Onboarding a VM to MDE

Summary

Dans cette vidéo, nous apprendrons à créer une machine virtuelle Windows sur Azure, à l'intégrer à Microsoft Defender pour Endpoint et à la surveiller via le portail Defender. Le processus inclut la création de la machine virtuelle, son téléchargement de package d'intégration, et sa configuration pour assurer sa surveillance. Une fois la machine intégrée, des activités comme l'isolement de la machine et la création d'alertes seront explorées. Cette formation pratique permet de mieux comprendre le fonctionnement de Defender pour Endpoint et son utilisation dans un environnement virtuel sécurisé.

Takeaways

• 😀 Créez une machine virtuelle Windows dans le portail Azure pour l'intégrer à Microsoft Defender pour Endpoint.
• 😀 Choisissez un groupe de ressources, une taille de machine standard DS1 v2 et le disque HDD standard lors de la création de la VM.
• 😀 Utilisez le réseau virtuel Cyber range v-net pour la configuration de votre machine virtuelle.
• 😀 Accédez au portail Defender pour Endpoint et téléchargez le package d'intégration pour Windows 10.
• 😀 Si vous êtes administrateur, vous pouvez télécharger les packages d'intégration directement depuis le portail Defender pour Endpoint.
• 😀 Téléchargez et extrayez le package d'intégration dans la machine virtuelle via Microsoft Edge.
• 😀 Exécutez le package en tant qu'administrateur pour démarrer l'intégration de la machine virtuelle à Defender pour Endpoint.
• 😀 Surveillez le statut de la machine virtuelle dans le portail Defender pour Endpoint pour vérifier que l'intégration est réussie.
• 😀 Assurez-vous que l'état de santé du capteur et de l'intégration de la machine virtuelle est actif et correctement configuré.
• 😀 Si l'intégration échoue, consultez la communauté ou attendez 30 minutes avant de chercher des solutions supplémentaires.
• 😀 Ne supprimez pas la machine virtuelle une fois qu'elle est intégrée ; éteignez-la simplement si vous avez terminé pour la journée, car elle sera utilisée dans les laboratoires suivants.

Q & A

Quel est l’objectif principal de ce laboratoire présenté dans la vidéo ?

L’objectif est de créer une machine virtuelle Windows dans Microsoft Azure, de l’onboarder dans Microsoft Defender for Endpoint, puis d’observer son apparition et son état dans le portail afin de préparer les prochains exercices (isolement, package d’investigation, génération d’alertes).

Pourquoi créer une nouvelle machine virtuelle alors que d’autres appareils existent déjà dans l’environnement ?

Créer sa propre machine virtuelle permet d’observer directement le comportement de son propre appareil dans Defender for Endpoint. Cela facilite la compréhension pratique du fonctionnement de la solution.

Sur quel portail la machine virtuelle est-elle créée ?

La machine virtuelle est créée depuis le portail Azure (portal.azure.com), dans la section dédiée aux machines virtuelles.

Quelle image système est utilisée pour la machine virtuelle ?

L’image utilisée est Windows 10, ce qui permet de tester l’intégration avec Defender for Endpoint sur un système client standard.

Pourquoi est-il important de choisir le bon type de disque et de taille de machine virtuelle ?

Il est demandé d’utiliser un disque Standard HDD et une taille spécifique (comme Standard DS1 v2 ou équivalent) afin de respecter les contraintes du laboratoire et d’optimiser les coûts et la compatibilité.

Quel réseau virtuel doit être sélectionné lors de la configuration réseau ?

La machine virtuelle doit être placée dans le réseau virtuel "Cyber range v-net" afin de respecter l’architecture prévue pour le laboratoire.

Comment accède-t-on à la machine virtuelle après sa création ?

On utilise le protocole RDP (Remote Desktop Protocol) en se connectant à l’adresse IP publique de la machine virtuelle depuis l’application Bureau à distance.

Où trouve-t-on le package d’onboarding pour Microsoft Defender for Endpoint ?

Le package d’onboarding se trouve dans le portail Microsoft Defender, sous Paramètres > Endpoints > Device management > Onboarding. Cependant, son téléchargement nécessite des droits administrateur.

Que signifie l’état "Onboarded" dans le portail Defender ?

L’état "Onboarded" signifie que l’agent Defender for Endpoint est correctement installé sur la machine et que celle-ci communique activement avec la plateforme.

Quelle est la différence entre un appareil détecté et un appareil onboardé ?

Un appareil détecté peut être visible dans l’environnement (par exemple via Azure), mais tant qu’il n’est pas onboardé, l’agent Defender n’est pas installé ou opérationnel. L’onboarding confirme que la protection est active.

Que faire si la machine virtuelle n’apparaît pas dans la liste des appareils ?

Il est conseillé d’attendre un certain temps (jusqu’à environ 30 minutes). Si elle n’apparaît toujours pas, il faut signaler le problème via la communauté ou le support du laboratoire.

Faut-il supprimer la machine virtuelle à la fin du laboratoire ?

Non, il ne faut pas la supprimer. On peut l’arrêter pour économiser des ressources, mais elle sera utilisée dans les laboratoires suivants pour effectuer des actions comme l’isolement et la génération d’alertes.