Chasse aux menaces EDR : requête KQL (Defender)

Le CERT signale des attaques utilisant PowerShell avec des commandes encodées lancées par des documents Office. Chassez sur le parc via l'API de chasse avancée (Microsoft Graph). Dans ~/travail :

1. requete.kql : table DeviceProcessEvents, période Timestamp > ago(7d), processus FileName =~ "powershell.exe", ligne de commande contenant -enc (ProcessCommandLine has_any ("-enc", "-EncodedCommand")), parent Office (InitiatingProcessFileName in~ ("winword.exe", "excel.exe")), projection Timestamp, DeviceName, AccountName, ProcessCommandLine
2. corps.json : {"Query": "<contenu de la requête>"} (sur une ligne)
3. az rest --method POST --url https://graph.microsoft.com/v1.0/security/runHuntingQuery --body @corps.json → poste concerné → answer poste <nom> ; compte → answer compte <nom>
4. Action immédiate sur ce poste → answer action <isoler|redemarrer|ignorer>