Degré de sécurisation de Defender pour le cloud

Le score de sécurité dans Microsoft Defender pour Cloud peut vous aider à améliorer votre posture de sécurité cloud. Le degré de sécurisation agrège les résultats de sécurité en un seul score qui vous permet d’estimer en un clin d’œil votre situation actuelle sur le plan de la sécurité. Plus le score est élevé, plus le niveau de risque identifié est faible.

Quand vous activez Defender pour le cloud dans un abonnement, la norme Benchmark de sécurité cloud Microsoft (Microsoft Cloud Security Benchmark, ou MCSB) est appliquée par défaut dans l’abonnement. L’évaluation des ressources dans l’étendue par rapport à la norme MCSB commence.

Le MCSB formule des recommandations en fonction des résultats d’évaluation. Seules les recommandations intégrées de MSCB affectent le degré de sécurisation. À l’heure actuelle, la hiérarchisation des risques n’affecte pas le degré de sécurisation.

Afficher le degré de sécurisation

Quand vous affichez le tableau de bord Vue d’ensemble de Defender pour le cloud, vous pouvez voir le degré de sécurisation de vos environnements. Le tableau de bord présente le degré de sécurisation sous la forme d’une valeur en pourcentage et inclut les valeurs sous-jacentes.

Azure mobile app présente le degré de sécurisation sous la forme d’une valeur en pourcentage. Appuyez dessus pour afficher les détails qui expliquent le degré.

Explorer votre posture de sécurité

La page Posture de sécurité de Defender pour le cloud présente le degré de sécurisation de l’ensemble de vos environnements et de chaque environnement séparément.

Sur cette page, vous pouvez voir les abonnements, les comptes et les projets qui affectent votre score global, des informations sur les ressources non saines et des recommandations pertinentes. Vous pouvez filtrer par environnement, comme Azure, Amazon Web Services (AWS), Google Cloud Platform (GCP) et Azure DevOps. Vous pouvez ensuite descendre dans la hiérarchie de chaque abonnement Azure, compte AWS et projet GCP.

Calcul du degré de sécurisation

Sur la page Recommandations de Defender pour le cloud, l’onglet Recommandations sur le degré de sécurisation montre comment les contrôles de conformité dans MCSB contribuent au degré de sécurisation global.

Defender pour le cloud calcule chaque contrôle toutes les huit heures pour chaque abonnement Azure ou connecteur cloud AWS/GCP.

Exemples de scores pour un contrôle

L’exemple suivant se concentre sur des recommandations de degré de sécurisation pour corriger les vulnérabilités.

Cet exemple illustre les champs suivants dans les recommandations.

Champ	Détails
Corriger des vulnérabilités	Regroupement de recommandations pour la découverte et la résolution des vulnérabilités connues.
Score maximal	Nombre maximal de points que vous pouvez gagner en appliquant les recommandations d’un contrôle. Le score maximal d’un contrôle, qui est fixe pour chaque environnement, indique l’importance relative de ce contrôle. Utilisez les valeurs de cette colonne pour déterminer les problèmes à résoudre en premier lieu.
Score actuel	Niveau de sécurité actuel de ce contrôle. Score actuel = [Score par ressource] * [Nombre de ressources saines] Chaque contrôle contribue au score total. Dans cet exemple, le contrôle contribue à hauteur de 3,33 points au score total actuel.
Augmentation potentielle du niveau de sécurité	Points restants dont vous disposez dans le contrôle. Si vous appliquez toutes les recommandations de ce contrôle, votre score augmente de 4 %. Augmentation potentielle du score = [Score par ressource] * [Nombre de ressources non saines]
Insights	Détails supplémentaires par recommandation, notamment : - Recommandation en préversion : cette recommandation affecte le degré de sécurisation uniquement en disponibilité générale. - Correctif : résoudre ce problème. - Appliquer : déployer automatiquement une stratégie pour corriger ce problème chaque fois qu’un utilisateur crée une ressource non conforme. - Refuser : empêcher la création de nouvelles ressources comportant ce problème.

Équations de calcul du score

Voici comment les scores sont calculés.

Contrôle de sécurité

L’équation permettant de déterminer le score d’un contrôle de sécurité est la suivante :

Le degré de sécurisation actuel de chaque contrôle correspond à la mesure de l’état des ressources comprises dans ce contrôle. Chaque contrôle de sécurité individuel contribue au degré de sécurisation. Chaque ressource affectée par une recommandation dans le contrôle contribue au score actuel du contrôle. Le degré de sécurisation n’inclut pas les ressources trouvées dans les recommandations en préversion.

Dans l’exemple suivant, le score maximal de 6 est divisé par 78, car il s’agit de la somme des ressources saines et non saines. Ainsi, 6 / 78 = 0.0769. En multipliant ce résultat par le nombre de ressources saines (4), vous obtenez le score actuel : 0.0769 * 4 = 0.31.

Abonnement ou connecteur unique

L’équation permettant de déterminer le degré de sécurisation d’un abonnement ou d’un connecteur unique est la suivante :

Cette équation est la même que celle d’un connecteur, seul le mot abonnement est remplacé par le mot connecteur.

Plusieurs abonnements et connecteurs

L’équation permettant de déterminer le degré de sécurisation de plusieurs abonnements et connecteurs est la suivante :

Le score combiné de plusieurs abonnements et connecteurs inclut une pondération pour chaque abonnement et connecteur. Defender pour Cloud détermine les pondérations relatives de vos abonnements et connecteurs en fonction d’un modèle de pondération linéaire à l’aide du nombre combiné de ressources saines et non saines par abonnement (à l’exclusion des ressources « Non applicables »). Le score actuel pour chaque abonnement et connecteur est calculé de la même façon que pour un seul abonnement ou connecteur, puis son poids est appliqué (voir l’équation). Si un abonnement ou un connecteur n’a pas d’évaluations (aucune ressource saine ou non saine) pour un contrôle donné, ce contrôle est exclu du calcul du score pour cet abonnement ou connecteur. Dans ce cas, ni les points potentiels actuels ni les points potentiels maximums du contrôle ne contribuent au score de cet abonnement. Le score de sécurisation agrégé indiqué dans l’interface utilisateur n’est pas une moyenne arithmétique simple des pourcentages par abonnement ou des nombres par contrôle ; il s’agit d’une somme pondérée entre les abonnements. Par conséquent, les numéros de ressource par contrôle affichés dans l’interface utilisateur ne peuvent pas être utilisés pour recompiler manuellement le score de sécurisation global entre plusieurs abonnements.

Lorsque vous affichez plusieurs abonnements et connecteurs, le degré de sécurisation évalue les ressources de toutes les stratégies activées et les regroupe. Leur regroupement montre comment, ensemble, elles affectent le score maximal de chaque contrôle de sécurité.

Améliorer le degré de sécurisation

Le MCSB se compose d’une série de contrôles de conformité. Chaque contrôle est un groupe logique de recommandations de sécurité associées et reflète vos surfaces d’attaque vulnérables.

Pour connaître le degré de sécurisation de chacune des surfaces d'attaque de votre organisation, examinez le niveau de sécurité de chaque contrôle de sécurité. Votre score n’augmente que si vous suivez toutes les recommandations.

Pour obtenir le nombre maximal de points que peut avoir un contrôle de sécurité, toutes vos ressources doivent se conformer à l’intégralité des recommandations de sécurité fournies dans le contrôle de sécurité. Par exemple, Defender pour le cloud fournit plusieurs recommandations pour sécuriser vos ports de gestion. Vous devez toutes les suivre pour améliorer votre degré de sécurisation.

Vous pouvez améliorer votre degré de sécurisation à l’aide de l’une des méthodes suivantes :

• Appliquez les recommandations de sécurité qui figurent dans la liste des recommandations. Vous pouvez corriger chaque recommandation manuellement pour chaque ressource ou à l’aide de l’option Corriger (si disponible) pour résoudre rapidement un problème sur plusieurs ressources.
• Appliquer ou refuser des recommandations pour améliorer votre score et vous assurer que vos utilisateurs ne créent pas de ressources ayant un impact négatif sur votre score.

Contrôles du degré de sécurisation

Le tableau suivant liste les contrôles de sécurité dans Microsoft Defender pour le cloud. Pour chaque contrôle, vous pouvez voir le nombre maximal de points que vous pouvez ajouter à votre degré de sécurisation si vous suivez toutes les recommandations listées dans le contrôle, pour toutes vos ressources.

Suivre votre score de sécurisation

Vous pouvez trouver votre score de sécurisation global et votre score par abonnement, via le portail Azure ou par programme, comme décrit dans les sections suivantes :

Obtenir votre score de sécurisation à partir du portail

Defender pour Cloud affiche votre score en évidence dans le portail Azure. Lorsque vous sélectionnez la vignette score sécurisé sur la page de vue d’ensemble, vous accédez à la page de score sécurisé dédié, où vous voyez le score décomposé par abonnement. Sélectionnez un abonnement unique pour afficher la liste détaillée des recommandations classées par ordre de priorité et l’effet potentiel qui les corrigera sur le score de l’abonnement.

Votre score de sécurisation s’affiche dans les emplacements suivants dans les pages du portail Azure de Defender pour cloud :

• Dans une vignette sur la vue d’ensemble de Defender pour cloud (tableau de bord principal) :

  

• Dans la page du score sécurisé dédié, vous pouvez voir le score de sécurisation de votre abonnement et de vos groupes d’administration :

  

  

  Remarque

  Les groupes d’administration pour lesquels vous ne disposez pas d’autorisations suffisantes affichent leur score comme « restreint ».

• En haut de la page Recommandations :

  

Obtenir votre score de sécurisation à partir de l’API REST

Vous pouvez accéder à votre score via l’API de score sécurisé. Les méthodes de l’API offrent la flexibilité nécessaire pour interroger les données et créer votre propre mécanisme de création de rapports sur vos scores de sécurité au fil du temps. Par exemple, vous pouvez utiliser l’API Scores sécurisés pour obtenir le score d’un abonnement spécifique. En outre, vous pouvez utiliser l’API Secure Score Controls pour répertorier les contrôles de sécurité et le score actuel de vos abonnements.

Pour obtenir des exemples d’outils basés sur l’API de score de sécurisation, consultez la zone de score sécurisé de notre communauté GitHub.

Obtenir votre score de sécurisation à partir d’Azure Resource Graph

Azure Resource Graph fournit un accès instantané aux informations de ressources dans vos environnements cloud avec des fonctionnalités de filtrage, de regroupement et de tri robustes. Il s’agit d’un moyen rapide et efficace de demander des informations dans les abonnements Azure par programmation ou depuis le Portail Azure. En savoir plus sur Azure Resource Graph.

Pour accéder au score de sécurisation pour plusieurs abonnements avec Azure Resource Graph :

1. À partir du portail Azure, ouvrez l’Explorateur Azure Resource Graph.

   

2. Entrez votre requête Kusto (à l’aide des exemples suivants pour obtenir des conseils).

   • Cette requête retourne l’ID d’abonnement, le score actuel en points et en pourcentage, ainsi que le score maximal de l’abonnement.

     SecurityResources 
     | where type == 'microsoft.security/securescores' 
     | extend current = properties.score.current, max = todouble(properties.score.max)
     | project subscriptionId, current, max, percentage = ((current / max)*100)
     

   • Cette requête retourne l’état de tous les contrôles de sécurité. Pour chaque contrôle, vous obtenez le nombre de ressources non saines, le score actuel et le score maximal.

     SecurityResources 
     | where type == 'microsoft.security/securescores/securescorecontrols'
     | extend SecureControl = properties.displayName, unhealthy = properties.unhealthyResourceCount, currentscore = properties.score.current, maxscore = properties.score.max
     | project SecureControl , unhealthy, currentscore, maxscore
     

3. Sélectionnez Exécuter la requête.

Suivre votre score de sécurisation au fil du temps

Rapport sur le degré de sécurisation au fil du temps dans la page Classeurs

La page des workbooks de Defender for Cloud inclut un rapport prêt à l’emploi pour suivre visuellement les scores de vos abonnements, de vos contrôles de sécurité, et bien plus encore. Pour en savoir plus, consultez Créer des rapports enrichis et interactifs de données Defender pour cloud.

Tableaux de bord Power BI Pro

Si vous êtes un utilisateur Power BI disposant d’un compte Pro, vous pouvez utiliser le tableau de bord Power BI Score sécurisé au fil du temps pour suivre votre score de sécurisation au fil du temps et examiner les modifications.

Le tableau de bord contient les deux rapports suivants pour vous aider à analyser votre état de sécurité :

• Résumé des ressources : fournit des données récapitulatives concernant l’intégrité de vos ressources.

• Résumé du score sécurisé : fournit des données récapitulatives concernant la progression de votre score. Utilisez le graphique « Score sécurisé au fil du temps par abonnement » pour afficher les modifications dans le score. Si vous remarquez un changement spectaculaire dans votre score, vérifiez la table « modifications détectées susceptibles d’affecter votre score sécurisé » pour connaître les modifications possibles susceptibles d’entraîner la modification. Ce tableau présente les ressources supprimées, les ressources nouvellement déployées ou les ressources que leur état de sécurité a changé pour l’une des recommandations.

Étapes suivantes

• En savoir plus sur les différents éléments d’une recommandation
• Découvrez comment corriger les recommandations
• Afficher les outils basés sur GitHub pour travailler de manière programmatique avec le score de sécurité

Score de sécurisation cloud dans le portail Defender

Le score de sécurité cloud (basé sur les risques) est une évaluation de votre posture de sécurité cloud. Le score vous permet d’évaluer et de surveiller objectivement votre posture de sécurité cloud et de mesurer vos efforts d’atténuation des risques.

Le score de sécurisation cloud introduit des facteurs de risque d’actifs et une critique des ressources dans le calcul, ce qui rend le score plus précis et permet une hiérarchisation plus intelligente des recommandations de niveau de risque élevé. 

Modèle de score de sécurisation cloud

Le score de sécurisation cloud est basé sur le nombre et le niveau de risque des recommandations ouvertes dans Defender pour le cloud. Pour améliorer votre score, concentrez-vous sur les recommandations avec des niveaux de risque plus élevés, car elles contribuent le plus à votre score.

Formule du score de sécurité cloud

Le score de sécurité cloud est compris entre 0 et 100, avec 100 indiquant une posture de sécurité optimale. Le score est une agrégation du score des ressources sélectionnées.

Pour calculer le score environnemental d’une organisation donnée à n’importe quelle portée, la formule évalue le risque d’actif (combinaison de probabilité et d’impact). Pour chaque actif, la formule calcule une moyenne pondérée du niveau de risque des recommandations sur cet actif, tout en tenant compte des facteurs de risque de l’actif (par exemple, exposition à Internet, sensibilité des données, etc.), ainsi que de l’importance critique des ressources pour l’organisation.

Légende (formule Cloud Secure Score)

• n = Nombre de ressources
• Criticalité = La criticité des actifs pour l'organisation
• Rec. Faible = Recommandations avec un niveau de risque faible
• Rec. Moyenne = Recommandations avec niveau de risque moyen
• Rec. High = Recommandations avec un niveau de risque élevé
• Rec. Critique = Recommandations avec niveau de risque critique

Accéder au score de sécurisation cloud (portail Defender)

Les scores sécurisés sont consolidés dans une expérience de sécurité Microsoft unifiée, fournissant un point d’entrée unique pour comprendre la posture entre les identités, les appareils, les applications cloud, les données et l’infrastructure. Le score de sécurisation cloud est la composante de la posture de sécurité cloud au sein de ce cadre plus large.

Chemins de navigation vers le score de sécurisation cloud (initiative cloud)

• Gestion de l’exposition>> Afficher l’initiative cloud
• Gestion de l’exposition>Initiatives> Afficher l’initiative cloud
• Infrastructure de cloud>Aperçu> carte des principales métriques ou widget de posture de sécurité Afficher l’initiative cloud

Tableau de bord des initiatives

Accédez auxinitiatives de> pour une vue consolidée de la sécurité du cloud. Ce tableau de bord agrège :

• Principales initiatives et leur état relatif
• Historique récent du score de sécurité et d’exposition (tendances de 14 jours)
• Insights inter-domaines (SaaS, point de terminaison, cloud, identité, protection contre les ransomwares)
• Données de posture spécifiques à la charge de travail pour suivre l’élan de correction

Ouvrir la page d’initiative cloud

1. Accédez auxinitiatives>.
2. Sélectionnez Cloud Security.
3. Dans le volet latéral, choisissez ouvrir la page d’initiative.
4. Passez en revue les éléments du tableau de bord de vue d’ensemble :
   • Score de sécurisation cloud actuel
   • Tendance du score de sécurité dans le temps
   • Degré de sécurisation par environnement (Azure, AWS, GCP) pour une comparaison multicloud rapide
   • Sécuriser le score par charge de travail pour mettre en évidence les différences de posture entre les principales catégories de charge de travail
   • Résumé des recommandations
   • Recommandations les plus courantes en fonction de la criticité pour mettre l’accent sur la correction là où elle entraîne le plus grand score et l’impact sur la réduction des risques

Contexte du degré de sécurisation Microsoft

Le score de sécurité Microsoft est un concept plus large et unifié couvrant plusieurs domaines de sécurité. Cette page se concentre sur le score de sécurité cloud (gestion de la posture de sécurité cloud dans Defender pour cloud). D’autres scores sécurisés Microsoft apparaissent dans les portails de sécurité Microsoft.

Types de score sécurisé

Étapes suivantes

• En savoir plus sur les différents éléments d’une recommandation