> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-center-fr/mdr/deploy/microsoft-defender.md). # Microsoft Defender Connectez votre tenant Microsoft Defender XDR / Defender for Endpoint à Stoïk afin que l’équipe Stoïk CERT puisse le surveiller et y répondre, dans le cadre de l’offre MDR (Managed Detection and Response). Contrairement à CrowdStrike ou SentinelOne, Stoïk ne vend pas de licences Microsoft Defender : les licences restent les vôtres, et vous gardez le contrôle de votre tenant Microsoft. {% hint style="warning" %} La gestion de MS Defender EDR est actuellement en bêta. Faites-nous savoir si vous avez des commentaires ou si vous rencontrez des problèmes. {% endhint %} Votre tenant est connecté à Stoïk de deux façons, et les deux sont nécessaires : * **L’application Stoïk** ([Partie A](#part-a-authorise-the-stoik-application)): envoie vos alertes et la liste des appareils protégés à Stoïk Protect. * **Le compte invité Stoïk MDR** ([Partie B](#part-b-give-the-stoik-cert-team-access-to-your-defender-portal)): permet à l’équipe Stoïk CERT d’enquêter et de répondre dans votre portail Defender (chronologie des appareils, isolement, réponse en direct). La configuration est terminée uniquement lorsque Stoïk peut voir tous vos appareils protégés dans le portail Defender : voir [Vérifier la configuration et informer Stoïk](#check-the-setup-and-notify-stoik). ## Prérequis * Le périmètre des licences est convenu avec votre représentant commercial Stoïk, dans le cadre de l’achat Stoïk MDR. Stoïk n’achète pas de licences Microsoft en votre nom. * Les postes de travail disposent de Defender for Endpoint Plan 2 (inclus dans Microsoft 365 E5 / A5, et dans Defender for Business pour les PME). * Un **Administrateur général** compte du tenant qui héberge vos appareils Defender. Pour [B.3](#b.3-create-the-stoik-role-in-defender), un **Administrateur de la sécurité** un compte fonctionne également. ## Déployez Defender sur vos appareils L’attribution d’une licence n’est pas la même chose que le déploiement de l’agent Defender for Endpoint. Chaque appareil doit être onboardé. * **Postes de travail :** onboardez-les via Intune, la stratégie de groupe ou le script local. Consultez la documentation Microsoft [onboarding des appareils](https://learn.microsoft.com/en-us/defender-endpoint/onboarding) pour connaître les méthodes disponibles. * **Serveurs**, selon l’une des deux options : * Une licence serveur Defender for Endpoint : souscrivez-la d’abord dans le cadre de votre périmètre de licences, voir [Prérequis](#prerequisites), puis onboardez les serveurs avec le package d’onboarding de Microsoft. * **Microsoft Defender for Servers** (Defender for Cloud) : dans `Defender for Cloud` > `Paramètres d’environnement` > votre abonnement > `Plans Defender` > `Serveurs` > `Paramètres`, définissez **Protection des points de terminaison** à **Activé**. Connectez les serveurs sur site via **Azure Arc** d’abord. L’abonnement Azure doit appartenir au **même tenant Microsoft** que vous connectez à Stoïk, sinon les serveurs apparaissent dans la console d’un autre tenant. * **Windows Server 2012 R2 / 2016 :** utilisez l’agent unifié moderne. Les appareils encore onboardés via Microsoft Monitoring Agent (MMA) doivent être migrés : MMA cessera de fonctionner le 26 février 2027. Consultez la [guide de migration](https://learn.microsoft.com/en-us/defender-endpoint/update-agent-mma-windows). {% hint style="warning" %} Un appareil apparaissant sous `MDR` > `Actifs surveillés` dans Stoïk Protect ne signifie pas que Defender for Endpoint y est installé et actif. Les actifs qui y sont affichés proviennent d’Entra ID, et non de Defender lui-même ; un appareil peut donc apparaître avant que l’agent ne soit réellement déployé, et les serveurs non joints à Entra peuvent être absents. La liste de référence est `Ressources` > `Appareils` dans le portail Defender. {% endhint %} ## Partie A : autorisez l’application Stoïk Autorisez l’application Stoïk en un seul clic depuis Stoïk Protect. {% hint style="warning" %} Effectuez la Partie A et la Partie B dans le **même tenant Microsoft** : celui où vos appareils apparaissent sous `Ressources` > `Appareils` dans le portail Defender. {% endhint %} 1. Connectez-vous à [Stoïk Protect](https://app.stoik.io) avec votre compte Stoïk. 2. Accédez à `MDR` > `Paramètres`. 3. Cliquez sur **Connectez votre compte Microsoft**.
4. Vous êtes redirigé vers Microsoft. Examinez les autorisations demandées par l’application Stoïk MDR et cliquez sur **Accepter**. 5. Vous êtes renvoyé vers Stoïk Protect. La **Paramètres** page indique la connexion comme **Connecté**, ainsi que le **ID du tenant Microsoft**. Notez-le : il doit s’agir du même ID de tenant que celui que vous copiez à l’étape [B.1](#b.1-invite-the-stoik-mdr-user). S’il diffère, vous avez connecté un autre tenant : contactez avant d’aller plus loin. ## Partie B : donnez à l’équipe Stoïk CERT l’accès à votre portail Defender Effectuez les quatre étapes, de B.1 à B.4, quelle que soit votre configuration Defender. Les tenants Microsoft utilisent différents modèles d’autorisations : par défaut, les rôles Defender for Endpoint hérités, ou Defender XDR Unified RBAC (le mode par défaut pour les tenants récents de Defender for Endpoint depuis 2025). Ces étapes fonctionnent dans tous les cas, et une étape qui n’est pas nécessaire dans votre tenant ne nuit pas. ### B.1 : inviter l’utilisateur Stoïk MDR {% stepper %} {% step %} Accédez à [portal.azure.com](https://portal.azure.com) (ou [entra.microsoft.com](https://entra.microsoft.com)) avec un **Administrateur général** compte. {% endstep %} {% step %} Accédez à `Utilisateurs` > `Tous les utilisateurs`, puis cliquez sur **Inviter un utilisateur externe**.
{% endstep %} {% step %} Renseignez : * **Adresse e-mail :** `mdr_api@stoikcert.onmicrosoft.com` * **Nom d’affichage :** `Stoik_Mdr_Api` Copiez votre **ID du tenant** (affiché à l’étape 3 du formulaire d’invitation). Il doit correspondre à l’ID de tenant affiché dans Stoïk Protect à la Partie A.
{% endstep %} {% step %} Accédez au **Attributions** onglet, cliquez sur **Ajouter un rôle**, recherchez puis sélectionnez **Opérateur de sécurité**, puis cliquez sur **Sélectionner**.
{% hint style="info" %} Si le rôle n’apparaît pas ensuite dans la liste des attributions, il s’agit d’un bug d’affichage Microsoft connu. Actualisez la page, le rôle est généralement appliqué correctement. {% endhint %} {% endstep %} {% step %} Cliquez sur **Vérifier + inviter**, puis **Inviter** pour finaliser.
{% endstep %} {% endstepper %} {% hint style="info" %} Dans votre tenant, le nom d’utilisateur de l’invité devient `mdr_api_stoikcert.onmicrosoft.com#EXT#@.onmicrosoft.com`. Dans les étapes suivantes, recherchez-le par son nom d’affichage **Stoik\_Mdr\_Api**, et non par son adresse e-mail. {% endhint %}
Une stratégie d’accès conditionnel bloque l’utilisateur invité Si votre tenant applique des stratégies d’accès conditionnel, elles peuvent bloquer le compte invité Stoïk MDR. Excluez le `Stoik-MDR` groupe, créé à l’étape [B.2](#b.2-create-the-stoik-mdr-group), de la stratégie de blocage : 1. Accédez à `Protection` > `Accès conditionnel` > `Stratégies`. 2. Cliquez sur la stratégie qui bloque l’accès. 3. Sous la `Utilisateurs` section, cliquez sur l’onglet `Exclure` onglet, cochez `Utilisateurs et groupes`, puis recherchez et sélectionnez le `Stoik-MDR` groupe. 4. Cliquez sur **Enregistrer**.
Votre tenant impose le MFA Si votre tenant impose le MFA, l’utilisateur Stoïk MDR sera invité à le valider, ce que l’équipe Stoïk CERT ne peut pas faire. Au lieu d’exempter le compte du MFA, configurez une relation de confiance inter-tenant afin que le MFA déjà effectué sur le tenant de Stoïk soit accepté par le vôtre : 1. Connectez-vous à la [centre d’administration Microsoft Entra](https://entra.microsoft.com). 2. Accédez à `Identité` > `Identités externes` > `Paramètres d’accès inter-tenant`. 3. Sous la `Paramètres organisationnels` onglet, cliquez sur **Ajouter une organisation**. 4. Saisissez l’ID de tenant de Stoïk `8100d7bd-172a-492e-bb96-e3f923731bd9` (ou `stoikcert.onmicrosoft.com`), sélectionnez-la, puis cliquez sur **Ajouter**. 5. Une fois l’organisation apparue dans la liste, cliquez sur le lien sous la `Accès entrant` colonne (généralement `Hérité de la valeur par défaut`). 6. Accédez au `Paramètres de confiance` . 7. Sélectionner **Personnaliser les paramètres**. 8. Cochez `Faire confiance à l’authentification multifacteur des tenants Microsoft Entra`. 9. Cliquez sur **Enregistrer**.
### B.2 : créer le groupe Stoik-MDR Les groupes d’appareils Defender et les rôles Defender hérités n’acceptent que des groupes, jamais des utilisateurs individuels. Utilisez ce groupe, et non l’utilisateur, dans toutes les étapes suivantes. 1. Dans [entra.microsoft.com](https://entra.microsoft.com), allez dans `Groupes` > `Tous les groupes` > **Nouveau groupe**.
2. Renseignez : * **Type de groupe :** `Sécurité` * **Nom du groupe :** `Stoik-MDR` * **Type d’appartenance :** `Attribué`
3. En vertu de **Membres**, cliquez sur **Aucun membre sélectionné**, ajoutez **Stoik\_Mdr\_Api**, puis cliquez sur **Créer**. ### B.3 : créer le rôle Stoïk dans Defender Cette étape est obligatoire, même si vous ne savez pas quel modèle d’autorisations Defender utilise votre tenant. {% stepper %} {% step %} Accédez à [security.microsoft.com](https://security.microsoft.com) avec un **Administrateur général** ou **Administrateur de la sécurité** compte. {% endstep %} {% step %} Développer `Système`, cliquez sur `Autorisations`, puis sous `Microsoft Defender XDR (Unified RBAC)`, sélectionnez `Rôles`.
{% endstep %} {% step %} Cliquez sur **Créer un rôle personnalisé** et renseignez **Nom du rôle** avec `stoik_mdr_role`. ![](https://1428753877-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2FH3rzxW1t5X9JnDyhVXrL%2Fmicrosoft-security-permissions-roles-add.png?alt=media\&token=2f8b3a94-1749-4846-9f89-31be3bb8fcd8)
{% endstep %} {% step %} Accorder les autorisations : pour chacun des trois groupes d’autorisations (**Opérations de sécurité**, **Posture de sécurité**, **Autorisation et paramètres**), sélectionnez **Toutes les autorisations de lecture et de gestion**, cliquez sur **Appliquer**, puis **Suivant**.
{% endstep %} {% step %} Ajoutez l’attribution : * Cliquez sur **Ajouter une attribution**. * Nom : `stoik_mdr_assignment`. * Attribuer à : **`Stoik-MDR`** groupe. * Sélectionner **Toutes les sources de données**. * Cochez **Inclure automatiquement les futures sources de données**. * Cliquez sur **Ajouter**, puis **Suivant**. ![](https://1428753877-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FaDGGQ49Oui29Ft0kJjSm%2Fuploads%2Fb3lIdpsPj6FsV0ZSMlJ7%2Fmicrosoft-security-assigment-details.png?alt=media\&token=e276326b-6c53-44c6-9b74-46377f8f18b0) {% endstep %} {% step %} Cliquez sur **Soumettre** pour finaliser.
{% endstep %} {% step %} Toujours dans `Système` > `Autorisations` > `Microsoft Defender XDR (Unified RBAC)`, ouvrez **Paramètres des charges de travail** (ou **Activer les charges de travail**) et vérifiez que **Microsoft Defender for Endpoint** est **activé**. Sinon, le rôle ci-dessus est ignoré pour les appareils. {% endstep %} {% endstepper %}
Vous préférez conserver les rôles Defender for Endpoint hérités Au lieu d’activer la charge de travail Defender for Endpoint dans Unified RBAC : 1. Accédez à `Paramètres` > `Points de terminaison` > `Autorisations` > `Rôles`. 2. Cliquez sur **Ajouter un élément** et nommez-le `stoik_mdr_role`. 3. Cochez **toutes les autorisations**, y compris **Réponse en direct avancée**. 4. Dans **Groupes d’utilisateurs attribués**, ajoutez `Stoik-MDR`. 5. Cliquez sur **Enregistrer**.
### B.4 : donnez l’accès à tous vos groupes d’appareils Ignorez cette étape uniquement si vous n’avez jamais créé de groupe d’appareils. Un groupe d’appareils dont l’accès est restreint à d’autres groupes masque tous ses appareils à Stoïk, y compris les serveurs. 1. Accédez à `Paramètres` > `Points de terminaison` > `Autorisations` > `Groupes d’appareils`. 2. Pour **chaque** groupe d’appareils, **y compris `Appareils non groupés (par défaut)`** : ouvrez-le, allez dans l’onglet **Accès utilisateur** onglet, ajoutez `Stoik-MDR`, puis cliquez sur **Enregistrer**. L’application des changements peut prendre quelques heures. ## Vérifier la configuration et informer Stoïk 1. Dans [security.microsoft.com](https://security.microsoft.com), allez dans `Ressources` > `Appareils` et notez votre nombre d’appareils, ainsi que de serveurs (filtre `Plateforme OS` sur Windows Server et Linux). 2. Dans Entra, allez dans `Applications d’entreprise` > l’application Stoïk > `Autorisations`, et vérifiez que toutes les autorisations affichent **Accordé pour \**. 3. Envoyez un e-mail à avec votre **ID du tenant Microsoft** et les nombres d’appareils et de serveurs indiqués au point 1. L’équipe Stoïk CERT se connecte ensuite avec le compte invité et valide l’onboarding uniquement lorsqu’elle voit `Ressources` > `Appareils` avec les mêmes nombres. Si le menu est absent ou si la liste est vide, voir [Dépannage](#troubleshooting).
Réapprouver l’application Stoïk (clients existants) Lorsque Stoïk ajoute une autorisation à son application (par exemple pour afficher votre vraie liste d’appareils Defender dans Stoïk Protect, ou pour isoler un appareil), un administrateur général de votre tenant doit l’approuver à nouveau : ouvrez le lien envoyé par votre CSM Stoïk et cliquez sur **Accepter**. Cela n’affecte que l’application Stoïk (Partie A). Cela ne modifie pas l’accès du compte invité à votre portail Defender (Partie B).
## Dépannage
Stoïk voit des alertes mais aucun menu Actifs > Appareils, ou une liste d’appareils vide Unified RBAC ou les rôles hérités sont actifs et l’invité n’a aucun rôle Defender, ou un groupe d’appareils limite l’accès. Terminez les étapes [B.2](#b.2-create-the-stoik-mdr-group) à [B.4](#b.4-give-access-to-all-your-device-groups) : rôle attribué à `Stoik-MDR`, charge de travail Defender for Endpoint activée, groupe ajouté à chaque groupe d’appareils.
Les postes de travail sont visibles, les serveurs manquent Les serveurs se trouvent dans un groupe d’appareils restreint, l’intégration Defender for Servers est désactivée, ou l’abonnement Azure est dans un autre tenant. Voir [B.4](#b.4-give-access-to-all-your-device-groups) pour leur groupe d’appareils, et la section serveurs de [Déployez Defender sur vos appareils](#deploy-defender-on-your-devices).
Le compte invité ne peut pas se connecter Une stratégie d’accès conditionnel ou une exigence MFA le bloque. Consultez les deux listes déroulantes sous [B.1](#b.1-invite-the-stoik-mdr-user).
L’invité est introuvable lors de l’attribution du rôle Le nom d’utilisateur d’un invité contient `#EXT#`, donc la recherche par e-mail échoue. Recherchez **Stoik\_Mdr\_Api**, ou attribuez le `Stoik-MDR` groupe.
L’ID de tenant dans Stoïk Protect diffère de celui de la console Defender La Partie A a été approuvée dans un autre tenant. Contactez , puis refaites [Partie A](#part-a-authorise-the-stoik-application) dans le tenant qui héberge vos appareils.
Les appareils dans Stoïk Protect diffèrent de ceux de Defender La liste dans Stoïk Protect provient toujours d’Entra ID, ou les autorisations de l’application n’ont pas été réapprouvées. Voir `Réapprouver l’application Stoïk` en [Vérifier la configuration et informer Stoïk](#check-the-setup-and-notify-stoik).
Le bouton « Connectez votre compte Microsoft » dans Stoïk Protect renvoie une erreur Vérifiez que vous êtes connecté à Microsoft avec un **Administrateur général** compte.
La connexion apparaît comme « Connecté » dans Stoïk Protect, mais aucun hôte ni aucune alerte n’apparaît La première synchronisation des données peut prendre quelques heures.
Une bannière mentionne des appareils utilisant MMA Les anciens serveurs utilisent encore l’agent hérité, qui cessera de fonctionner le 26 février 2027. Migrez-les vers l’agent unifié : voir [Déployez Defender sur vos appareils](#deploy-defender-on-your-devices).
Pour tout problème non résolu ou pour révoquer l’accès de Stoïk à votre tenant Microsoft Defender, contactez . --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.stoik.io/help/help-center-fr/mdr/deploy/microsoft-defender.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.