Module d’échange de menaces - Documentation technique Netskope

Threat Exchange est un moteur basé sur des règles pour collecter et partager des indicateurs liés aux hachages de fichiers de logiciels malveillants (malwares), aux hachages de fichiers utilisés dans la politique DLP (Prévention des pertes de données) de Netskope pour une correspondance absolue, ou aux URL utilisées par les systèmes enfichables pour l'application des politiques d'accès restreint ou autorisé. Les indicateurs peuvent être collectés par un plugin source, ou générés à partir des enregistrements d'entités de Risk Exchange et à partir de mappages unifiés créés dans le constructeur de schéma universel (Universal Schema Builder).

Pour activer le module Threat Exchange, vous devez d'abord désactiver Exact Data Match ou Custom File Classification (si activé) en naviguant vers Settings > General. Les modules CLS, CTO, CTE and CRE ne sont pas pris en charge simultaneously avec Exact Data Match ou Custom File Classification.

Cliquez sur lecture pour apprendre à configurer Threat Exchange.

Paramètres globaux de Threat Exchange

Seuls les utilisateurs ayant un accès en écriture peuvent modifier les paramètres globaux de Threat Exchange. Go to Settings > Threat Exchange. Si la même valeur d'IoC est signalée par différentes sources, alors sur la base des critères de réconciliation, Threat Exchange décidera quelles métadonnées d'IoC doivent être conservées et lesquelles seront ignorées.

Critères de réconciliation

Les critères de réconciliation possibles sont les suivants :

Always Overrides: si ce critère est sélectionné, les dernières métadonnées IoC seront conservées en cas de duplication IoC.
Never Overrides: si ce critère est sélectionné, les métadonnées IoC les plus anciennes seront conservées en cas de duplication d'IoC.
Highest Severity Source Override: si ce critère est sélectionné, les métadonnées IoC de la source ayant la plus haute gravité seront conservées en cas de duplication d'IoC.

Les critères de rapprochement s’appliquent aux IoC fournies par les plugins sources. Les IoC générées à partir d’enregistrements d’entités Risk Exchange ou d’un mappage unifié sont attribuées à la règle qui les a produites, et chaque règle conserve sa propre contribution, il n’y a donc rien à rapprocher entre elles. Leur gravité, leur réputation, leurs commentaires et leurs balises sont définis lors de la création initiale de l’IoC et ne sont pas écrasés par la suite.

Cliquer sur « play » pour regarder une vidéo.

Retrait du (des) CdI(s)

Pour activer la rétractation IoC à partir de Cloud Exchange :

Allez sur Setting > Threat Exchange.
Enable the IoC(s) Retraction toggle and enter the Retraction Interval.
Cliquez sur Save.

La rétractation s’applique uniquement aux IoC fournies par un plugin source. Les IoC générées à partir d’enregistrements d’entités Risk Exchange ou d’un mappage unifié ne sont pas rétractées, quel que soit ce paramètre. Si la même valeur IoC est également fournie par un plugin source, la contribution de ce plugin reste éligible à la rétractation.

Générer une alerte

Accédez à Settings > Threat Exchange et activez Generate Alert pour envoyer des alertes au module Orchestrateur de tickets lorsque des IoC sont partagés. Ce paramètre s'applique à toutes les configurations de partage :

Enabled: Chaque configuration de partage génère des alertes en fonction de son propre bouton de bascule Generate Alert. Les New configurations de partage ont le bouton de bascule activé par défaut.
Disabled: Aucune configuration de partage ne génère d'alertes, même si son propre bouton de bascule Generate Alert est activé. Vous ne pouvez pas modifier le bouton de bascule sur une configuration de partage tant que vous n'avez pas activé à nouveau ce paramètre.

Les alertes ne sont générées que lorsque le module Ticket Orchestrator est activé dans Settings > General. Pour plus de détails sur le bouton de bascule de la configuration de partage, reportez-vous à Configurer le partage des IoC de Threat Exchange.