Règles de gestion du mappage unifié

Une règle métier de mappage unifié filtre les enregistrements joints d'un mappage unifié enregistré et détermine ce qu'il advient des enregistrements correspondants. Un mappage définit à lui seul une vue de vos données combinées ; la règle est ce qui met ces données au travail.

Une règle peut être utilisée de deux manières, indépendamment ou conjointement :

• Share to Threat Exchange destinations. Les enregistrements correspondants sont convertis en indicateurs et partagés vers une configuration de destination.
• Perform Risk Exchange actions. Les enregistrements correspondants sont transmis à une configuration Risk Exchange, qui effectue une action telle que la mise à jour du score de risque d'un utilisateur ou l'application d'une balise.

Pour ouvrir cette page, allez sur Universal Schema Builder > Business Rules.

Conditions préalables

Pour compléter cette configuration :

• Créez le mappage unifié que la règle filtrera. Voir Mappage unifié.
• Pour partager des enregistrements correspondants vers une destination Threat Exchange, configurez d’abord le plugin de destination dans Threat Exchange.
• Pour effectuer des actions Risk Exchange, configurez d'abord le plugin Risk Exchange qui fournit l'action.
• La consultation des règles nécessite l’autorisation de lecture de Risk Exchange (cre_read). La création et la modification des règles nécessitent l’autorisation d’écriture de Risk Exchange (cre_write).
• La configuration du partage Threat Exchange sur une règle nécessite l’autorisation d’écriture Threat Exchange (cte_write). Une règle utilisée uniquement pour les actions Risk Exchange n’en a pas besoin.
• Si le mappage de la règle rejoint l’entité des indicateurs Threat Exchange, l’autorisation de lecture Threat Exchange (cte_read) est également requise, car l’évaluation de la règle lit les enregistrements joints du mappage.

Créer une règle de gestion

Pour créer une règle métier de mappage unifiée :

1. Allez sur Universal Schema Builder > Business Rules.
2. Cliquer sur Create New Rule. La fenêtre Create Unified Mapping Business Rule s’ouvre.
3. Saisissez un nom de règle.
4. Dans la liste des mappings, sélectionnez le mapping unifié dont la règle filtre les enregistrements joints.
5. Select ou saisissez une requête pour filtrer les enregistrements de la correspondance. Vous pouvez filtrer sur des champs provenant de l’une des tables jointes dans la correspondance.
6. (Facultatif) Remplissez Field Mapping pour définir la manière dont un enregistrement joint devient un indicateur. Voir Mapper des enregistrements avec des indicateurs.
7. Saisissez le nom du dossier dans lequel vous souhaitez ajouter la règle ou sélectionnez un dossier existant. Vous pouvez aller jusqu’à 3 niveaux de hiérarchie.
8. Cliquez sur Save.

Une fois la règle enregistrée, elle filtre les enregistrements mais n’effectue aucune action tant que vous ne configurez pas le partage ou les actions.

Mapper des enregistrements à des indicateurs

Field Mapping indique à Cloud Exchange comment transformer un enregistrement joint en indicateur, en mappant les champs de l'indicateur sur les champs des enregistrements du mapping. Cela ne s'applique que lorsque la règle partage des enregistrements avec une destination Threat Exchange.

Laissez Field Mapping vide si la règle est uniquement utilisée pour des actions de Risk Exchange. Une action de Risk Exchange résout ses propres paramètres à partir de l’enregistrement et n’a pas besoin qu’un indicateur soit créé.

Si vous configurez la règle de partage, Value, Type et Expires At deviennent obligatoires et ne peuvent être modifiés par la suite. Vous pouvez laisser le mappage vide ou le compléter partiellement lors de la création et le terminer plus tard, mais une fois que Value et Type sont définis, ils sont figés.

Si le mappage ne contient aucun champ de texte adapté à la valeur de l'indicateur, faites passer le champ à Static et entrez une valeur fixe à la place.

Configurer le partage et les actions

Une règle est connectée à ses destinations et actions à partir des modules qui les exécutent, pas à partir de cette page.

Sur ces deux pages, la liste des règles métier contient les règles de ce module ainsi que les règles métier de mappage unifié. Les règles métier de mappage unifié sont affichées avec un préfixe [Unified Mapping], afin que vous puissiez les distinguer. Une règle nommée Risky external hosts apparaît dans la liste sous le nom [Unified Mapping] Risky external hosts.

Une fois le partage ou les actions configurés, la règle s’exécute selon une planification et traite les enregistrements qui ont changé depuis la dernière exécution. Chaque enregistrement est traité une fois par destination ou action, de sorte qu’un enregistrement qui continue de correspondre n’est pas partagé ou traité de manière répétée.

Vous pouvez également exécuter une règle immédiatement plutôt que d'attendre la prochaine exécution planifiée. Lorsque vous déclenchez une exécution manuelle, vous spécifiez le nombre de jours à analyser, et chaque enregistrement mis à jour dans cette fenêtre est traité à nouveau, qu'il ait été traité auparavant ou non.

Cliquer sur « play » pour regarder une vidéo.

Gérer les règles de gestion

La page Business Rules liste les règles que vous avez créées, avec le mappage que chacune d’elles filtre et le dossier auquel elle appartient. Utilisez le bouton situé à côté du bouton Refresh pour basculer entre les vues grille et liste. Vous pouvez développer chaque dossier pour afficher les règles métier qu’il contient, et vous pouvez également supprimer un dossier entier de règles métier.

Mise en sourdine d'une règle de gestion

La mise en sourdine arrête temporairement le partage des enregistrements correspondants d’une règle vers une destination. Utilisez-la lorsque vous devez suspendre une règle sans la supprimer ou sans supprimer sa configuration de partage, comme lorsque vous affinez un filtre bruyant.

Pour désactiver une règle :

1. Cliquez sur l’icône de mise en sourdine pour la règle. La fenêtre Mute Business Rule s’ouvre.
2. Définissez le Interval pour lequel la règle doit rester désactivée, ou entrez la date et l'heure auxquelles elle doit reprendre.
3. Click Save. A Rule muted successfully. message displays.

L’intervalle doit être compris entre 5 minutes et 365 jours. Une fois écoulée, la règle reprend automatiquement. Pour la reprendre plus tôt, cliquer sur Unmute.

Tester une règle de gestion

Tester une règle montre combien d'enregistrements lui correspondent actuellement, sans rien partager ni effectuer d'action. Utilisez-le pour vérifier un filtre avant de connecter la règle à une destination ou à une action, ou pour confirmer pourquoi une règle produit moins d'enregistrements que prévu.

Pour tester une règle :

1. Cliquez sur l'icône de test pour la règle.

   

2. Entrez la période de temps, en jours. Seuls les enregistrements mis à jour au cours de cette période sont pris en compte. La période doit être comprise entre 1 et 365 jours.

   

3. Cliquer sur Fetch. Le nombre total d’enregistrements correspondants s’affiche, avec une répartition du nombre d’indicateurs de type URL et du nombre d’indicateurs de hachage de fichier.

La répartition des indicateurs est dérivée du Field Mapping de la règle. Une règle sans mappage Type utilisable ne partage rien ; elle affiche donc les enregistrements correspondants, mais aucun indicateur. Si c’est ce que vous voyez, complétez le mappage de champ.

Dépannage des règles de gestion

Si une règle est enregistrée correctement, mais qu’aucune action n’est partagée ou effectuée, vérifiez les éléments suivants :

• La règle est configurée sur la page Threat Exchange > Sharing ou la page Risk Exchange > Actions. Une règle ne contenant aucun des deux ne fait rien.
• La règle n'est pas désactivée.
• Le mappage produit des enregistrements. Ouvrez-le sur la page Unified Mapping et vérifiez Generated Mapping. Si le mappage est vide, la règle n’a rien à filtrer.
• Pour le partage, Field Mapping est complet. Sans Value et Type, un enregistrement ne peut pas être transformé en indicateur.