

​
Microsoft Defender for Endpoint

L’exécution de l’une des commandes ci-dessous déclenchera une détection dans Microsoft Defender for Endpoint, qui sera ingérée par Wirespeed. Wirespeed les identifiera automatiquement comme des événements de test.

​
Microsoft Entra ID Protect

Selon votre niveau de licence, des tests supplémentaires sont également disponibles.

​
Erreurs

​
AADSTS650051

AADSTS650051: Consent action for Application ‘UUID’ failed due to the following error: … service principal name is already present for the tenant …
Il s’agit d’une erreur courante de Microsoft, due à un problème dans son processus de consentement OAuth. Si vous êtes utilisateur de Wirespeed, connectez-vous à Wirespeed et recommencez l’ajout de l’intégration depuis le début. Si une URL vous a été transmise pour intégrer Wirespeed, ouvrez-la et donnez de nouveau votre consentement. Si le problème persiste, contactez support@wirespeed.co.

​
AADSTS650052

Cette erreur signifie qu’il manque à votre locataire un principal de service pour un service Microsoft que Wirespeed demande lors du consentement OAuth. Repérez l’ID d’application de votre message d’erreur dans la liste des services ci-dessous, puis développez la section correspondante pour suivre les étapes de résolution.
Vous pouvez rencontrer cette erreur plusieurs fois lors de la configuration de l’intégration, à chaque fois pour une application Microsoft différente. C’est normal. Suivez les étapes de résolution pour l’application nommée dans l’erreur affichée, puis relancez l’intégration depuis Wirespeed jusqu’à ce que le consentement aboutisse.
Si le service indiqué dans votre erreur ne figure pas ci-dessus, copiez l’ID d’application (UUID) depuis les détails de l’erreur sur la page d’erreur d’intégration de Wirespeed. Il apparaît juste après access a service ; par exemple, dans access a service '05a65629-4c1b-48c1-a78b-804c4abdd4af'(Microsoft Cloud App Security), l’ID d’application est 05a65629-4c1b-48c1-a78b-804c4abdd4af. Utilisez cet UUID dans la section Autre service ci-dessous.
AADSTS650052: The app is trying to access a service ‘fc780465-2017-40d4-a0c5-307022471b92’(WindowsDefenderATP) that your organization ‘[ORGANIZATION_ID]’ lacks a service principal for. Contact your IT Admin to review the configuration of your service subscriptions or consent to the application in order to create the required service principal.
Cette erreur signifie que vous n’avez pas acheté Microsoft Defender for Endpoint. Si vous souhaitez continuer sans l’acheter, ajoutez un principal de service de substitution afin que Microsoft autorise la poursuite de l’intégration. Ce principal de substitution est associé à l’ID d’application fc780465-2017-40d4-a0c5-307022471b92, une application Microsoft intégrée pour Defender for Endpoint.
Choisissez soit Graph Explorer, soit PowerShell : une seule méthode suffit, pas les deux.
  1. En tant qu’administrateur général, accédez à Microsoft Graph Explorer
  2. En haut à droite, vérifiez que le locataire affiché est bien celui que vous souhaitez intégrer. Sinon, sélectionnez l’icône de votre profil à côté de ce champ et changez de compte.
    1. Si la zone Request Body est vide, collez-y {"appId": "fc780465-2017-40d4-a0c5-307022471b92"}
  3. Sélectionnez Modify Permissions et donnez votre consentement aux deux autorisations requises
    1. Si les autorisations n’apparaissent pas, sélectionnez manuellement Application.ReadWrite.All et Directory.ReadWrite.All
  4. Cliquez sur Run query
Vérifiez que vous recevez une réponse 201 Created. Relancez ensuite la configuration de l’intégration depuis Wirespeed.
AADSTS650052: The app is trying to access a service ‘05a65629-4c1b-48c1-a78b-804c4abdd4af’(Microsoft Cloud App Security) that your organization ‘[ORGANIZATION_ID]’ lacks a service principal for. Contact your IT Admin to review the configuration of your service subscriptions or consent to the application in order to create the required service principal.
Cette erreur signifie que vous n’avez pas acheté ou provisionné Microsoft Defender for Cloud Apps (anciennement Microsoft Cloud App Security) dans votre locataire. Wirespeed demande l’accès à Cloud Apps pour ingérer les alertes de sécurité de ce service. Si vous n’utilisez pas cette fonctionnalité, ajoutez un principal de service de substitution afin que Microsoft autorise la poursuite de l’intégration. Ce principal de substitution est associé à l’ID d’application 05a65629-4c1b-48c1-a78b-804c4abdd4af, une application Microsoft intégrée pour Microsoft Cloud App Security.
Choisissez soit Graph Explorer, soit PowerShell : une seule méthode suffit, pas les deux.
  1. En tant qu’administrateur général, accédez à Microsoft Graph Explorer
  2. En haut à droite, vérifiez que le locataire affiché est bien celui que vous souhaitez intégrer. Sinon, sélectionnez l’icône de votre profil à côté de ce champ et changez de compte.
    1. Si la zone Request Body est vide, collez-y {"appId": "05a65629-4c1b-48c1-a78b-804c4abdd4af"}
  3. Sélectionnez Modify Permissions et donnez votre consentement aux deux autorisations requises
    1. Si les autorisations n’apparaissent pas, sélectionnez manuellement Application.ReadWrite.All et Directory.ReadWrite.All
  4. Cliquez sur Run query
Vérifiez que vous recevez une réponse 201 Created. Relancez ensuite la configuration de l’intégration depuis Wirespeed.
Utilisez cette section lorsque l’ID d’application de votre erreur ne figure pas dans le tableau ci-dessus. Développez Afficher les détails de l’erreur sur la page d’erreur d’intégration de Wirespeed et copiez l’UUID entre apostrophes qui suit access a service.Exemple de détail d’erreur :
Dans cet exemple, utilisez l’ID d’application 05a65629-4c1b-48c1-a78b-804c4abdd4af. Dans les étapes ci-dessous, remplacez YOUR_APP_ID par l’UUID de votre erreur.Cette erreur signifie qu’il manque à votre locataire un principal de service pour un service Microsoft que Wirespeed demande lors du consentement OAuth. Si vous n’avez pas acheté ou provisionné ce service, vous pouvez ajouter un principal de service de substitution afin que Microsoft autorise la poursuite de l’intégration.
Choisissez soit Graph Explorer, soit PowerShell : une seule méthode suffit, pas les deux.
  1. En tant qu’administrateur général, accédez à Microsoft Graph Explorer
  2. En haut à droite, vérifiez que le locataire affiché est bien celui que vous souhaitez intégrer. Sinon, sélectionnez l’icône de votre profil à côté de ce champ et changez de compte.
  3. Définissez le corps de la requête comme suit (remplacez YOUR_APP_ID par l’UUID de votre erreur) :
  1. Sélectionnez Modify Permissions et donnez votre consentement aux deux autorisations requises
    1. Si les autorisations n’apparaissent pas, sélectionnez manuellement Application.ReadWrite.All et Directory.ReadWrite.All
  2. Cliquez sur Run query
Vérifiez que vous recevez une réponse 201 Created. Relancez ensuite la configuration de l’intégration depuis Wirespeed.

​
AADSTS50097

AADSTS50097: Device authentication is required.
Cette erreur se produit lorsque votre locataire Microsoft Entra dispose de stratégies d’accès conditionnel qui exigent l’authentification de l’appareil. L’administrateur de votre locataire a configuré des stratégies qui n’autorisent la connexion que depuis des appareils joints à Azure AD, joints en mode hybride ou marqués comme conformes. Pour résoudre ce problème :
  1. Utilisez un appareil autorisé : effectuez la connexion OAuth depuis un appareil joint à votre domaine Azure AD ou marqué comme conforme dans Intune/Endpoint Manager.
  2. Évitez la navigation privée : les sessions de navigation privée ne peuvent pas présenter les identifiants de l’appareil, ce qui provoque cette erreur même sur un appareil par ailleurs autorisé.
  3. Contactez votre administrateur informatique : si vous ne savez pas quels appareils sont autorisés, demandez à votre administrateur informatique de vérifier que l’appareil que vous utilisez respecte les exigences d’accès conditionnel de votre organisation.

​
Détails des autorisations

Nous avons besoin de diverses autorisations pour nous intégrer à votre locataire Microsoft. La liste des autorisations présentée lors du consentement OAuth peut sembler intimidante, voire superflue ; nous le comprenons, et c’est pourquoi nous ne demandons que les autorisations dont nous avons besoin pour vous offrir la meilleure expérience.

​
Accès en lecture

  • La majorité des autorisations listées dans la boîte de dialogue OAuth sont en lecture seule. Microsoft nous oblige à les demander individuellement, d’où la longueur de la liste. Dans les grandes lignes, nous devons lire :
  • Les alertes de sécurité, évidemment, car nous devons les trier
  • Les IOC (indicateurs de compromission), car il s’agit d’une forme de détection
  • Les données des journaux d’audit, qui contiennent une télémétrie de sécurité complémentaire importante
  • Les journaux et données de connexion, afin de réaliser des détections et des analyses
  • Les informations sur l’organisation, c’est-à-dire les métadonnées de votre locataire, afin de nous assurer de couvrir correctement toute la télémétrie de sécurité de votre organisation
  • Les données d’annuaire, afin de connaître votre organisation, vos collaborateurs et leurs rôles, et de déterminer la meilleure façon de trier les dossiers ou d’interagir avec eux
  • Les profils des utilisateurs et leurs méthodes d’authentification, afin de déterminer les recommandations adaptées à une détection de sécurité
  • Les profils de fichiers, pour enrichir les fichiers référencés dans les détections
  • Les profils d’URL, pour enrichir les URL référencées dans les détections
  • Les détections et informations de risque, car les informations relatives à la posture de sécurité éclairent les détections et sont corrélées avec elles
  • Les informations de gestion des menaces et des vulnérabilités, qui éclairent et enrichissent les détections
  • Les données d’évaluation des références de sécurité, qui éclairent et enrichissent les détections
  • Les tâches de remédiation, afin de savoir quelles tâches vous avez effectuées et de formuler de meilleures recommandations
  • Les paramètres de boîte aux lettres (MailboxSettings.Read pour les intégrations en lecture seule), afin d’inspecter les règles de boîte aux lettres lors des investigations. Cette autorisation ne permet ni d’envoyer ni de lire des e-mails.

​
Accès en écriture

Nous demandons quelques autorisations en écriture afin de vous offrir les meilleurs résultats et la meilleure expérience. Toutes sont demandées au moment de l’intégration, mais cela ne signifie PAS qu’elles seront utilisées tant que vous n’aurez pas activé les paramètres de configuration qui s’en servent. Il est toutefois plus simple pour vous que nous demandions ces autorisations en une seule fois, même si vous ne les activez pas dans notre plateforme. Par défaut, elles sont bloquées lorsque votre locataire est créé en mode test.
  • Les détections de risque, afin de mettre à jour leurs statuts (par exemple, clôturer les occurrences résolues ou les faux positifs)
  • Les alertes de sécurité, afin de mettre à jour le statut de la partie « ticket » des alertes et de les synchroniser avec les résultats de notre triage et de notre réponse
  • Les méthodes d’authentification des utilisateurs (UserAuthenticationMethod.ReadWrite.All), afin que Exiger un nouvel enregistrement MFA puisse supprimer les méthodes MFA enregistrées d’un utilisateur compromis. Il s’agit d’une remédiation destructive et ponctuelle : Wirespeed ne peut pas restaurer les méthodes supprimées, et l’utilisateur doit enregistrer de nouvelles méthodes lors de la prochaine connexion exigeant une authentification forte.
  • Les événements de chronologie, afin de synchroniser nos chronologies de triage des dossiers avec celles des tickets de vos détections dans votre console Microsoft
  • Toutes les informations sur les machines, afin d’ajouter des commentaires et des métadonnées aux machines, visibles par vos administrateurs dans le cadre de la réponse

​
Accès de remédiation

Enfin, nous demandons un petit ensemble d’autorisations afin de pouvoir remédier correctement aux menaces pour votre compte, que ce soit de manière automatisée (si vous l’activez) ou manuelle (c’est-à-dire lorsque vous cliquez sur le bouton de remédiation dans notre application pour lancer un processus de remédiation). Comme pour les autorisations d’accès en écriture ci-dessus, aucune n’est activée par défaut dans notre plateforme. En mode test, la remédiation automatisée est bloquée ; la remédiation manuelle reste disponible lorsque vous cliquez sur le bouton de remédiation.
  • Activer/désactiver des comptes utilisateur, afin de remédier à une identité compromise dans le cadre d’un dossier, que ce soit de manière automatisée via les options de remédiation des utilisateurs ou manuellement en cliquant sur le bouton de remédiation dans notre plateforme. Le compte utilisateur Microsoft est alors désactivé ou activé ; cette action est totalement sûre et réversible, soit dans la plateforme via le bouton de remédiation, soit directement dans vos outils de gestion des utilisateurs Microsoft habituels.
  • Révoquer toutes les sessions de connexion ; en cas de compromission d’identité, un acteur malveillant non autorisé peut conserver l’accès de l’utilisateur compromis, même après la réinitialisation de ses identifiants, en exploitant des jetons et cookies de session de connexion de longue durée. Cette autorisation nous permet de révoquer toutes les connexions, ce qui coupe l’accès des acteurs malveillants aux comptes utilisateur. Cette action est sûre et en grande partie réversible : l’utilisateur concerné peut simplement s’authentifier de nouveau pour établir de nouvelles sessions. Il s’agit tout au plus d’un désagrément mineur pour les utilisateurs, en échange d’une remédiation rapide et complète face à un acteur malveillant déterminé à atteindre un objectif malveillant, comme une BEC ou un rançongiciel.
  • Exiger un nouvel enregistrement MFA en supprimant les méthodes MFA enregistrées de l’utilisateur. Wirespeed conserve les méthodes de mot de passe, de récupération par e-mail et de passe d’accès temporaire afin de ne pas bloquer l’utilisateur. Les méthodes MFA supprimées ne peuvent pas être restaurées, et l’utilisateur doit enregistrer de nouvelles méthodes lors de la prochaine connexion exigeant une authentification forte. Cette action nécessite UserAuthenticationMethod.ReadWrite.All et n’est pas disponible lorsque l’intégration est configurée en lecture seule.
  • Exécuter une réponse en direct (live response) sur une machine précise ; cela nous permet de collecter de la télémétrie supplémentaire, de mener des chasses aux menaces et des actions de réponse approfondies en recherchant une éventuelle persistance d’un acteur malveillant sur un terminal de votre parc.
  • Restreindre l’exécution de code ; cela nous permet de demander à Microsoft Defender for Endpoint (DFE) de bloquer du code malveillant que DFE a détecté sans le bloquer dans votre environnement, en établissant une règle empêchant son exécution, conformément à vos options de configuration de remédiation des terminaux, après avoir confirmé que le code est hostile.
  • Arrêter et mettre en quarantaine un fichier ; cela nous permet de demander à Microsoft Defender for Endpoint (DFE) d’arrêter un processus malveillant et de mettre en quarantaine les fichiers malveillants associés, lorsque DFE ne fait que détecter la menace sans la bloquer, conformément à vos options de configuration de remédiation des terminaux, après avoir confirmé que la menace suspectée est bien malveillante. La restauration des fichiers mis en quarantaine doit être effectuée manuellement dans le portail Defender ; MDE ne propose pas d’API REST permettant de lever automatiquement la quarantaine.
  • Supprimer des règles de boîte aux lettres (MailboxSettings.ReadWrite) ; cela nous permet de supprimer les règles de transfert malveillantes et les autres règles de boîte aux lettres découvertes lors des investigations (consultez Remédiation des règles de boîte aux lettres). Cette autorisation ne permet ni d’envoyer ni de lire des e-mails.
  • Supprimer des applications Entra malveillantes (Application.ReadWrite.All) ; cela nous permet de supprimer les applications tierces ajoutées par des attaquants pour maintenir leur persistance dans votre locataire.
  • Révoquer les autorisations et consentements accordés à des applications malveillantes (DelegatedPermissionGrant.ReadWrite.All) ; cela nous permet de supprimer les autorisations et consentements OAuth accordés par un attaquant sans supprimer toute l’application.
  • Ajouter des IOC Microsoft Defender (Ti.ReadWrite.All) ; cela nous permet de publier des indicateurs de compromission dans Microsoft Defender en tant qu’action de remédiation lors des investigations.

​
Limiter les autorisations

Si, après avoir lu et compris ce qui précède sur la manière dont ces autorisations sont utilisées et pourquoi elles sont nécessaires, vous souhaitez tout de même les réduire davantage, vous pouvez :
  • Terminer la boîte de dialogue OAuth de l’intégration Microsoft avec Wirespeed en acceptant la liste des autorisations telle qu’elle est présentée.
  • Accéder à Azure > Enterprise Applications > Wirespeed et supprimer des autorisations individuelles (par exemple, l’accès en écriture ou de remédiation), comme barrière stricte en plus des niveaux de contrôle présents dans Wirespeed.
  • Documenter les autorisations supprimées afin de pouvoir les réactiver manuellement si vous souhaitez activer ultérieurement l’accès en écriture ou de remédiation. Wirespeed signalera des erreurs lors de l’exécution de certaines fonctions, mais il ne nous sera pas forcément évident que ces erreurs sont dues à des autorisations modifiées manuellement.
  • Vous pouvez également choisir de mettre à jour l’intégration Microsoft plus tard, en acceptant toutes les autorisations. Pour cela, dans Wirespeed, accédez à Intégrations > Ajouter une intégration > Microsoft et suivez la même procédure qu’initialement, sans supprimer les autorisations par la suite. Vos autorisations seront mises à jour et vos données Microsoft existantes conservées.

​
Ajouter les e-mails de Wirespeed à la liste d’autorisation

Vous pouvez ajouter certains domaines et adresses e-mail à une liste d’autorisation pour l’ensemble de votre locataire Microsoft. Pour vous assurer que les e-mails de Wirespeed parviennent à votre équipe :
  1. Accédez au Microsoft Defender Portal.
  2. Dans le panneau Email & Collaboration à gauche, accédez à Policies & rules.
  3. Sélectionnez Threat policies.
  4. Sous Rules, sélectionnez Tenant Allow/Block Lists.
  5. Avec Domains & addresses sélectionné, cliquez sur Add et sélectionnez Allow.
  6. Ajoutez wirespeed.co dans la boîte de dialogue, en laissant Remove allow entry after réglé sur la durée de vie maximale de 45 jours.
  7. Terminez le formulaire en cliquant sur Add.
Lors de la première synchronisation, Wirespeed récupère les détections des 120 derniers jours au maximum sur l’ensemble des sources de détection Microsoft. L’ingestion des alertes Microsoft Defender lors de la première synchronisation est en outre limitée aux 5 000 alertes les plus récentes.