1Security + Defender XDR

Defender arrête l’attaque. 1Security réduit ce que la suivante pourra atteindre.

Microsoft Defender XDR est la machine à incidents : il corrèle les signaux des terminaux, des identités, de la messagerie et des applications en une seule histoire d’attaque, perturbe l’attaque à la vitesse de la machine et répare ce qui a été touché. Les autorisations permanentes qui décident jusqu’où une attaque pourrait aller existent avant la première alerte - et cette couche appartient à 1Security.

Voir votre rayon d’impact avant le prochain incidentDémo en direct
  • 600 M/jour
    attaques par identité (Microsoft, 2024)
  • 70 %
    des compromissions exploitent des autorisations excessives
  • 12 h → 10 min
    une analyse du rayon d’impact, avant et après

Rendons à César

Ce que Defender XDR fait brillamment.

Une suite de défense unifiée avant et après compromission, qui coordonne nativement la détection, la prévention, l’investigation et la réponse sur les terminaux, les identités, la messagerie et les applications.

  • Un incident, toute l’histoire

    Les moteurs de corrélation assemblent les alertes de Defender for Endpoint, Office 365, Identity et Cloud Apps en un seul incident : la chronologie, les tactiques, chaque utilisateur, appareil et boîte aux lettres touchés, et une carte visuelle de leurs interactions. L’histoire complète de l’attaque, pas une file de fragments.

  • Une perturbation à la vitesse de la machine

    La perturbation automatique des attaques corrèle des millions de signaux pour repérer les campagnes actives de rançongiciel et de fraude au président, puis confine les ressources compromises en temps réel - appareil isolé, utilisateur désactivé, sessions révoquées - avec un niveau de confiance maintenu à 99 % ou plus. Chaque action peut être annulée par votre équipe.

  • Une auto-réparation après le combat

    Des actions automatiques et des playbooks dopés à l’IA remettent les boîtes aux lettres, terminaux et identités touchés dans un état sûr. Pour tout le reste, il y a la chasse avancée : du KQL sur les signaux bruts et les données d’alerte, dans un seul portail.

Avant et après

Conçu pour l’attaque en cours.

L’unité de travail de Defender XDR est l’incident. Elle commence quand les signaux de menace se corrèlent et se termine quand les ressources touchées sont remises en état - et c’est précisément ce focus qui rend possible une perturbation à 99 % de confiance. Une machine à incidents doit être jugée sur les incidents, et celle-ci est superbe.

Deux questions vivent en dehors de ce modèle, par conception. Avant l’alerte : la prolifération permanente des autorisations qui décide jusqu’où un compte compromis pourrait aller - rien de malveillant ne s’est encore produit, il n’y a donc aucun signal à corréler. Et après la perturbation : le compte est désactivé, l’appareil isolé - mais lesquelles de ses autorisations devraient revenir un jour, et à quoi a-t-il discrètement touché au cours de l’année écoulée ? La chasse porte sur 30 jours de signaux bruts, la bonne fenêtre pour le travail d’incident - pas pour une question qui s’étale sur des trimestres.

Les deux sont des questions sur la couche des autorisations, pas sur la couche des menaces. Cette couche est tout le produit de 1Security.

Le complément

Ce que 1Security ajoute autour de l’incident.

1Security est un moteur de décision centré sur les autorisations pour Microsoft 365 : il cartographie chaque identité - personne, application, agent IA, appareil - ce qu’elle peut atteindre et ce qu’elle a réellement fait.

  1. 01

    Le rayon d’impact, en plein incident

    Chaque fichier, site et boîte aux lettres qu’un compte compromis peut atteindre - octrois directs, liens de partage, groupes, héritage - résolu en quelques minutes. La question de l’impact à laquelle votre rapport d’incident doit répondre pendant que Defender perturbe encore, pas une semaine plus tard.

  2. 02

    Une mémoire au-delà de la fenêtre de chasse

    Trois ans d’historique d’activité sans contrat SIEM, et une référence comportementale par identité avec des épisodes d’anomalie et un seuil d’alerte que vous positionnez vous-même. Ce à quoi le compte a touché au printemps dernier est une requête, pas un projet d’archéologie.

  3. 03

    Une surface plus petite pour la prochaine fois

    Révoquer l’accès, faire expirer les liens, couper les sessions - des automatisations avec délais de grâce et files d’examen, pour que rien d’irréversible ne se produise sans décision humaine. 98 % des autorisations accordées ne servent jamais ; les élaguer, c’est ainsi que le prochain incident commence plus petit.

Architecture conjointe

La voie des menaces et la voie des autorisations.

Defender XDR possède la voie des menaces : détecter, corréler, perturber, réparer. 1Security se connecte au même locataire avec un consentement en lecture seule, sans agents et avec des licences Microsoft standard, et possède la voie des autorisations : avant l’incident, il cartographie et élague ce que chaque identité peut atteindre ; pendant, il répond au rayon d’impact en quelques minutes ; après, il décide - avec un humain dans la boucle - quels accès ne devraient jamais revenir. Les premiers constats arrivent le jour même.

NIS2, conjointement

Soixante-douze heures, ce n’est pas long.

NIS2 - directive (UE) 2022/2555 - met le traitement des incidents sous chronomètre à l’article 23 : une alerte précoce dans les 24 heures suivant un incident important, une notification dans les 72 heures incluant une évaluation initiale de sa gravité et de son impact, et un rapport final dans le mois.

Defender XDR porte la moitié détection : l’incident, l’histoire de l’attaque, la chronologie de la perturbation - ce qui s’est passé et ce qui a été confiné, prêt dès que le chronomètre démarre. 1Security porte la moitié impact : ce que le compte compromis pouvait atteindre, résolu en quelques minutes au lieu d’une chasse aux journaux de 12 heures, et ce qu’il a réellement fait sur trois ans de mémoire d’activité - l’évaluation de gravité et d’impact qu’exige la notification à 72 heures.

Un duo, un rapport, dans les délais.

Arrêtez l’attaque. Puis réduisez la suivante.

Laissez Defender XDR sur l’incident - et placez le graphe des autorisations autour de tout ce que l’incident aurait pu atteindre.

Réserver une démoDémo en direct
Ou continuez à affronter chaque incident avec 98 % de vos autorisations toujours accordées.