Module de résolution d’incidents (MDE / Sentinel)

1. Incident
2. Requêtes KQL
3. Résumé
4. Validation des actifs
5. Recommandation

Sources de l’alerte NTLM

Colle le texte de chaque source : le module retrouve lui-même la signature, les IP, les ports, l’heure, les entités et les incidents similaires. Les zones sont facultatives. Pour plusieurs alertes MDE, ajoute une zone par alerte (ou colle-les à la suite) : l’essentiel est la ligne « A network packet from… matched signature… » avec les ports et la direction, inutile de tout copier.

Requêtes KQL

La période remonte depuis l’heure de l’alerte jusqu’à maintenant ; les requêtes « autour de l’alerte » gardent leur fenêtre fixe (±1 h ou ±2 h). Attention : Advanced Hunting (MDE) ne conserve que 30 jours, donc 90 jours ne donne pas plus dans MDE ; pour remonter plus loin, utilise les journaux Sentinel si les tables Defender y sont transmises. Exécute chaque requête dans l’outil indiqué (Advanced Hunting MDE ou journaux Sentinel), exporte ou copie le résultat et colle-le sous la requête. Les requêtes non pertinentes peuvent rester vides. L’analyse automatique du module est locale (règles de détection) ; pour une analyse plus poussée, utilise le bouton « Copier le dossier pour Claude » et colle-le dans la conversation.

Résumé de l’incident

Chronologie

Liens entre ressources, comptes et processus

Points relevés par l’analyse

Analyse approfondie par Claude optionnel

Claude relit l’incident et les résultats collés, relève les points d’ombre et propose des vérifications. Indicatif : la décision reste la tienne.


Validation des actifs


Pour chaque actif, indique ce qui est confirmé, ce qui ne l’est pas et ce qui reste à vérifier. Dans « Info Lansweeper », note ce que l’inventaire confirme (ex. : IP → serveur de fichiers, département Finance).













Recommandation


Texte de résolution (modifiable)