Aller au contenu
Avanet

Sophos ITDR

Sophos ITDR (Identity Threat Detection and Response) met en évidence les risques liés aux identités, les erreurs de configuration et les signes d'identifiants compromis. Ces guides couvrent les prérequis et la connexion, l'évaluation de la posture de sécurité et de l'annuaire, l'examen des Findings et la configuration ou la mise hors service contrôlée.

Table des matières

Planifier et connecter 3 Évaluer la posture de sécurité et l'annuaire 3 Examiner et répondre 2 Configurer et mettre hors service 1

Sophos ITDR tout au long du cycle d'exploitation

Commencez par définir le périmètre, les autorisations et les sources d'identité, puis connectez l'intégration correspondante. Priorisez ensuite les risques de l'organisation et des identités, examinez les objets de l'annuaire et traitez les Findings ou les identifiants compromis au moyen d'actions autorisées. Les paramètres, les intégrations et l'offboarding concluent ce cycle de manière contrôlée.

Planifier et connecter 3

Vérifier les prérequis de licence, de région, de rôle et les limites entre produits. Connecter ensuite Microsoft Entra ID ou un Active Directory local au moyen de l'intégration ITDR appropriée et vérifier la connexion.

Évaluer la posture de sécurité et l'annuaire 3

Interpréter Identity Overview et le Risk Posture Score à l'échelle de l'organisation. Examiner ensuite les Risk Scores liés aux identités ainsi que les utilisateurs, les identités non humaines, les groupes, les appareils et les applications dans ITDR Directory.

Examiner et répondre 2

Prioriser les ITDR Findings, vérifier leurs détails et leur historique, puis contrôler l'effet des mesures correctives. Ne traiter les signes d'identifiants compromis dans Dark Web Intelligence que dans les limites de votre domaine de responsabilité.

Configurer et mettre hors service 1

Gérer les intégrations, les domaines surveillés, les utilisateurs VIP et les Posture Checks. Ne préparer des modifications ou la suppression d'une intégration qu'après en avoir documenté les effets.

Distinguer clairement ITDR des processus liés aux produits connexes

Sophos ITDR évalue la posture de sécurité des identités et fournit des ITDR Findings, des scores de risque, des informations d’annuaire et des renseignements issus du Dark Web. Il ne remplace ni l’administration des annuaires sources ni une plateforme générale de Detection and Response. Avant toute action, il faut donc déterminer dans quel produit le Finding est apparu et qui autorise la modification auprès du fournisseur d’identité.

Les limites suivantes s’appliquent aux tâches connexes :

  • Le produit Sophos Central Directory Sync synchronise les données d’annuaire pour les tâches d’administration dans Sophos Fusion (anciennement Sophos Central). Les intégrations ITDR d’Entra ID et des annuaires Active Directory locaux ne sont pas configurées au moyen de Directory Sync.
  • XDR traite les XDR Detections et les investigations interproduits. ITDR peut regrouper les Findings à haut risque dans des Cases contextualisés et permettre une réponse directe. Un Finding individuel n’est donc ni une XDR Detection ni l’équivalent du Case dans son ensemble ; les statuts et les workflows restent à distinguer.
  • MDR est un service géré sous licence distincte. ITDR reste essentiellement un logiciel supervisé par le client ; MDR ne traite que le périmètre convenu de menaces actives visant les identités et ne prend pas automatiquement en charge les Findings courants ni l’administration de l’annuaire.
  • Sophos Firewall gère ses propres fonctions d’identité, de réseau et de réponse. Les identités Firewall, NDR Essentials et Active Threat Response ne sont ni des intégrations ITDR ni des ITDR Findings.
  • Sophos ZTNA contrôle l’accès aux applications et aux ressources. ITDR ne fournit ni passerelles ZTNA, ni stratégies d’accès, ni connexions et ne remplace pas leur configuration.

En pratique, il faut connecter les sources de manière contrôlée, évaluer les risques et les données d’annuaire dans ITDR, examiner les Findings, effectuer les corrections autorisées dans le système responsable, puis en vérifier à nouveau l’effet dans ITDR. Ne modifier ou supprimer des intégrations qu’après avoir clarifié les effets et les responsabilités.

Démarrer avec la solution autonome et utiliser les nouvelles fonctions à bon escient

Sophos ITDR est également disponible comme solution autonome sans Sophos XDR ni Sophos MDR. Pour démarrer, Sophos propose un essai gratuit de 30 jours ; les devis sont établis selon le nombre d’utilisateurs. La région, l’activation, la licence Microsoft et les règles contractuelles de décompte doivent être clarifiées au préalable dans les prérequis ITDR.

Le produit comprend plus de 160 contrôles de posture récurrents ainsi qu’une visibilité sur les identités humaines et non humaines, y compris les agents IA Microsoft, leurs responsabilités et leurs autorisations. Pour examiner votre parc, commencez par les détails Directory et NHI ; vérifiez les contrôles réellement actifs et applicables sous Identity Settings. Le nombre de contrôles ne constitue pas une garantie de sécurité.

Ne confondez pas cette visibilité avec la couverture des Risk Scores : malgré des annonces produit plus larges, la FAQ actuelle ne documente les scores que pour les identités utilisateur actives, et pas encore de manière générale pour les applications et les Service Principals. Les limites des scores font foi pour la validation. Le guide des Findings explique comment les Cases contextualisés et les possibilités de réponse configurées, telles que la réinitialisation des mots de passe ou la révocation des sessions, complètent l’investigation sans remplacer le constat individuel ni les autorisations nécessaires.