Azure enregistre l'activité du plan de contrôle dans l'Activity Log et déploie la détection via Azure Monitor (diagnostic settings vers Log Analytics), Defender for Cloud et Microsoft Sentinel. Un opérateur cherchant à rester invisible dégrade ces éléments par ordre de levier : arrêter l'export qui alimente le SIEM, rétrograder le service de posture qui lève les alertes, et désactiver les règles d'analytics qui se déclencheraient. L'Activity Log lui-même est conservé de façon immuable pendant 90 jours, donc le vrai jeu consiste à contrôler ce qui atteint les sinks de rétention longue durée et d'alerting, et à privilégier les opérations qui n'y atterrissent jamais.
Pages#
- Activity Log : ce que le registre d'opérations de l'abonnement capture et ne capture pas, et couper son export vers les sinks en aval.
- Azure Monitor : supprimer les diagnostic settings pour arrêter les logs des ressources, et voler les clés du workspace Log Analytics.
- Defender for Cloud : rétrograder les plans et la policy pour aveugler la détection de menaces cloud.
- Sentinel : désactiver les règles d'analytics et retirer les connecteurs de données pour aveugler le SIEM.