- Go to Threat Exchange > Business Rules. A page appears showing previously configured business rules (if applicable).
- Cliquer sur Create New Rule. Cela ouvre une fenêtre dans laquelle la règle peut recevoir un nom descriptif et un ensemble de conditions de correspondance peut être sélectionné. La logique booléenne permet aux fonctions
not,andetord’avoir plusieurs règles correspondant aux métadonnées fournies concernant les IoC, notamment la source, la réputation, le tag, la gravité, les informations étendues, et bien plus encore.
- Select un Entity. Choisissez des indicateurs de menace pour créer la règle sur les IoC dans Threat Exchange, ou choisissez une entité Risk Exchange pour la créer sur les enregistrements de cette entité. Les conditions de correspondance et le mappage des champs suivent tous deux l’entité que vous sélectionnez ; par conséquent, si vous modifiez cette dernière, la règle que vous avez construite jusqu’à présent sera réinitialisée. L'entité ne peut pas être modifiée après l'enregistrement de la règle.
Mapper les enregistrements d'entité aux IoC
Lorsqu’une règle est basée sur une entité Risk Exchange, un mappage de champ définit comment un enregistrement d’entité correspondant devient un IoC. Mappez les champs IoC aux champs de l’entité sélectionnée. Value, Type et Expires At sont obligatoires et ne peuvent pas être modifiés après l’enregistrement de la règle. Si l’entité n’a pas de champ de texte approprié pour la valeur IoC, basculez le champ sur Static et saisissez une valeur fixe à la place.
Les IoC créés à partir d’enregistrements d’entités sont étiquetés avec la règle qui les a produits plutôt qu’avec un plugin source, et ils ne sont pas rétractés. La rétractation ne s’applique qu’aux IoC extraits par un plugin source.
- Vous pouvez ajouter d'autres règles et créer des groupes de règles qui peuvent être additives ou alternatives. Les règles peuvent également être supprimées en cliquant sur la règle et en sélectionnant la poubelle rouge.
- Enfin, les règles peuvent également être copiées à partir de la page IoC pour être utilisées dans une règle de gestion en cliquant sur le bouton Copy Filter, ou créées à partir de la page IoC en cliquant sur l'icône de document.
- Saisissez le nom du dossier auquel vous souhaitez ajouter les règles ou sélectionnez un dossier existant. Au maximum, Cloud Exchange prend en charge une hiérarchie de dossiers professionnels à trois niveaux.
- Lorsque vous avez terminé, cliquez sur Save. Chaque fois qu'une règle est sauvegardée ou supprimée, une fenêtre verte apparaît dans le coin supérieur droit pour signaler que la commande a été exécutée avec succès.
Exécuter des actions sur les règles de gestion
Vous pouvez gérer toutes les règles de gestion à partir de la page Règles de gestion. Les utilisateurs ayant un accès en écriture peuvent désactiver une ou plusieurs règles de gestion, mais aussi cloner une règle de gestion complète, modifier la requête pour les règles de gestion ou supprimer les règles de gestion à partir de cette page. Ces actions sont expliquées plus en détail ci-dessous.
Le nombre de règles affichées sur la page peut être modifié s'il y en a plus de 10.
 |
Cloner une règle de gestion
Pour cloner une règle métier, cliquez sur l’icône de document sur la règle et confirmez l’action. Le clone est construit sur la même entité que l’original.
 |
Mise en sourdine d'une règle de gestion
L'inhibition peut être utilisée pour ignorer temporairement tout IoC New qui déclencherait normalement le partage.
 |
Modifier une règle de gestion
Pour modifier une règle métier, cliquez sur l’icône en forme de crayon sur la règle et apportez vos modifications. Lorsque vous avez terminé, cliquez sur Save. L’entité sur laquelle une règle est construite ne peut pas être modifiée.
 |
Tester une règle de gestion
Pour tester une règle de gestion afin de voir si elle correspond au nombre d'IoC d'une période donnée, sélectionnez l'icône de synchronisation sur la règle et confirmez l'action. Le nombre total d'IoC correspondant à cette règle de gestion s'affiche alors. Pour une règle basée sur une entité de Risk Exchange, le compte correspond aux enregistrements d'entités correspondants.
 |
- Entrez la période de temps (en jours). Seuls les IoC récupérés pendant cette période seront pris en compte lors de l'évaluation de la règle métier. Cocher le bouton Tout le temps évaluera tous les IoC actifs pour les 365 derniers jours.
- Cliquez sur Fetch. Cela invoquera le test ; cela n'entraînera pas le partage de l'IoC. Le partage effectif de l'IoC nécessite la configuration d'une règle de partage.
Vous obtiendrez le nombre qualifié d'URL avec la taille et le nombre qualifié de Filehash avec la taille.
Supprimer une règle de gestion
Pour supprimer une règle de gestion, cliquez sur l'icône de la corbeille sur la règle et confirmez l'action.
 |
Ajouter, modifier ou supprimer des règles d'exception à une règle de gestion
Les règles d'exception sont utilisées pour exclure des indicateurs spécifiques sur la base de certains critères. Par exemple, vous pouvez exclure les indicateurs de faible gravité ou de valeur spécifique, et créer des règles d'exception à l'aide de requêtes ou de balises.
Les exceptions fonctionnent comme les règles de gestion et peuvent utiliser un langage de requête ou des balises particulières, ce qui facilite l'élimination de certains types de données de la règle de correspondance primaire. Par exemple, les IoCs qui ont été marqués comme bénins par l'équipe SecOps.
Pour créer une règle d'exception, développez la règle et cliquez sur l'icône Règles d'exception +.
 |
Saisissez un nom pour la règle d'exception et ajoutez des requêtes ou des balises. Une fois terminé, cliquez sur Save.
 |
D'autres mesures peuvent être prises concernant les règles d'exception :
- Modifier les règles existantes en cliquant sur l'icône du crayon.
- Supprimer des règles en cliquant sur l'icône de la poubelle.
Une règle métier sur cette page est basée sur une entité unique. Pour créer une règle sur les enregistrements joints à partir de Threat Exchange et de Risk Exchange ensemble, créez une règle métier de mappage unifiée dans Universal Schema Builder > Business Rules.