Microsoft Defender for Endpoint Microsoft Defender for Endpoint

Intégrez les alertes, incidents et vulnérabilités Microsoft Defender

Le connecteur Microsoft Defender for Endpoint vous permet d'intégrer vos données de sécurité dans OverSOC pour une visibilité centralisée sur les incidents et vulnérabilités détectées.

Objectif

Le connecteur Microsoft Defender for Endpoint permet de récupérer les informations suivantes :

  • Inventaire des machines
  • Alertes et incidents de sécurité
  • Vulnérabilités (Threat & Vulnerability Management)

Prérequis

  • Tenant Microsoft 365 avec Microsoft Defender for Endpoint activé
  • Application Azure AD configurée avec permissions appropriées
  • Accès au portail Azure pour créer/gérer les applications

Informations à fournir dans OverSOC

ChampDescription
API URL*URL de l'API Microsoft Defender (ex: https://api.security.microsoft.com)
Token URL*URL du endpoint de token Azure AD (ex: https://login.microsoftonline.com/{tenant-id}/oauth2/v2.0/token)
Tenant ID*ID du tenant Azure AD
Application (Client) ID*ID client de l'application Azure AD
Client Secret*Secret client de l'application Azure AD

Configuration

Enregistrer une application dans Microsoft Entra ID

  1. Accédez au Microsoft Entra admin center.
  2. Allez à Microsoft Entra ID > App registrations > New registration.
  3. Remplissez les détails de l'application :
    • Name : OverSOC Microsoft Defender Connector
    • Supported account types : Accounts in this organizational directory only
  4. Cliquez sur Register.
  5. À partir de la page d'aperçu de l'application, notez l'Application (Client) ID et le Directory (Tenant) ID.

Ajouter les permissions API Microsoft Defender

  1. Dans votre inscription d'application, allez à API permissions > Add a permission.
  2. Sélectionnez APIs my organization uses et recherchez WindowsDefenderATP.
  3. Cliquez sur WindowsDefenderATP.
  4. Sélectionnez Application permissions et ajoutez les éléments suivants :
    • Machine.Read.All
    • Alert.Read.All
    • Vulnerability.Read.All
    • SecurityRecommendation.Read.All
  5. Cliquez sur Add permissions.
  6. Cliquez sur Grant admin consent for Organization et confirmez.

Générer un client secret

  1. Dans votre inscription d'application, allez à Certificates & secrets > New client secret.
  2. Ajoutez une description (ex: "OverSOC Connector").
  3. Sélectionnez une période d'expiration.
  4. Cliquez sur Add.
  5. Copiez immédiatement la Value (elle n'apparaîtra qu'une seule fois).

Configurer le connecteur dans OverSOC

  1. Dans OverSOC, accédez à Data Sources Settings > Sources.
  2. Sélectionnez Microsoft Defender for Endpoint et cliquez sur Configure.
  3. Renseignez tous les champs requis :
  4. Cliquez sur Save Configuration.

Référence : Microsoft Defender for Endpoint API - Create an app

Permissions requises

L'application Azure AD doit disposer des permissions minimales suivantes :

  • Machine.Read.All : Lecture de l'inventaire des machines
  • Alert.Read.All : Lecture des alertes et incidents
  • Vulnerability.Read.All : Accès aux données de vulnérabilités
  • SecurityRecommendation.Read.All : Accès aux recommandations de sécurité
Précédent← HarfangLabSuivantSentinelOne →