Informatique légale de nouvelle génération

Avec l'analyse judiciaire, vous pouvez enregistrer une copie du fichier et les points forts de la correspondance DLP (Prévention des pertes de données) dans un emplacement de stockage judiciaire. Ces informations peuvent fournir aux personnes chargées de remédier à l'incident les preuves nécessaires ainsi que d'autres informations disponibles dans l'incident DLP (Prévention des pertes de données) et l'alerte informatique Skope correspondante.

Next Gen forensics est développé sur une plateforme New qui est découplée de l'API classique de protection des données. Auparavant, le forensic était étroitement lié au produit API données Protection classique où l'administrateur devait mettre en place et configurer le forensic à l'aide du flux de subventions API données Protection classique nécessitant des autorisations étendues de la part du fournisseur SaaS/IaaS. Avec Next Gen, l'informatique légale peut désormais être configurée de manière indépendante et ne nécessite qu'un minimum d'autorisations.

Netskope prend en charge Amazon S3, Box, Google Drive, Microsoft Azure Blob Storage et Microsoft SharePoint en tant que destinations forensiques sur la plateforme Next Gen.

Vous pouvez consulter la FAQ avant de procéder à la configuration.

Pour mettre en place la police scientifique, vous devez.. :

1. Configurez l’application ou les applications de stockage que vous souhaitez pour stocker les données de la police scientifique.

2. Créez un profil médico-légal.

3. Activer le profil forensique.

Configurer les applications de stockage

Voici une liste d'applications que vous pouvez configurer en tant que destination forensique.

Créer un profil d'informatique légale

Ensuite, vous devez créer un profil d'investigation qui signale les violations de la politique et stocke les fichiers dans un dossier/conteneur d'investigation. Pour créer un profil médico-légal, suivez les étapes ci-dessous :

1. Connectez-vous à votre locataire Netskope et naviguez vers Policies > Profiles > Forensic.

2. Click New Forensic Profile.

   

3. Saisissez les informations suivantes :

   • Nom du profil : Saisissez le nom du profil médico-légal.

   • App: Select either Amazon Web Services (Next Gen Forensics), Box (Next Gen Forensics), Google Drive (Next Gen Forensics), SharePoint (Next Gen Forensics), or Azure Blob Storage (Next Gen Forensics).

     Certaines applications de stockage proposent deux options. Les applications de stockage dont le nom est accompagné de la mention "Next Gen Forensics" sont prises en charge par la plateforme Next Gen et permettent de créer des instances forensiques uniquement lors de la création d'un profil forensique à l'adresse New.

   • Nom de l'instance : Select l'instance d'application appropriée.

   • Pour Amazon Web Services (Next Gen Forensics), entrez le nom du bucket Amazon S3 qui a été utilisé pour créer le rôle IAM dans le cadre de la pile CloudFormation (forensicBucketName). Le nom est sensible à la casse. Pour identifier le nom du seau Amazon S3, connectez-vous à la console AWS.

     

   • Pour Box (Next Gen Forensics), saisissez l'adresse électronique de l'utilisateur. Netskope crée un dossier médico-légal sur le disque dur de cet utilisateur.

     

   • Pour Google Drive (Next Gen Forensics), saisissez l'adresse électronique de l'utilisateur. Netskope crée un dossier médico-légal sur le disque dur de cet utilisateur.

     

   • Pour SharePoint (Next Gen Forensics), saisissez l’URL du site ou du sous-site SharePoint dans ce format : https://<account-name>.sharepoint.com/sites/<site-name>. Par exemple : https://netskope.sharepoint.com/sites/forensic-data-site. Si vous avez sélectionné une instance GCC High, le format sera https://<account-name>.sharepoint.us/sites/<site-name>.

     

   • Pour Azure Blob Storage (Next Gen Forensics), entrez le compte de stockage Azure Blob et le nom du conteneur. Les noms sont sensibles à la casse. Pour identifier les noms des comptes de stockage et des conteneurs, connectez-vous au portail Azure.

     

4. Cliquez sur Save et Apply Changes.

   Note sur Amazon S3 & Azure Blob Storage comme destination forensique - Une fois que vous avez enregistré la configuration, Netskope la valide. Une fois la validation réussie, Netskope télécharge un fichier README.md dans le conteneur Amazon S3 & sur le portail Azure. Vous pouvez vous connecter à la console AWS ou au portail Azure pour vérifier le téléchargement.

Vous avez créé avec succès un profil forensique Next Gen. Ensuite, vous devez activer le profil médico-légal.

Activer le profil médico-légal

Ensuite, vous devez activer le profil médico-légal. Pour ce faire, suivez les étapes ci-dessous :

1. Connectez-vous à votre locataire Netskope et naviguez vers Settings > Forensics.

   

2. Sous Configuration, cliquez Edit.

3. Activez le bouton de basculement Forensic Status.

4. (facultatif) Vous pouvez cocher la case Encryption. Ce faisant, Netskope crypte le contenu forensique avant de le télécharger sur l'application SaaS/IaaS de destination. Si vous cochez la case de cryptage, le fichier original est également crypté si vous avez choisi de stocker l'accès au fichier original sur la page Edit Forensic Configuration.

   Le contenu forensique crypté ne peut être consulté que via l'interface utilisateur du locataire de Netskope ou les API REST de Netskope. Netskope décrypte le contenu forensique crypté et l'affiche sur la page Incidents > DLP. En outre, si l'accès au fichier original est activé, une copie du fichier généré par l'incident sera cryptée et, lorsqu'il sera téléchargé à partir de la page Incidents > DLP, le fichier sera décrypté.

   Pour visualiser le contenu forensique à l'aide des API REST de Netskope, consultez REST APIv2. Vous devez utiliser les API REST suivantes pour consulter le contenu forensique :

   • Téléchargez du contenu médico-légal : /api/v2/incidents/dlpincidents/{id}/forensics
   • Télécharger le fichier original : /api/v2/incidents/dlpincidents/{id}/originalfile
   • Télécharger sous-fichier : /api/v2/incidents/dlpincidents/{id}/subfile

5. Dans la liste déroulante, sélectionnez le profil médico-légal que vous avez créé précédemment.

6. (facultatif) Select Store original file pour stocker les fichiers associés aux incidents DLP (Prévention des pertes de données) dans le dossier forensique désigné. Ces fichiers pourront être téléchargés lors de la consultation des incidents. L'activation de cette option peut nécessiter l'augmentation de la limite de quota pour votre dossier forensique.

7. (facultatif) Select Store original file for Endpoint DLP pour stocker les fichiers associés aux incidents Endpoint DLP (Prévention des pertes de données) dans le dossier forensique désigné. Ces fichiers pourront être téléchargés lors de la consultation des incidents. L'activation de cette option peut nécessiter l'augmentation de la limite de quota pour votre dossier forensique.

   Store original file for Endpoint DLP est une caractéristique contrôlée de l'AG. Contactez votre représentant commercial Netskope pour en savoir plus.

8. (facultatif) Select Store sub-file - Pour les incidents DLP (Prévention des pertes de données) impliquant des images et d'autres fichiers intégrés dans des documents ou des fichiers d'archive, la page Incidents permet de prévisualiser les images, de visualiser tout texte extrait et de télécharger les images et les sous-fichiers. En outre, l'option de téléchargement de ces images et sous-fichiers peut être activée à l'aide de cette case à cocher. L'activation de cette option peut nécessiter l'augmentation de la limite de quota pour votre dossier forensique.

   Store sub-file est une caractéristique contrôlée de l'AG. Contactez votre représentant commercial Netskope pour en savoir plus.

   

9. Vous pouvez cliquer sur Save ou continuer à configurer les profils forensiques à critères de correspondance.

Profils médico-légaux à critères de concordance

Un profil forensique permet aux clients de stocker des preuves en cas de violation de la politique de prévention des pertes de données (DLP). Il capture forensic metadata, , original file, et toute sub-files, qui sont tous considérés comme sensibles. Pour garantir la sécurité et la conformité, Netskope demande à ses clients d'utiliser une destination en nuage autogérée pour le stockage de ces données.

Actuellement, chaque locataire peut disposer de only one forensic destination, ce qui fait de la collecte de données médico-légales une fonction de all-or-nothing. Les données judiciaires sont enregistrées pour tous les incidents DLP (Prévention des pertes de données), sans qu'il soit possible de choisir si elles doivent être stockées ou où elles doivent l'être.

Grâce à la configuration médico-légale par critères de correspondance, vous pouvez désormais :

• Activez ou désactivez la journalisation judiciaire, y compris le stockage des sous-fichiers et des fichiers originaux, en fonction du profil DLP (Prévention des pertes de données) associé.

• Select un profil de destination judiciaire basé sur le profil DLP (Prévention des pertes de données).

Pour configurer les profils forensiques avec critères de correspondance, procédez comme suit :

1. Activez le bouton de basculement des critères de correspondance.

   

2. Dans le tableau des critères de correspondance, vous pouvez ajouter :

   • DLP ProfileVous pouvez choisir parmi une liste de profils DLP (Prévention des pertes de données) prédéfinis ou personnalisés : Select. Vous pouvez ajouter plusieurs profils DLP (Prévention des pertes de données).

   • Store Status: Vous pouvez activer ou désactiver ce bouton à bascule.

     • Activer : Stocker les données médico-légales dans un profil médico-légal.

     • Désactiver : Ne pas stocker les données médico-légales.

   • Forensic Profile: Si Store Status est activé, choisissez un profil médico-légal.

     Pour créer un profil forensique, reportez-vous à la section Créer un profil forensique.

   • Content StatusSi Store Status est activé, vous pouvez choisir de stocker le fichier d'origine et le sous-fichier.

     • Store original file: Stockez les fichiers originaux associés aux incidents DLP (Prévention des pertes de données) dans le dossier forensique désigné. Ces fichiers pourront être téléchargés lors de la consultation des incidents. L'activation de cette option peut nécessiter l'augmentation de la limite de quota pour votre dossier forensique.

     • Store sub-file: Pour les incidents DLP (Prévention des pertes de données) impliquant des images et autres fichiers intégrés dans des documents ou des fichiers d’archives, la page Incidents offre la possibilité d’apercevoir les images, de consulter tout texte extrait, et de télécharger à la fois les images et les sous-fichiers. De plus, l’option de télécharger ces images et sous-fichiers peut être activée avec cette case. Activer cette option peut nécessiter d’augmenter la limite de quotas pour votre dossier médico-légal.

3. Vous pouvez ajouter plus de lignes de critères de correspondance en cliquant sur Add Match Criteria.

   Vous pouvez créer jusqu'à 25 profils médico-légaux avec critères de correspondance.

   

4. Vous pouvez supprimer une ligne de critère de correspondance en cliquant sur les points de suspension (…) > Delete.

   

5. Les critères de correspondance sont classés par ordre croissant, le chiffre 1 étant le plus élevé, suivi du chiffre 2, du chiffre 3, et ainsi de suite. Pour modifier l'ordre de classement, vous pouvez faire glisser la ligne des critères de correspondance.

   

   Pour plus d'informations sur la logique des critères de concordance et les meilleures pratiques, voir Classement par critères de concordance & Evaluation, Logique des critères de concordance pour le fichier conteneur, et Meilleures pratiques pour les profils forensiques par critères de concordance.

6. Cliquez sur Save.

Classement par critères de correspondance & Evaluation

Vous pouvez créer plusieurs règles de critères de correspondance, chacune associée à plusieurs profils DLP (Prévention des pertes de données). Ces règles de critères de correspondance sont classées par ordre de priorité à l'aide d'un numéro de rang, où 1 est le rang le plus élevé, suivi de 2, 3, et ainsi de suite.

Lorsqu'une correspondance forensique se produit, Netskope vérifie les critères de correspondance dans l'ordre. Si une correspondance est trouvée au rang 1, l'action définie est prise immédiatement et aucun autre critère de correspondance n'est vérifié. S'il n'y a pas de correspondance, Netskope passe au critère de correspondance suivant dans l'ordre de classement jusqu'à ce qu'il en trouve un. Lorsqu'une correspondance est trouvée, l'action définie est prise immédiatement et aucun autre critère de correspondance n'est vérifié.

Cela garantit que les actions judiciaires sont appliquées sur la base de la correspondance la mieux classée, optimisant ainsi le processus d'application.

Logique des critères de correspondance pour le fichier des conteneurs

Lorsqu'une correspondance DLP (Prévention des pertes de données) se produit sur un fichier de conteneur (tel qu'un fichier ZIP), le fichier d'origine est stocké sur la base de la première correspondance dans la politique judiciaire. Par exemple :

Définition du profil médico-légal :

• Critère de correspondance 1 : Si le fichier correspond à PCI, stockez-le dans Forensics Profile A.

• Critères de correspondance 2 : Si le fichier correspond à PII, stockez-le dans Forensics Profile B.

A container file (.zip) contains two files:

• File 1 correspond au profil PCI DLP (Prévention des pertes de données) → Incident 1

• File 2 correspond au profil PII DLP (Prévention des pertes de données) → Incident 2

Étant donné que only one copy of the original file est stocké par transaction, il est sauvegardé sur la base de first match dans la politique médico-légale. Dans ce cas, le fichier ZIP original est stocké sur Forensics Profile A (PCI match).

Cela permet d'assurer la cohérence du stockage médico-légal et d'éviter les doublons.

Meilleures pratiques pour les profils médico-légaux à critères de concordance

• Default storage sufficiency: La plupart des clients n'ont pas besoin d'activer cette fonctionnalité. Le stockage de toutes les données à un seul endroit est suffisant pour les cas d'utilisation générale.

• Prioritize exclusions: Les règles qui empêchent le stockage de données spécifiques correspondant à un profil DLP (Prévention des pertes de données) doivent être placées en tête de l'ensemble de règles.

• Restrict file storage: Les règles qui empêchent le stockage du fichier ou du sous-fichier d'origine doivent être suivies.

• Define specific storage locations: Les règles qui exigent le stockage des données dans un emplacement désigné doivent venir après les règles d'exclusion et de restriction.

• Fallback to default: Toutes les données restantes qui ne remplissent pas les conditions susmentionnées doivent suivre le profil criminalistique par défaut.

Questions fréquemment posées sur la migration

1. I have already configured forensics using the classic API Data Protection for SharePoint. Do I need to switch to Next Gen forensics now?

   Si vous utilisez actuellement la protection des données API classique pour Microsoft 365 SharePoint et que vous l’utilisez comme destination médico-légale, vous pouvez passer à la médecine légale Next Gen en même temps que la protection des données de l’API Next Generation pour Microsoft 365 SharePoint. Netskope améliore rapidement la prochaine génération de la protection des données API pour Microsoft 365 SharePoint afin d’offrir toutes les fonctionnalités présentes dans la protection des données API classique pour Microsoft 365 SharePoint. Consultez ce lien pour voir si toutes les fonctionnalités que vous utilisez pour les API données classiques Protection for Microsoft 365 SharePoint sont disponibles dans la section Next Generation API données Protection for Microsoft 365 SharePoint. Si elles sont disponibles, vous pouvez envisager de passer à la protection des données de l’API Next Generation pour Microsoft 365 SharePoint et Next Gen Forensics et utiliser Microsoft 365 SharePoint comme destination médico-légale.

   Si vous n'utilisez pas actuellement API données Protection classique pour Microsoft 365 SharePoint mais que vous avez configuré une instance SharePoint API données Protection classique à des fins de forensique uniquement, vous pouvez envisager de passer à la plateforme forensique Next Gen.

2. If I switch to Next Gen forensics, what will happen to the forensics information that is already stored for previously generated incidents?

   • Pour les incidents New générés après l'activation de Next-Gen Forensics, tous les chargements et téléchargements se feront par le biais du cadre Next-Gen Forensics.

   • Pour les anciens incidents, ils continueront d'utiliser les instances API données Protection classiques pour télécharger les données médico-légales tant que l'ancienne instance n'est pas supprimée et que la subvention API données Protection est intacte. L'administrateur ne doit pas supprimer l'ancienne instance tant que la période de conservation de ces incidents n'a pas expiré.

3. Will Next Gen forensics work only with Next Generation API Data Protection application instances? I am currently using API Data Protection and all my app instances are configured on classic API Data Protection.

   Next Gen forensics fonctionne avec les applications API données Protection classiques, les applications API données Protection de nouvelle génération, CASB Inline et le courrier électronique SMTP.

4. I am currently using Microsoft SharePoint as my forensic destination. This is configured using the classic API Data Protection. Now, if I switch to Next Gen forensics, what are the steps I should follow? Are there any key issues I should know before making the switch?

   La subvention pour les instances de protection des données API classiques doit rester intacte jusqu'à l'expiration de la période de conservation afin de permettre le téléchargement d'analyses criminalistiques pour les incidents historiques. Suivez les étapes décrites dans cet article pour configurer Next Gen forensics.

5. I am currently using Box as the forensics destination. If I switch to Microsoft SharePoint using Next Gen forensics, will I be able to have old incidents continue to refer to the forensics on Box and the new incidents refer to the forensics on Microsoft SharePoint?

   Oui, les utilisateurs devraient être en mesure de télécharger des données historiques à partir de l'application Box tant que la subvention pour l'instance API classique de protection des données pour Box est active.