Alertes Microsoft Defender : quel suivi attendre de son prestataire ?

Commencer par ce qui est réellement couvert

Le nom Microsoft Defender recouvre plusieurs solutions. Defender for Office 365 concerne la sécurité de la messagerie et de la collaboration. Defender for Business protège les appareils et repose sur Defender for Endpoint. Les fonctions varient selon le produit et la licence : un nom commercial dans un devis ne suffit donc pas à décrire votre couverture.

Pour préparer l’échange, réunissez la liste des postes, des comptes et des abonnements. Faites préciser les environnements effectivement configurés et suivis. Demandez aussi comment sont traités un ordinateur nouvellement arrivé, un appareil qui ne communique plus avec la console ou une boîte mail hors du périmètre. Cette liste évite de confondre équipement possédé et équipement suivi.

Faire analyser l’alerte avant de conclure

Dans Defender for Business, le détail des alertes permet notamment de consulter les ressources concernées et les actions disponibles. Microsoft distingue plusieurs niveaux de gravité ; une menace déjà bloquée ne se traite pas comme un comportement suspect sans action de correction. Le prestataire doit replacer le signal dans son contexte.

Exemple purement illustratif : un collaborateur signale une pièce jointe suspecte. Le compte rendu attendu devrait distinguer ce qui est confirmé, ce qui reste inconnu et les vérifications nécessaires. Le message a-t-il été bloqué ? A-t-il été ouvert ? Un poste présente-t-il aussi un signal ? Évitez de conclure à une compromission, ou à son absence, sur le seul intitulé de la notification.

Décider à l’avance qui peut intervenir

Nous conseillons de formaliser une courte fiche de responsabilités avant le premier incident. Elle doit être compréhensible par le dirigeant et utilisable en son absence. Une décision urgente ne devrait pas dépendre de la recherche du bon interlocuteur dans plusieurs anciens échanges.

• Nommer le responsable de l’analyse, son relais et le contact de l’entreprise.
• Définir les actions autorisées à l’avance et celles qui nécessitent un accord.
• Préciser les horaires de suivi, le canal d’alerte et les conditions d’escalade.
• Prévoir comment informer les utilisateurs lorsqu’une mesure perturbe leur travail.

Vérifier ce que l’automatisation fait vraiment

Dans Defender for Office 365, les fonctions d’investigation et de réponse automatisées AIR nécessitent le Plan 2. Des actions de remédiation peuvent attendre une approbation, tandis que certains traitements sont automatiques. Il faut donc vérifier les fonctions disponibles et les actions encore en attente, plutôt que supposer que toute alerte est réglée sans intervention.

Cette précision concerne Office 365 : elle ne doit pas être transposée telle quelle aux licences de protection des postes. Demandez au prestataire de décrire votre configuration concrète. L’existence d’un mécanisme automatique ne définit pas, à elle seule, les horaires de surveillance humaine ni les engagements de votre contrat.

Obtenir une conclusion utile pour l’entreprise

Pour votre suivi, demandez une synthèse courte : périmètre concerné, faits observés, actions réalisées, vérification de leur résultat et éventuels travaux restants. Si une décision vous revient, elle doit être accompagnée de son impact sur l’activité. Un compteur d’alertes fermé ne raconte pas, à lui seul, ce qui a été vérifié.

Lors du prochain point informatique, prenez un exemple anonymisé et parcourez ce chemin de bout en bout avec votre interlocuteur. Vous pourrez repérer un contact manquant, une responsabilité floue ou une action sans validation définie. L’objectif est d’organiser une réponse compréhensible, pas d’accumuler des captures de console.

SOLYTI accompagne la configuration, l’analyse des alertes, l’investigation et les actions de réponse sur Microsoft Defender for Office 365 comme sur Defender for Business / Endpoint, selon les licences, le périmètre et les horaires convenus. La page Cybersécurité présente cet accompagnement pour préparer un échange sur votre organisation.