Microsoft Defender

Mettez à jour vos licences

Cela doit être fait lors de l’échange avec votre représentant commercial Stoïk, dans le cadre de l’achat du MDR Stoïk. Stoïk n’achète pas les licences pour votre compte pour Microsoft MDR.

Déployez vos licences

L’attribution d’une licence n’est pas la même chose que le déploiement de l’agent Defender for Endpoint. L’agent doit être déployé sur chaque appareil pour l’inscrire réellement ; la simple attribution de licence ne suffit pas.

• Endpoints (postes de travail) : une fois les licences attribuées, déployez Defender for Endpoint sur les appareils via Intune, la stratégie de groupe ou un script manuel. Consultez la Intégration des appareils documentation pour connaître les méthodes disponibles.

• Serveurs : une licence dédiée est requise. Souscrivez-la d’abord via Mettez à jour vos licences, puis déployez-la à l’aide du .exe installateur fourni par Microsoft.

Connectez votre tenant Microsoft à Stoïk

C’est l’étape qui relie votre console Microsoft Defender à Stoïk, afin que les alertes et les hôtes remontent vers la plateforme d’investigation de Stoïk et dans Stoïk Protect. La configuration comporte trois parties :

• Partie A: effectuée en un seul clic depuis Stoïk Protect (cela autorise Stoïk à lire les alertes et les hôtes de votre tenant Defender).

• Partie B.1: inviter un utilisateur externe dédié pour donner à l’équipe Stoïk CERT l’accès au portail Microsoft Defender.

• Partie B.2: ajouter les autorisations XDR Defender (nécessaire si Defender RBAC est activé sur votre tenant).

Partie A : autoriser Stoïk depuis Stoïk Protect

1

Connectez-vous à Stoïk Protect avec votre compte Stoïk.

2

Accédez à MDR > Paramètres.

3

Cliquez sur Connectez votre compte Microsoft.

4

Vous êtes redirigé vers Microsoft. Vérifiez les autorisations demandées par l’application Stoïk MDR et cliquez sur Accepter.

5

Vous êtes renvoyé vers Stoïk Protect. La page Paramètres affichera la connexion comme Connecté, ainsi que l’identifiant détecté du tenant Microsoft. Une fois la partie A terminée, vos alertes Microsoft Defender commenceront à remonter dans Stoïk. Vous pouvez déjà voir les hôtes surveillés et les alertes dans Stoïk Protect > MDR.

Partie B.1 : inviter l’utilisateur Stoïk MDR

Pour permettre à l’équipe Stoïk CERT d’utiliser la console d’investigation Microsoft et de mener des investigations à grande échelle sur votre tenant, vous devez inviter un utilisateur externe dédié.

1

Accédez à portal.azure.com avec un compte disposant des Administrateur général droits.

2

Dans la barre de recherche supérieure, tapez Utilisateurs et ouvrez la section de gestion des utilisateurs.

3

Cliquez sur Tous les utilisateurs, puis Inviter un utilisateur externe.

4

Renseignez :

• Adresse e-mail : mdr_api@stoikcert.onmicrosoft.com

• Nom d’affichage : Stoik_Mdr_Api

Copiez l’ID de votre tenant (affiché à l’étape 3 du formulaire d’invitation), vous en aurez besoin plus tard.

5

Accédez au Affectations onglet, cliquez sur Ajouter un rôle, recherchez et sélectionnez Opérateur de sécurité, puis cliquez sur Sélectionnez.

Si le rôle n’apparaît pas ensuite dans la liste des affectations, il s’agit d’un bug d’affichage Microsoft connu. Actualisez la page ; le rôle est généralement appliqué correctement.

6

Cliquez sur Vérifier + inviter, puis Inviter pour finaliser.

Partie B.2 : ajouter les autorisations XDR Defender (si Defender RBAC est activé)

1

Accédez à security.microsoft.com avec un compte disposant des Administrateur général droits.

2

Développer Système, cliquez sur Autorisations, puis sous Microsoft Defender XDR, sélectionnez Rôles.

3

Cliquez sur Créer un rôle personnalisé et renseignez Nom du rôle avec stoik_mdr_role.

4

Accorder les autorisations : pour chacun des trois groupes d’autorisations, sélectionnez Toutes les autorisations de lecture et de gestion, cliquez sur Appliquer, puis Suivant.

5

Ajoutez l’affectation :

• Cliquez sur Ajouter une affectation.

• Nom : stoik_mdr_assignment.

• Employés : tapez mdr_api@stoikcert.onmicrosoft.com et cliquez sur l’icône de l’utilisateur qui apparaît pour valider.

• Sélectionnez Toutes les sources de données.

• Cochez Inclure automatiquement toutes les futures sources de données.

• Cliquez sur Ajouter, puis Suivant.

6

Cliquez sur Envoyer pour finaliser.

Notifier Stoïk

Une fois la partie B terminée, envoyez un e-mail à protect@stoik.io avec votre ID du tenant Microsoft (copié à l’étape 4 de la section précédente). L’équipe Stoïk CERT finalisera l’activation de notre côté.