Microsoft Defender for Endpoint Microsoft Defender for Endpoint

Intégrez les alertes, incidents et vulnérabilités Microsoft Defender

Le connecteur Microsoft Defender for Endpoint vous permet d'intégrer vos données de sécurité dans OverView pour une visibilité centralisée sur les incidents et vulnérabilités détectées.

Objectif

Le connecteur Microsoft Defender for Endpoint permet de récupérer les informations suivantes :

  • Inventaire des machines
  • Alertes et incidents de sécurité
  • Vulnérabilités (Threat & Vulnerability Management)
  • Type et catégorie d'appareil (ex : téléphones IP, IoT, équipements réseau) — via Advanced Hunting

Prérequis

  • Tenant Microsoft 365 avec Microsoft Defender for Endpoint activé
  • Application Azure AD configurée avec permissions appropriées
  • Accès au portail Azure pour créer/gérer les applications

Informations à fournir dans OverView

ChampDescription
URL de l'APIURL de l'API Microsoft Defender (ex: https://api.security.microsoft.com)
URL du jetonURL du endpoint de token Azure AD (ex: https://login.microsoftonline.com/{tenant-id}/oauth2/v2.0/token)
ID du locataireID du tenant Azure AD
ID d'application (client)ID client de l'application Azure AD
Secret clientSecret client de l'application Azure AD

Paramètres

Ces paramètres sont facultatifs. Conservez leur valeur par défaut sauf besoin particulier.

ParamètreDescriptionDéfaut
Jours à récupérerNombre de jours de données à récupérer90
Collecter les types d'appareilsCollecter les informations de type d'appareilActivé

Configuration

Enregistrer une application dans Microsoft Entra ID

  1. Accédez au Microsoft Entra admin center.
  2. Allez à Microsoft Entra ID > App registrations > New registration.
  3. Remplissez les détails de l'application :
    • Name : OverView Microsoft Defender Connector
    • Supported account types : Accounts in this organizational directory only
  4. Cliquez sur Register.
  5. À partir de la page d'aperçu de l'application, notez l'Application (Client) ID et le Directory (Tenant) ID.

Ajouter les permissions API Microsoft Defender

  1. Dans votre inscription d'application, allez à API permissions > Add a permission.
  2. Sélectionnez APIs my organization uses et recherchez WindowsDefenderATP.
  3. Cliquez sur WindowsDefenderATP.
  4. Sélectionnez Application permissions et ajoutez les éléments suivants :
    • Machine.Read.All
    • Alert.Read.All
    • Vulnerability.Read.All
    • SecurityRecommendation.Read.All
    • Software.Read.All
    • AdvancedQuery.Read.All
  5. Cliquez sur Add permissions.
  6. Cliquez sur Grant admin consent for Organization et confirmez.
Attention
Le consentement administrateur est obligatoire

Ajouter une permission ne suffit pas : vous devez cliquer sur Grant admin consent for Organization puis confirmer. Sans le consentement administrateur, la permission n'est pas appliquée et les données correspondantes ne sont pas collectées.

Note
Collecte du type d'appareil

AdvancedQuery.Read.All permet la collecte du type/catégorie d'appareil (par ex. distinguer un téléphone IP d'un serveur) via l'API Advanced Hunting. Ces données ne sont disponibles que sur les 30 derniers jours : un appareil qui n'a pas été vu par Defender au cours des 30 derniers jours n'aura pas de type d'appareil. Cette permission est optionnelle — sans elle, toutes les autres données restent collectées.

Générer un client secret

  1. Dans votre inscription d'application, allez à Certificates & secrets > New client secret.
  2. Ajoutez une description (ex: "OverView Connector").
  3. Sélectionnez une période d'expiration.
  4. Cliquez sur Add.
  5. Copiez immédiatement la Value (elle n'apparaîtra qu'une seule fois).

Configurer le connecteur dans OverView

  1. Dans OverView, accédez à Data Sources Settings > Sources.
  2. Sélectionnez Microsoft Defender for Endpoint et cliquez sur Configure.
  3. Renseignez tous les champs requis :
  4. Cliquez sur Save Configuration.

Référence : Microsoft Defender for Endpoint API - Create an app

Permissions requises

L'application Azure AD doit disposer des permissions minimales suivantes :

  • Machine.Read.All : Lecture de l'inventaire des machines
  • Alert.Read.All : Lecture des alertes et incidents
  • Vulnerability.Read.All : Accès aux données de vulnérabilités
  • SecurityRecommendation.Read.All : Accès aux recommandations de sécurité
  • Software.Read.All : Lecture des logiciels installés sur les machines
  • AdvancedQuery.Read.All : Collecte du type/catégorie d'appareil via Advanced Hunting (30 derniers jours uniquement, optionnel)
Alternative : import par fichiers via DropPoint

L'accès API décrit plus haut est la méthode recommandée pour ce connecteur. Lorsqu'il n'est pas disponible (réseau cloisonné, version ou licence sans API, export déjà produit par ailleurs), OverView accepte des exports de fichiers, à déposer dans le bucket dédié à Microsoft Defender for Endpoint.

Où déposer les fichiers ?

Bucket : s3://microsoftdefender/

Exemple : s3://microsoftdefender/export.csv

La procédure est décrite dans le guide OverView DropPoint : génération des credentials, configuration du client, puis envoi des fichiers depuis l'interface web OverView, l'AWS CLI ou un SDK. Les exemples y sont préremplis avec ce bucket lorsque vous suivez ce lien.

← PrécédentKaspersky Security CenterSuivant →Palo Alto Cortex XDR