Security Center:Onboard Azure assets

Étape 1 : Créer un identifiant d'application dans Azure

Cette étape consiste à créer une application et son principal de service dans le portail Azure, puis à générer un secret client pour l'authentification API. Vous devrez obtenir les identifiants suivants : Application (client) ID, Directory (tenant) ID et la Value du secret client.

1. Créer une application

   1. Connectez-vous à la console Azure.

   2. Dans le volet de navigation de gauche, sélectionnez All services. Dans la catégorie de service Identity, cliquez sur App registrations, ou recherchez App registrations dans la barre de recherche supérieure et accédez-y.

   3. Sur la page App registrations, cliquez sur New registration.

   4. Sur la page d'enregistrement de l'application, configurez les paramètres suivants, puis cliquez sur Register.

      • Name : Saisissez un nom facilement identifiable, par exemple aliyun-sasc-connector, pour faciliter la recherche et la gestion ultérieures.

        Important

        Ce nom apparaîtra comme nom de membre lors de l'étape d'attribution de rôle.

      • Supported account types : Configurez l'étendue des comptes pouvant accéder à cette application en fonction de vos exigences en matière d'autorisations.

   5. Une fois l'application créée, la page de présentation affiche les informations relatives à l'application. Copiez et enregistrez l'Application (client) ID et le Directory (tenant) ID. Vous en aurez besoin dans les étapes suivantes.

2. Créer un secret client

   1. Sur la page des détails de l'application créée à l'étape 1, cliquez sur Manage dans le volet de navigation de gauche, puis sur Certificates & secrets.

   2. Sous l'onglet Client secrets, cliquez sur + New client secret et configurez les paramètres suivants.

      • Description : Saisissez une description pour ce secret client.

      • Expires : Durée de validité du secret client. Nous vous recommandons de la définir sur 180 jours.

        Important

        Établissez un plan de rotation des identifiants et mettez à jour le secret avant son expiration afin d'éviter toute interruption de service due à l'expiration des identifiants.

   3. Après avoir cliqué sur Add, la Value du secret client s'affiche.

      Avertissement

      La Value du secret client n'est visible qu'une seule fois lors de sa création. Une fois que vous avez quitté cette page, vous ne pouvez plus la consulter. Copiez-la et enregistrez-la immédiatement avant de poursuivre.

Étape 2 : Accorder l'accès à l'abonnement à l'identifiant d'application

Pour garantir que Security Center puisse lire les informations sur les actifs, attribuez des autorisations en lecture seule pour l'abonnement Azure à l'application créée à l'étape précédente.

1. Accédez à la page Role assignment.

   1. Connectez-vous à la console Azure.

   2. Dans le volet de navigation de gauche, sélectionnez All services. Dans la catégorie de service General, cliquez sur Subscriptions, ou recherchez Subscriptions dans la barre de recherche supérieure et accédez-y.

   3. Cliquez sur le nom de l'abonnement cible pour accéder à la page des détails de l'abonnement. Sur la page des détails, cliquez sur Access control (IAM).

      Remarque

      Si vous n'avez pas activé d'abonnement, créez-en un au préalable et sélectionnez les services requis.

   4. Sur la page Access control (IAM), cliquez sur Add dans le coin supérieur gauche et sélectionnez Add role assignment.

2. Attribuer un rôle : Sur la page d'attribution de rôle, sélectionnez le rôle correspondant et cliquez sur Next.

   Fonctionnalité	Rôle	Notes
   Host	Reader	Aucune
   CSPM (CSPM)	Reader	Aucune
   Agentic SOC	Reader Rôle personnalisé : Requiert les autorisations Microsoft.Network. Pour les étapes de création, consultez Configuration avancée d'Azure (Agentic SOC).	Pour activer la réponse automatisée aux menaces (par exemple, l'intégration avec Azure Firewall via Response Rules), vous devez également accorder les autorisations Microsoft.Network. Pour plus d'informations, consultez Composants cloud tiers (OpenAPI). Important Vous devez effectuer l'attribution pour chaque rôle séparément. Azure n'autorise qu'une seule attribution de rôle à la fois.
   Agentless Detection	Reader Disk Snapshot Contributor	Aucune

   Sur la page Access control (IAM) du portail Azure, cliquez sur Add role assignment, sélectionnez les rôles répertoriés dans le tableau précédent et finalisez l'attribution.

3. Ajouter des membres : Accédez à la page de gestion Members, cliquez sur Select members et sélectionnez l'application créée à l'Étape 1.

   Remarque

   Vous pouvez rechercher et localiser rapidement l'application cible par nom de l'application.

   Pour le rôle sélectionné Reader, attribuez l'accès à User, group, or service principal.

4. Après avoir confirmé les membres, cliquez sur Review + assign dans le coin inférieur gauche pour finaliser l'autorisation.

   Remarque

   L'autorisation peut prendre un certain temps. Veuillez patienter.

Étape 3 : Finaliser la configuration d'intégration dans Security Center

1. Accéder à la page d'autorisation

   1. Chemin recommandé :

      1. Connectez-vous à la console Security Center.

      2. Dans le volet de navigation de gauche, choisissez System Configuration > Feature Settings. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouve l'actif à protéger : Chinese Mainland ou Outside Chinese Mainland.

      3. Sous l'onglet Multi-cloud Configuration Management > Multi-cloud Assets, cliquez sur Grant Permission, puis sélectionnez Azure.

   2. Points d'entrée alternatifs :

      Sur les pages suivantes, dans la section Multi-cloud Service Access ou Add Multi-cloud Asset, recherchez et cliquez sur le bouton Onboard ou Authorize situé sous l'icône :

      • Asset Center > Host

      • Risk Governance > CSPM > Cloud Service Configuration Risk

      • Protection Configuration > Host Protection > Agentless Detection

2. Configurer les identifiants d'accès

   1. Dans le panneau Add Assets Outside Cloud, sélectionnez les fonctionnalités à intégrer et cliquez sur Next.

      • Host : Permet à Security Center de découvrir et de synchroniser automatiquement les actifs d'hôte Azure.

      • CSPM : Utilisez Cloud Security Posture Management pour analyser les configurations des produits cloud Azure afin de découvrir et de gérer les risques de configuration.

      • Agentic SOC : Fonctionne avec la fonctionnalité d'orchestration Response Rules Playbook pour automatiser la gestion des menaces liées aux événements de sécurité. Pour plus d'informations, consultez Composants cloud tiers (OpenAPI).

      • Host Protection Agentless Detection : Détecte les risques de sécurité sur les machines virtuelles Azure, y compris les vulnérabilités, les risques de référence et les fichiers malveillants, sans installer de client, en utilisant l'analyse par snapshot.

   2. Sur la page Submit AccessKey Pair, saisissez les informations d'identification que vous avez créées précédemment.

      • Enter an AppID : Saisissez l'Application (client) IDobtenu lors de l'enregistrement de l'application Azure.

      • Enter a password : Saisissez le secret clientobtenu lors de l'enregistrement de l'application Azure.

      • Tenant ID : Saisissez le Directory (tenant) IDobtenu lors de l'enregistrement de l'application Azure.

      • Domain (Select Chinese Edition for China and International Edition for others) : Pour les utilisateurs 21Vianet, sélectionnez Chinese Edition.

3. Configurer la politique de synchronisation

   Sur la page Policy Configuration, configurez les paramètres en fonction de vos besoins de gestion :

   • Select region : Sélectionnez les régions où se trouvent les actifs Azure à intégrer.

     Remarque

     Les données des actifs sont automatiquement stockées dans le centre de données correspondant à la région sélectionnée dans le coin supérieur gauche de la console Security Center.

     • Chinese Mainland : Centre de données en Chine continentale.

     • Outside Chinese Mainland : Centre de données à Singapour (Singapour).

   • Region Management : Nous vous recommandons de sélectionner cette option. Une fois cette option sélectionnée, les actifs des nouvelles régions ajoutées à ce compte Azure à l'avenir seront automatiquement synchronisés sans configuration manuelle.

   • Host Asset Synchronization Frequency : Définissez l'intervalle de synchronisation automatique des actifs d'hôte Azure. Si vous n'avez pas besoin de synchronisation, vous pouvez la désactiver.

     Remarque

     Ce paramètre est requis uniquement lorsque les fonctionnalités intégrées incluent Host.

   • Cloud Service Synchronization Frequency : Définissez l'intervalle de synchronisation automatique des configurations des produits cloud Azure. Si vous n'avez pas besoin de synchronisation, vous pouvez la désactiver.

     Remarque

     Ce paramètre est requis uniquement lorsque les fonctionnalités intégrées incluent CSPM.

   • AK Service Status Check : Définissez l'intervalle auquel Security Center vérifie automatiquement la validité des identifiants du compte Azure. Vous pouvez sélectionner Off pour désactiver la vérification.

4. Une fois la configuration terminée, cliquez sur Synchronize Assets. Le système synchronise automatiquement les données du compte Azure vers Security Center.

Étape 4 : Vérifier que les ressources Azure sont intégrées

Après avoir terminé la configuration d'intégration, vérifiez que les ressources Azure apparaissent dans Security Center :

1. Attendez que la synchronisation initiale des données soit terminée. Cela peut prendre quelques minutes.

2. Accédez à Asset Center > Host et filtrez par Azure pour confirmer que les actifs d'hôte Azure apparaissent.

3. Si vous avez intégré CSPM, accédez à Risk Governance > CSPM > Cloud Service Configuration Risk et filtrez par Azure pour confirmer que les ressources cloud Azure apparaissent.

Host

Accédez à la page Asset Center > Host. Dans la section Add Multi-cloud Asset, cliquez sur l'icône pour afficher les hôtes Azure intégrés. Suivez les étapes ci-dessous pour appliquer une protection et une gestion approfondies aux hôtes intégrés.

1. Installer l'agent : Installez l'agent Security Center sur les hôtes Azure. Lorsque vous exécutez la commande d'installation, sélectionnez Azure pour Service Provider. Pour les étapes détaillées, consultez Installer l'agent.

2. Effectuer une mise à niveau pour obtenir une protection complète : L'édition Free par défaut offre uniquement une détection de sécurité de base. Pour bénéficier de capacités complètes de protection de la sécurité (telles que l'antivirus, la correction des vulnérabilités et la prévention des intrusions), associez une édition payante (Anti-virus ou supérieure) aux hôtes Azure. Pour les étapes détaillées, consultez Configurer les éditions ou niveaux de protection.

CSPM

Accédez à la page Asset Center > Overview > Cloud Product. Dans le volet de navigation gauche All Alibaba Cloud Services, cliquez sur Microsoft Azure pour afficher les actifs Microsoft Azure intégrés. Pour les actifs Microsoft Azure intégrés, vous pouvez utiliser les fonctionnalités CSPM suivantes :

1. Exécuter des vérifications des risques de configuration : Vérifiez les risques de configuration dans les produits Microsoft Azure. Pour les étapes détaillées, consultez Configurer et exécuter des politiques de vérification des risques de configuration de la plateforme cloud.

2. Gérer les éléments à risque : Affichez et corrigez les éléments de vérification des risques ayant échoué en fonction des résultats de la vérification afin d'améliorer la conformité et la sécurité des actifs cloud. Pour les étapes détaillées, consultez Afficher et gérer les vérifications des risques de configuration de la plateforme cloud ayant échoué.

Agentic SOC

Accédez à Agentic SOC > Response Rules. Lors de la création d'un playbook personnalisé, vous pouvez sélectionner le composant Microsoft Azure parmi les Composants cloud tiers (OpenAPI) pour automatiser la gestion des événements de sécurité détectés sur les actifs Microsoft Azure.

Host Protection Agentless Detection

Accédez à Protection Configuration > Host Protection > Agentless Detection. Sous l'onglet Server Check, Server Check ou Custom Image Check, dans la section Add Multi-cloud Asset, cliquez sur l'icône pour afficher les éléments à risque analysés. Les opérations suivantes sont disponibles :

1. Exécuter des tâches de détection : Effectuez une détection de sécurité multidimensionnelle sur les serveurs Microsoft Azure pour les vulnérabilités, les logiciels malveillants, les références de configuration, les fichiers sensibles et d'autres dimensions de sécurité afin de découvrir les risques de sécurité potentiels.

2. Analyser et gérer les risques :

   1. Risques de vulnérabilité : Prend en charge l'option Add to Whitelist.

      Avertissement

      La détection sans agent ne prend pas en charge la correction des vulnérabilités.

   2. Risques de vérification de référence : Prend en charge l'option Add to Whitelist.

   3. Risques d'échantillons malveillants et risques de fichiers sensibles : Prend en charge les options Add to Whitelist, Manually Handled, Mark as False Positive et Ignore.