Configurez une surveillance complète pour détecter les activités administratives suspectes et les potentielles violations de sécurité dans votre environnement Intune.
Configurez l'intégration de Microsoft Defender XDR :
- Dans le portail Microsoft Defender (
security.microsoft.com), allez à Paramètres > Microsoft 365 Defender - Activez le connecteur de données Microsoft Intune
- Configurez ces règles d'alerte :
{
"alertRules": [
{
"name": "Activité Admin Suspecte",
"conditions": [
"Plusieurs échecs de connexion admin",
"Accès admin depuis un lieu inhabituel",
"Opérations en masse sur les appareils",
"Changements d'attribution de rôle"
],
"severity": "Élevée",
"actions": ["Envoyer un email à l'équipe de sécurité", "Créer un incident"]
},
{
"name": "Activation de Rôle Privilégié",
"conditions": [
"Activation de rôle PIM en dehors des heures ouvrables",
"Utilisation de compte d'accès d'urgence",
"Multiples activations de rôle par le même utilisateur"
],
"severity": "Moyenne",
"actions": ["Enregistrer dans le SIEM", "Notifier le manager"]
}
]
}
Configurez la surveillance des journaux d'audit Intune :
- Dans le centre d'administration Intune, allez à Administration du locataire > Journaux d'audit
- Configurez les paramètres de rétention et d'exportation des journaux
- Configurez la surveillance automatisée pour ces événements :
# Script PowerShell pour surveiller les événements critiques d'Intune
$criticalEvents = @(
"Attribution de rôle créée",
"Attribution de rôle supprimée",
"Appareil effacé",
"Politique de conformité modifiée",
"Base de sécurité modifiée",
"Politique d'accès conditionnel modifiée"
)
# Interroger les journaux d'audit pour les événements critiques
Connect-MgGraph -Scopes "AuditLog.Read.All"
$auditLogs = Get-MgAuditLogDirectoryAudit -Filter "activityDisplayName in ('$($criticalEvents -join "','")') and activityDateTime ge $((Get-Date).AddHours(-24).ToString('yyyy-MM-ddTHH:mm:ssZ'))"
# Envoyer des alertes pour tout événement critique
foreach ($log in $auditLogs) {
Send-MailMessage -To "security-team@company.com" -Subject "Événement Critique Intune Détecté" -Body "Événement : $($log.ActivityDisplayName) par $($log.InitiatedBy.User.UserPrincipalName)"
}
Configurez la surveillance des risques de connexion :
- Dans le centre d'administration Microsoft Entra, allez à Protection > Protection d'identité
- Configurez la politique de risque utilisateur pour les comptes admin :
{
"userRiskPolicy": {
"assignments": {
"users": ["Tous les rôles admin"],
"conditions": {
"userRisk": ["Élevé", "Moyen"]
}
},
"controls": {
"access": "Bloquer",
"requirePasswordChange": true
}
},
"signInRiskPolicy": {
"assignments": {
"users": ["Tous les rôles admin"],
"conditions": {
"signInRisk": ["Élevé"]
}
},
"controls": {
"access": "Bloquer"
}
}
}
Configurez l'intégration SIEM :
# Exporter les journaux Intune vers Azure Sentinel/SIEM
$workspaceId = "votre-id-espace-de-travail-analytique"
$workspaceKey = "votre-clé-espace-de-travail"
# Configurer le connecteur de données pour les journaux Intune
New-AzSentinelDataConnector -ResourceGroupName "security-rg" -WorkspaceName "security-workspace" -Kind "MicrosoftThreatIntelligence"
Conseil pro : Créez des tableaux de bord personnalisés dans Azure Monitor pour visualiser les activités administratives Intune et identifier les schémas pouvant indiquer une compromission.
Vérification : Générez des événements de test (comme des attributions de rôle) et confirmez qu'ils apparaissent dans vos tableaux de bord de surveillance et déclenchent les alertes appropriées.
