Tailwind Traders prévoit d’adopter une posture cloud hybride. Cette transition rend son environnement plus complexe qu’il ne l’était lorsque les charges de travail étaient uniquement déployées sur site.
De plus, la configuration de sécurité et la télémétrie de ces charges de travail deviennent de plus en plus complexes.

Dans cette unité, vous allez découvrir comment Tailwind Traders peut :

• Surveiller la configuration de ses charges de travail sur site et dans le cloud
• Être alerté en cas d’activité suspecte
• Simplifier la gestion des mises à jour de ses systèmes d’exploitation serveurs sur site et dans le cloud

Qu’est-ce que Microsoft Defender for Cloud ?

Microsoft Defender for Cloud permet d’évaluer la configuration de sécurité de diverses charges de travail. Vous pouvez l’utiliser pour :

• Mettre en œuvre les meilleures pratiques de sécurité sur les ressources IaaS, PaaS, données et ressources sur site
• Suivre la conformité de la configuration de sécurité par rapport aux normes réglementaires
• Protéger les données en détectant les activités suspectes, comme les modèles d’exfiltration de données
• Classifier les données hébergées dans des bases SQL

Dans les environnements hybrides, Defender for Cloud peut être intégré à l’agent Log Analytics pour collecter :

• Les événements des journaux système
• La télémétrie de traçage d’événements
• Les fichiers de vidage mémoire (crash dumps)

Defender for Cloud peut ensuite analyser ces données pour :

• Formuler des recommandations
• Générer des alertes pouvant être transmises au système SIEM (Security Incident and Event Management) de l’organisation

Tailwind Traders utilise déjà divers outils pour évaluer la conformité de la configuration de sécurité de ses charges de travail Windows Server et Linux.
En adoptant davantage de technologies hybrides, l’entreprise peut utiliser Microsoft Defender for Cloud pour surveiller et corriger la configuration de sécurité de ses serveurs sur site et de ses charges de travail dans le cloud.

Qu’est-ce que Microsoft Sentinel ?

Microsoft Sentinel permet aux organisations ayant des solutions cloud hybrides de ingérer la télémétrie des journaux d’événements de sécurité, aussi bien sur site que dans le cloud.

Microsoft Sentinel est à la fois une solution SIEM (Security Information and Event Management) et SOAR (Security Orchestration, Automation, and Response).

Fonctionnalités SIEM :

• Stocker et analyser les données de journaux et la télémétrie d’événements
• Prise en charge de l’ingestion de données depuis :
  • Environnements sur site
  • Azure
  • Clouds tiers, y compris d’autres systèmes SIEM

Fonctionnalités SOAR :

• Orchestrer l’analyse des données
• Créer des réponses automatisées aux menaces connues

L’image suivante montre une architecture hybride avec Microsoft Sentinel.

Fonctionnalités de Microsoft Sentinel dans les environnements hybrides

Lorsque Microsoft Sentinel est utilisé dans des environnements hybrides, il peut :

• Collecter des données provenant d’utilisateurs, d’appareils, d’applications et d’infrastructures, qu’ils soient dans le cloud ou sur site
• Utiliser l’intelligence artificielle (IA) et l’apprentissage profond pour identifier des activités potentiellement malveillantes dans les données d’événements
• Détecter les menaces en analysant les données d’événements selon des signatures d’attaque générées par les recherches en sécurité de Microsoft
• Automatiser la réponse aux incidents ayant des caractéristiques connues, grâce à des playbooks de sécurité

Microsoft Sentinel inclut des carnets de surveillance (workbooks) intégrés qui aident à analyser les données et peuvent fournir des recommandations.
Ces carnets permettent de comprendre rapidement la télémétrie de sécurité suspecte, sans devoir trier manuellement les données pour en comprendre le sens.
Vous pouvez également importer ou utiliser des carnets personnalisés, basés sur les expériences d’autres chercheurs en sécurité ayant développé des méthodes d’analyse différentes de celles incluses dans Sentinel.

Utilisation de Microsoft Sentinel par Tailwind Traders

Tailwind Traders dispose d’un système SIEM sur site qui collecte et analyse les données des journaux d’événements provenant de divers ordinateurs et appareils.
Ce système était suffisant lorsque l’entreprise fonctionnait uniquement sur site.

En adoptant Microsoft Sentinel, Tailwind Traders peut étendre cette capacité à son environnement cloud hybride.

Il est probable que Tailwind Traders connecte son SIEM existant à Microsoft Sentinel.
Cette connexion permet à l’entreprise de bénéficier de l’IA et de l’apprentissage profond de Sentinel, sans modifier en profondeur sa configuration sur site.

Qu’est-ce que Azure Automation Update Management ?

Azure Automation Update Management permet de gérer les mises à jour des systèmes d’exploitation serveurs sur site et dans le cloud, via une console unique dans le cloud.

Update Management fonctionne avec :

• Les charges de travail Microsoft Windows Server
• Les systèmes d’exploitation Linux pris en charge, qu’ils soient physiques ou virtuels

Sources de mise à jour :

• Pour Windows Server :
  • Microsoft Update
  • Windows Server Update Services (WSUS)
• Pour Linux :
  • Dépôts publics ou personnalisés de paquets Linux

Update Management permet de :

• Identifier les mises à jour manquantes sur les systèmes inscrits
• Planifier et automatiser les mises à jour pour garantir la conformité et la sécurité

Le schéma suivant montre comment Update Management s’intègre à Azure Automation et aux espaces de travail Log Analytics.

Configuration d’un déploiement de mises à jour

Lorsque vous configurez un déploiement de mises à jour, vous devez spécifier :

• Si le déploiement cible des ordinateurs Windows ou Linux (vous ne pouvez pas cibler les deux types en même temps)
• Les serveurs inscrits spécifiques que vous souhaitez inclure dans le déploiement
• Les classifications de mises à jour à installer (par exemple : critiques, sécurité, etc.)
• Si certaines mises à jour spécifiques doivent être incluses ou exclues
• Le planning du déploiement, y compris s’il doit être récurrent
• Les scripts à exécuter avant et après la mise à jour
• La durée maximale de la fenêtre de maintenance, dont les 20 dernières minutes sont réservées au redémarrage du système
• Les options de redémarrage, pour déterminer si le système doit redémarrer si nécessaire pour finaliser l’installation des mises à jour

Utilisation par Tailwind Traders

L’entreprise dispose de WSUS et d’autres outils pour gérer les mises à jour de ses systèmes d’exploitation Windows et Linux sur site.

En configurant ses charges de travail système (VM IaaS sur site et dans le cloud) pour se connecter à Azure Software Update, Tailwind Traders peut s’assurer que tous les systèmes d’exploitation hébergeant des charges critiques restent à jour.