Microsoft Defender : une bibliothèque de scripts pour pallier les manques de l’automatisation ?
Microsoft vient d’annoncer l’intégration d’une fonctionnalité de gestion de bibliothèque (Library Management) au sein du portail Microsoft Defender. Pour les architectes sécurité, cette annonce sonne comme une douce musique de rationalisation, mais elle soulève également des questions sur la maturité réelle de l’automatisation « magique » promise par l’IA depuis des mois.
L’idée est simple : offrir un dépôt centralisé pour les scripts PowerShell, les fichiers batch et autres outils de triage que les analystes SOC utilisent lors des sessions « Live Response ». Jusqu’à présent, l’importation de scripts pendant une investigation en direct ressemblait parfois à un parcours du combattant. Désormais, tout est censé être à portée de clic, avec une interface de gestion de fichiers intégrée.
D’un point de vue technique, on apprécie la possibilité de visualiser le contenu des scripts directement dans le portail. Cela évite aux analystes de jongler avec des éditeurs de texte locaux, réduisant ainsi — théoriquement — les risques de fuite de données ou de manipulation de fichiers corrompus sur leurs propres postes. Microsoft ajoute également une couche de « Security Copilot » pour résumer le comportement des scripts et évaluer les risques d’exécution. C’est charmant, mais cela ressemble fort à une béquille pour des analystes qui ne sauraient plus lire trois lignes de PowerShell sans une assistance respiratoire numérique.
La critique majeure réside dans la centralisation elle-même. Si ce dépôt devient le point unique de vérité pour la réponse aux incidents, il devient également une cible de choix. Un attaquant parvenant à compromettre un compte avec des privilèges suffisants pourrait, avec une ironie mordante, modifier ces scripts de remédiation pour en faire des outils de persistance ou d’exfiltration. La question de l’immuabilité et de la signature de ces scripts dans la bibliothèque reste, à ce stade, un sujet que Microsoft effleure avec une discrétion presque artistique.
En somme, Microsoft nous vend une « puissante mise à niveau » qui consiste essentiellement à organiser un dossier de scripts. C’est utile, certes, mais cela nous rappelle surtout que malgré tous les discours sur l’autonomie de la sécurité, le succès d’une investigation repose encore et toujours sur un bon vieux script .ps1 écrit par un humain à 3 heures du matin.
Calipia : le blog 