Microsoft Sentinel SIEM

Définition

Microsoft Sentinel est le SIEM/SOAR cloud-native de Microsoft Azure, succédant à Azure Sentinel, conçu pour collecter, analyser et corréler des données de sécurité à l'échelle du cloud sans infrastructure on-premise à gérer. La plateforme ingère des logs via des connecteurs natifs couvrant Microsoft 365, Azure Active Directory renommé Entra ID, Defender for Endpoint, mais aussi des sources tierces via Syslog, CEF ou l'agent Azure Monitor. La détection s'appuie sur des règles d'analytics utilisant le langage KQL, Kusto Query Language, ainsi que sur des modèles de machine learning intégrés pour identifier des anomalies comportementales, des mouvements latéraux ou des connexions à risque, impossible travel, brute force. Sentinel propose également des classeurs de visualisation, un module de threat hunting proactif et l'intégration native de flux de threat intelligence via TAXII. Le volet SOAR repose sur les playbooks Azure Logic Apps, permettant d'automatiser des actions de réponse, désactivation d'un compte compromis, isolement d'un endpoint via Defender, notification Teams ou email, réduisant le temps moyen de réponse. Sentinel facture à l'ingestion de données en gigaoctets par jour avec un modèle de rétention configurable, et s'intègre étroitement avec Microsoft Defender XDR pour une visibilité unifiée entre identité, endpoint, cloud et messagerie, positionnant l'outil comme référence pour les environnements majoritairement Microsoft 365 et Azure.