Dans cet article, je vous partage un runbook Azure Automation permettant d’exécuter une requête KQL dans Microsoft Defender for Endpoint (MDE) afin de lister les appareils contenant un compte administrateur local, puis d’envoyer une alerte par e‑mail.
La solution
- Utiliser un runbook Azure Automation
- Il exécute une requête KQL sur MDE
- Il récupère tous les appareils ayant un compte admin local
- Un email est envoyé avec la liste des appareils
- Le runbook est planifié
Notification par mail
Voici un aperçu du type de la notification envoyée.
Dans le fichier CSV joint, vous trouverez des informations comme:
- Nom de l’appareil
- Compte administrateur
- Dernière connexion MDE
- Date d’ajout du compte
- Présence dans Intune
- Utilisateur
- Modèle
- Dates d’enrôlement et de synchronisation
- Numéro de série
- Type d’enrôlement
- État d’enregistrement
- Expiration du certificat
- Présence dans Entra ID
- Date d’enregistrement
- Profil Autopilot
- Dernière connexion
- État d’enrôlement Autopilot
- Durées du déploiement
- Statuts Device Setup / Account Setup
Récupérer les scripts
En cliquant sur l’image GitHub de l’article, vous trouverez :
- Assign_permissions.ps1 : ajoute les permissions à la Managed Identity
- Runbook.ps1 : le runbook Azure Automation
Que fait le script ?
- Authentification via la Managed Identity
- Exécution d’une requête KQL sur DeviceLogonEvents dans MDE
- Pour chaque appareil trouvé :
- Requête KQL sur DeviceEvents pour obtenir la date de création du compte
- Récupération des informations de l’appareil dans Intune
- Récupération des informations dans Entra ID
- Récupération des informations dans Autopilot
- Export en CSV
- Envoi du CSV par mail
Création du compte Automation
Objectif : créer le compte Azure Automation qui exécutera le script.
- Aller dans Azure
- Ouvrir Automation Accounts
- Cliquer sur Create
- Saisir un nom
- Choisir abonnement, groupe de ressources et région
- Onglet Advanced
- Sélectionner System assigned
- Cliquez sur Create
Configuration de la Managed Identity
À utiliser uniquement si la MI n’est pas encore configurée.
- Aller dans le compte Automation
- Ouvrir Identity
- Onglet System assigned
- Activer On
- Sauvegarder
- Confirmer
Une application d’entreprise sera créée pour permettre l’authentification et les appels API.
Ajout des modules
Nécessaire uniquement si vous souhaitez envoyer les informations par e‑mail.
Modules à importer :
- Microsoft.Graph.Authentication
- Microsoft.Graph.Security
- Microsoft.Graph.Users.Actions
Ajout des permissions
La Managed Identity doit disposer des permissions suivantes :
- ThreatHunting.Read.All
- Mail.Send
Étapes :
- Modifier le script Assign_permissions.ps1
- Renseigner $TenantID et $DisplayNameOfMSI
- Exécuter le script
Modification du script
Objectif : adapter le runbook aux besoins concernant la notification e‑mail.
- Modifier Runbook.ps1
- Ajuster les variables nécessaires
Création du Runbook
- Cliquer sur Create a runbook
- Donner un nom
- Type : PowerShell
- Créer
- Copier le contenu de Runbook.ps1
- Sauvegarder
- Publier