Le générateur de schémas universel permet de combiner les données que Cloud Exchange collecte déjà dans des modules distincts en un ensemble unique et unifié d'enregistrements, puis d'agir sur ces enregistrements. Threat Exchange stocke des indicateurs, et Risk Exchange stocke des entités telles que des utilisateurs, des applications et des hôtes. Chacun fonctionne bien seul, mais les relations entre eux, l'utilisateur qui a été vu avec un hash de fichier malveillant, ou l'application associée à un domaine marqué, ne sont visibles que lorsque les données sont rassemblées.
Avec le Universal Schema Builder, vous joignez ces entités sur les champs qu'elles ont en commun, examinez le résultat combiné, puis créez des règles métier qui filtrent les enregistrements joints et les partagent ou agissent sur eux.
Le générateur de schémas universel contient deux pages :
| Page | Description |
|---|---|
| Mise en correspondance unifiée | Select une table de base, joignez-y des entités Threat Exchange et Risk Exchange supplémentaires, appliquez des filtres et enregistrez le résultat en tant que mappage nommé. |
| Règles de gestion | Filtrez les enregistrements joints d'un mappage enregistré et configurez ce qui arrive aux enregistrements correspondants, comme les partager vers une destination Threat Exchange, effectuer des actions Risk Exchange sur eux, ou les deux. |
Comment ça marche
Une correspondance est une définition, pas une copie de vos données. Lorsque vous enregistrez une correspondance, Cloud Exchange stocke la table de base, les jointures et les filtres qui décrivent la manière de combiner les entités. Il ne stocke pas les enregistrements joints eux-mêmes. Chaque fois que vous prévisualisez une correspondance, l’exécutez ou évaluez une règle métier par rapport à celle-ci, les enregistrements sont reconstruits à partir du contenu actuel des entités sources. Vos données unifiées sont donc toujours à jour et l'activation du module ne duplique pas le stockage.
Les jointures sont effectuées deux tables à la fois, dans l’ordre dans lequel vous les créez. La première jointure combine la table de base avec une deuxième table ; la suivante combine ce résultat avec une troisième table, et ainsi de suite. Chaque jointure est une jointure externe gauche, ce qui signifie qu’un enregistrement du côté gauche apparaît dans le résultat, qu’un enregistrement correspondant soit trouvé ou non du côté droit. Les champs d’une table sans correspondance sont simplement vides pour cet enregistrement.
Les jointures ne correspondent que sur l’égalité. Vous sélectionnez un champ de chaque côté, et les enregistrements sont combinés là où ces valeurs de champ sont égales.
Un mappage enregistré ne déplace pas de données et n'effectue aucune action en lui-même. Il définit la vue. Pour agir sur ce qu'il produit, créez une règle métier sur la page Business Rules.
Conditions préalables
Pour compléter cette configuration :
- Le module Risk Exchange doit être activé dans Settings > General. L’outil Universal Schema Builder fait partie de Risk Exchange ; tant que le module est désactivé, les pages ne sont pas disponibles et les règles métier existantes sont désactivées et ne peuvent être ni modifiées ni exécutées.
- Le générateur de schéma universel est à la disposition des utilisateurs disposant de l'autorisation de lecture Risk Exchange (
cre_read). La création, la modification et la suppression de mappages et de règles nécessitent l'autorisation d'écriture Risk Exchange (cre_write). - Pour inclure l’entité Threat Exchange indicators dans un mappage, le module Threat Exchange doit être activé dans Settings > General et votre utilisateur doit également disposer de l’autorisation de lecture Threat Exchange (
cte_read). Sans lui, l'entité des indicateurs n'est pas proposée lorsque vous créez un mappage, et les mappages enregistrés qui l'utilisent sont masqués. - Enregistrer, modifier ou supprimer un mappage qui rejoint l’entité des indicateurs nécessite l’autorisation d’écriture Threat Exchange (
cte_write). - Pour fusionner deux entités Risk Exchange, aucune autorisation Threat Exchange n’est nécessaire.
- Configurez les plugins qui remplissent vos indicateurs et entités avant de créer un mappage, de sorte qu'il y ait des données à joindre et à prévisualiser.
Commencez
- Allez à Universal Schema Builder > Unified Mapping et créez un mappage qui joint les entités que vous voulez combiner. Voir Mappage unifié.
- Allez sur Universal Schema Builder > Unified Mapping Business Rules et créez une règle qui filtre ce mappage et définit quoi faire avec les enregistrements correspondants. Voir Règles métier de mappage unifié.