Passer au contenu principal
La remédiation des utilisateurs isole automatiquement (ou manuellement) les utilisateurs lorsqu’ils sont associés à des détections malveillantes. Si une détection correspond à une règle de verdict pour laquelle des actions de remédiation des utilisateurs sont configurées, mais que la remédiation automatique des identités est désactivée globalement ou bloquée par la stratégie d’un groupe, la détection est escaladée à votre équipe. La remédiation est toujours disponible manuellement lors de l’examen d’un dossier, en sélectionnant Actions > Remédier ou libérer.
La remédiation automatique n’est pas effectuée pour les détections provenant d’intégrations en bêta. Si la détection est générée par une intégration en bêta, Wirespeed ignore la remédiation automatique et escalade le dossier à votre équipe. La remédiation manuelle reste disponible.

​
Actions de remédiation

Wirespeed peut effectuer les actions suivantes pour la remédiation d’un utilisateur :
  • Désactiver le compte : empêcher l’utilisateur de se connecter
  • Exiger un nouvel enregistrement MFA : supprimer les méthodes MFA enregistrées afin que l’utilisateur doive s’enregistrer à nouveau lors de la prochaine connexion exigeant une authentification forte
  • Réinitialiser le mot de passe : imposer un changement de mot de passe à la prochaine connexion
  • Révoquer les sessions : mettre fin à toutes les sessions de connexion actives
Pour les comptes Microsoft Entra synchronisés depuis un Active Directory local, Wirespeed ne peut pas réinitialiser le mot de passe via Microsoft Graph et ignore cette action. Microsoft Graph peut signaler la réussite de la désactivation du compte, mais une synchronisation ultérieure de l’annuaire peut réactiver le compte, car l’Active Directory local reste la source de référence. Wirespeed poursuit les autres remédiations configurées, comme la révocation des sessions. Lors d’une remédiation automatique, la réinitialisation du mot de passe ignorée entraîne l’escalade de la détection pour un suivi par un analyste. Réinitialisez le mot de passe et désactivez le compte dans l’Active Directory local pour que ces actions soient durables.
Les actions affichées dans l’interface et exécutées pour une détection dépendent du fournisseur d’identité connecté et des actions sélectionnées dans la règle de verdict correspondante.

​
Actions de libération

Lorsqu’une détection est résolue comme Bénigne, Wirespeed peut annuler automatiquement la remédiation de l’utilisateur :
  • Réactiver le compte : réactiver le compte de l’utilisateur pour la connexion
Exiger un nouvel enregistrement MFA, Réinitialiser le mot de passe et Révoquer les sessions sont des actions ponctuelles qui ne nécessitent pas d’étape de libération distincte. Exiger un nouvel enregistrement MFA est une action destructrice : Wirespeed ne peut pas restaurer les méthodes d’authentification supprimées, et l’utilisateur doit enregistrer de nouvelles méthodes avant de pouvoir répondre à une demande MFA.

​
VIP et NHI

Les utilisateurs VIP et NHI sont gérés via les groupes. La remédiation est désactivée par défaut pour les groupes intégrés VIP et NHI : ces identités ne font donc pas l’objet d’une remédiation automatique, même lorsque la remédiation automatique des identités est activée globalement. La remédiation manuelle depuis le menu Actions du dossier reste disponible. Vérifiez comment les VIP et les NHI sont représentés dans votre environnement avant d’activer la remédiation sur ces groupes.

​
Intégrations prises en charge

Les actions de remédiation et de libération des utilisateurs sont disponibles via les fournisseurs d’identité connectés, notamment : Chaque intégration prend en charge une partie des actions ci-dessus. La boîte de dialogue Remédier ou libérer n’affiche que les actions que votre intégration connectée peut effectuer.