Azure Sentinel (Microsoft Sentinel)

Définition

Azure Sentinel, rebaptisé Microsoft Sentinel, est une plateforme SIEM et SOAR (Security Orchestration, Automation and Response) entièrement cloud-native développée par Microsoft, s'appuyant sur l'infrastructure Azure pour offrir une capacité de collecte, de corrélation et de réponse aux menaces à grande échelle, sans nécessiter la gestion d'infrastructure sur site caractéristique des SIEM traditionnels. Le volet SIEM ingère des données de sécurité provenant de sources hétérogènes — environnements Microsoft (Azure AD, Microsoft 365, Defender), infrastructures multi-cloud (AWS, GCP), équipements réseau tiers et applications SaaS via des connecteurs prédéfinis nombreux — puis applique des règles de détection alignées sur le framework MITRE ATT&CK ainsi que des modèles de machine learning entraînés sur la télémétrie massive de Microsoft, permettant d'identifier des schémas d'attaque complexes échappant à des règles de corrélation purement statiques. Le module d'investigation s'appuie sur une représentation en graphe des entités impliquées dans un incident — utilisateurs, appareils, adresses IP, fichiers — permettant aux analystes de visualiser rapidement les relations et le déroulé chronologique d'une compromission complexe. Le volet SOAR automatise la réponse via des playbooks construits sur Azure Logic Apps, orchestrant des actions correctives automatisées (isolation d'un endpoint, désactivation d'un compte compromis, notification) déclenchées en fonction de la sévérité et du type d'incident détecté.