Azure Sentinel (Microsoft Sentinel)
cloudDéfinition
SIEM/SOAR cloud-native Microsoft collectant des données à l'échelle, détectant les menaces via ML, investigation via graphes d'entités et automatisant la réponse via playbooks.
Description
Microsoft Sentinel est le SIEM/SOAR cloud-native de Microsoft, conçu pour ingérer des données à l'échelle pétaoctet depuis des sources multiples (Azure, M365, AWS, pare-feux, endpoints), détecter les menaces via KQL et ML, et automatiser la réponse via des playbooks Logic Apps.
Contexte cloud
L'architecture repose sur des Workspaces Log Analytics. Les Data Connectors (200+) incluent Azure AD, Office 365, Defender, Syslog, CEF et des connecteurs partenaires. Les Analytics Rules (Scheduled, ML Behavior Analytics, Fusion) génèrent des incidents corrélés depuis des alertes multiples.
Points clés
- Requête KQL de détection :
SigninLogs | where RiskLevelDuringSignIn == "high" | join kind=inner (AuditLogs | where OperationName == "Add member to role") on UserId - SOAR playbook : Logic App déclenchée sur incident Sentinel pour révoquer les sessions AAD via Graph API automatiquement
- UEBA (User and Entity Behavior Analytics) : activer pour détecter les anomalies d'accès basées sur les baselines comportementales utilisateur
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis