Comportement de retrait des IoC

La rétractation d’IoC supprime un indicateur des systèmes de destination après que le plugin source a rapporté que l’indicateur a été rétracté (par exemple, retiré en tant que faux positif). La rétractation est un processus distinct du partage, et chaque indicateur porte un Sharing status et un Retraction status par configuration de destination.

Prerequisites

• IoC(s) Retraction est activé sous Settings > Threat Exchange, avec un intervalle de retrait défini.
• Le plugin source prend en charge la récupération des informations de rétractation.
• Le plug-in de destination prend en charge la suppression des indicateurs. Si ce n’est pas le cas, le retrait est ignoré pour cette destination.
• La configuration de destination est activée et est utilisée dans au moins une configuration de partage.

How it works

1. Detect. Un indicateur est marqué Retracted de deux manières :
   • Automatically: à chaque intervalle de rétractation (en jours), Cloud Exchange demande à chaque configuration de source activée lesquels de ses indicateurs actifs et non encore rétractés ont été rétractés. Un indicateur est considéré comme rétracté s’il a été supprimé à la source, s’il tombe en dehors de l’intervalle de rétractation dans la configuration du plug-in ou s’il tombe en dehors de la portée d’extraction de la configuration du plug-in.
   • Manually: un utilisateur disposant d’un accès en écriture active le commutateur Retracted pour une entrée source dans Threat IOCs (non disponible pour les indicateurs provenant de CRE). Cela ne met à jour que les statuts ; la suppression des destinations a lieu lors du prochain cycle de partage de la destination.
2. Decide. Pour chaque destination, le statut de rétractation est défini sur Pending uniquement si le statut de partage de l’indicateur pour cette destination est Shared (la destination est répertoriée dans Partagé avec). Dans tous les autres cas, il est défini sur N/A, car il n’y a rien à supprimer.
3. Retract. Lors du prochain cycle de partage planifié de la configuration de destination (de sorte que le timing suive l’intervalle de synchronisation de cette destination), les indicateurs « En attente » sont envoyés au plugin de destination pour suppression, par lots. En cas de réussite, l’état de rétractation devient Retracted; en cas d’échec, Failed.
4. Stop sharing. Les indicateurs retirés sont exclus de tout partage ultérieur, y compris la synchronisation manuelle.

Status reference

Scenarios

« Règle métier » signifie que l’indicateur correspond à une règle métier. « Partage » signifie qu’une configuration de partage associe cette règle à la destination.

Important Factors

• Un-retracting (éteindre l'interrupteur ou la source tirant à nouveau l'indicateur) efface le statut de rétractation et rétablit le statut de partage pour chaque destination possible à Pending. La destination est supprimée de Partagé avec jusqu'à ce que le prochain cycle de partage pousse à nouveau l'indicateur. Un indicateur qui ne qualifie plus passe alors à N/A.
• Les entrées de partage en attente qui n’ont pas été prises en compte lors d’un cycle de partage sont définies sur N/A à la fin de ce cycle.
• Si le plugin de destination indique que la rétractation est désactivée dans sa configuration, tous les indicateurs en file d’attente sont définis sur N/A plutôt que sur Failed.
• Delete Inactive IoC(s) Indicators: les indicateurs inactifs et rétractés ne sont supprimés qu'après vérification de leur statut de rétractation.
• Lorsque vous testez une synchronisation ou un partage manuel, les IoC retirés sont exclus du compte total.