Règles d’alerte¶

Définissez quels événements de sécurité déclenchent une alerte, avec quelle sévérité et vers quels canaux. Par exemple, soyez alerté dès qu’un administrateur est créé, ou dès qu’une connexion échoue plusieurs fois.

Accès : verified_user Zone d’administration > shield Réseau & Sécurité > notification_important Alerting > rule Règles.

L’onglet Règles liste toutes vos règles, activées ou non, avec leur sévérité, leurs types d’événements, leurs canaux et leur état. La description s’affiche sous le nom. Filtrez la liste par sévérité, par type d’événement ou par état (Toutes, Activée, Désactivée) pour retrouver les règles que vous cherchez.

Créer une règle¶

Ouvrez verified_user Zone d’administration > shield Réseau & Sécurité > notification_important Alerting > rule Règles, puis cliquez sur + Nouvelle règle.
Nommez la règle, puis choisissez ce qu’elle surveille (Types d’événements), la Sévérité de l’alerte et les Canaux de notification à prévenir.
Si besoin, affinez la règle avec un seuil, des conditions ou une plage horaire, puis cliquez sur Test à blanc pour la vérifier avant de la créer.
Cliquez sur Créer.

Le Test à blanc rejoue la règle sur les 7 derniers jours d’historique, y compris sur des événements antérieurs à sa création. Il indique le nombre d’événements analysés, d’événements correspondants et de notifications qui auraient été générés, un échantillon, et signale un historique tronqué le cas échéant. Utilisez-le pour affiner une règle qui déclencherait trop d’alertes.

Astuce

Pour ajuster une règle, cliquez sur Modifier dans sa ligne.

Pour partir d’une règle existante, cliquez sur Dupliquer : la copie est créée désactivée.

Pour supprimer une règle, cliquez sur Supprimer.

Créer une alerte rapide depuis une ressource¶

Depuis l’onglet Alerting d’une ressource, vous pouvez créer une règle d’alerte sans ouvrir le formulaire de règle. Cette fonction est disponible pour les administrateurs d’instance et d’organisation.

Ouvrez inventory_2 Inventaire > tv Bureaux à distance (ou box_edit Profils de conteneurs), sélectionnez la ressource, puis ouvrez son onglet Alerting.
Cochez les événements dont vous voulez être alerté : Accès à une ressource refusé, Session ouverte sur une ressource, Premier accès à une ressource ou Session fermée sur une ressource.
Si vous le souhaitez, choisissez les Canaux des alertes rapides qui reçoivent les alertes. Si vous n’en choisissez aucun, les alertes restent visibles dans la console.

Onglet Alerting d’un profil de conteneur avec les quatre événements cochés et les règles créées — *Onglet Alerting d’un profil de conteneur : chaque événement coché a sa règle.*¶

Chaque case cochée crée une règle pour cette ressource. Sur un profil de conteneur, la règle vaut pour tous les conteneurs du profil. Décocher une case supprime la règle correspondante.

Les règles sont listées sous Règles ciblant cette ressource et dans l’onglet Règles. Cliquez sur Modifier pour en affiner une.

Pour une règle plus précise (seuil, conditions ou plage horaire), cliquez sur Nouvelle alerte (avancé) : le formulaire de règle s’ouvre avec la ressource déjà ciblée. Page complète ouvre la console Alerting.

Exemples de règles¶

Ces exemples appliquent la procédure ci-dessus à des besoins courants. Ils utilisent les types d’événements du catalogue.

Être prévenu quand un administrateur est créé¶

Sachez immédiatement quand un nouveau compte administrateur apparaît sur votre instance. Cet exemple suppose que vous avez déjà un canal Email (voir Canaux de notification).

Cliquez sur + Nouvelle règle dans l’onglet Règles.
Nommez la règle, par exemple « Nouvel administrateur ».
Dans Types d’événements, sélectionnez Administrateur créé. Réglez la Sévérité de l’alerte sur Critique, puis sélectionnez votre canal Email dans Canaux de notification.
Cliquez sur Créer.

Repérer une tentative de force brute¶

Soyez alerté quand des connexions échouent plusieurs fois en peu de temps, plutôt qu’à chaque échec isolé.

Cliquez sur + Nouvelle règle, puis nommez la règle, par exemple « Échecs de connexion répétés ».
Dans Types d’événements, sélectionnez Échec de connexion, puis choisissez une Sévérité de l’alerte et vos Canaux de notification.
Cochez N’alerter qu’au-delà d’un seuil, puis saisissez 5 dans Occurrences et 300 dans En (secondes). Laissez Comptées sur Par utilisateur.
Cliquez sur Test à blanc pour voir combien de fois la règle se serait déclenchée, puis sur Créer.

Pour être prévenu du verrouillage lui-même, sélectionnez plutôt le type d’événement Verrouillage bruteforce.

Surveiller les connexions du week-end¶

Soyez alerté quand quelqu’un se connecte les jours où personne ne devrait le faire.

Cliquez sur + Nouvelle règle, puis nommez la règle, par exemple « Connexions du week-end ».
Dans Types d’événements, sélectionnez Connexion réussie, puis choisissez une Sévérité de l’alerte et vos Canaux de notification.
Cochez N’alerter que sur une plage horaire, puis sélectionnez sam. et dim. dans Jours, et réglez De sur 00:00 et À sur 23:59.
Cliquez sur Créer.

Champs du formulaire¶

Identité et sévérité¶

Nom : identifie la règle dans les listes. Obligatoire.
Description : documentez ce que la règle surveille et pourquoi (facultatif). Utile pour vous souvenir de son objectif lors de futurs contrôles.
Sévérité de l’alerte : urgence de ces alertes (Info, Avertissement, Erreur ou Critique ; cette échelle diffère des 3 niveaux des Journaux de sécurité). Avertissement par défaut.
Temporisation (secondes) : délai pendant lequel une alerte ne renotifie pas après avoir notifié, même si d’autres événements correspondants se produisent, pour éviter une rafale de messages identiques. 300 par défaut.

Événements et canaux¶

Types d’événements : quels événements déclenchent la règle (par exemple « Échec de connexion » ou « Administrateur créé »). Obligatoire. Voir le catalogue d’événements.
Organisations ciblées (règles d’instance uniquement) : n’envoyez des alertes que pour ces organisations. Laissez vide pour surveiller toutes les organisations.
Ressources ciblées (règles d’organisation uniquement, affiché pour les types d’événements liés à une ressource) : n’envoyez des alertes que pour ces machines ou Composites. Laissez vide pour surveiller toutes les ressources.
Canaux de notification : où envoyer les alertes (Email, Slack, dans l’app, etc.). Un canal ne reçoit que les alertes de la sévérité minimale qu’il accepte. Voir Canaux de notification.

Options de déclenchement¶

Ces options sont toutes facultatives. Chacune s’active par une case à cocher, et ses champs s’affichent une fois la case cochée.

N’alerter qu’au-delà d’un seuil¶

Évitez d’être alerté pour un événement isolé : la règle n’alerte qu’après plusieurs occurrences. Par exemple, 5 échecs de connexion en 5 minutes permettent de repérer une tentative de force brute.

Occurrences : nombre d’occurrences à atteindre. 5 par défaut.
En (secondes) : durée de la fenêtre glissante dans laquelle ces occurrences doivent se produire. 300 par défaut.
Comptées : ce que l’on compte : Par utilisateur (par défaut), Par cible, Par organisation ou Globalement. Un comptage par utilisateur garde séparés les échecs de chaque utilisateur : cinq échecs de cinq utilisateurs différents ne s’additionnent pas en un seul total.

Ajouter des conditions sur l’évènement¶

Affinez la règle pour qu’elle ne réagisse qu’à certains événements du type choisi. Les conditions ne sont vérifiées qu’une fois le type d’événement reconnu.

Conditions à satisfaire : Toutes (chaque condition doit être vraie) ou Au moins une.
Chaque condition associe un champ, un opérateur et une valeur. Utilisez un champ de l’événement ou un chemin dans les métadonnées, par exemple metadata.protocol.
L’opérateur compare le champ à la valeur : est, n’est pas, contient, ne contient pas, commence par, finit par, correspond au motif, ne correspond pas au motif, fait partie de, ne fait pas partie de, est présent, est absent, est supérieur à ou est inférieur à. Avec est présent ou est absent, aucune valeur n’est à saisir.
Une condition ne prend qu’une seule valeur : une virgule ne sépare pas plusieurs valeurs. Pour en tester plusieurs, ajoutez une condition par valeur et choisissez Au moins une.
Dans une valeur, * remplace n’importe quel texte et ? un seul caractère.

Les champs disponibles sont action, instigatorEmail, organizationName, targetType, targetName, targetLinkedType, targetLinkedName et tout metadata.<chemin>.

Les métadonnées sont celles que l’on voit dans les Journaux de sécurité : cliquez sur l’icône de la colonne des détails d’un événement pour les afficher. Écrivez le chemin avec des points pour atteindre une valeur imbriquée. Par exemple, metadata.role.new est ADMIN ne retient que les événements où le nouveau rôle est ADMIN.

Deux conditions sur l’événement, l’une avec l’opérateur est présent et l’autre avec une valeur — *Deux conditions : un chemin de métadonnées qui doit être présent, et un chemin imbriqué comparé à une valeur.*¶

N’alerter que sur une plage horaire¶

Limitez la règle à certains jours et à certaines heures. En dehors de cette plage, la règle ne se déclenche pas du tout et rien n’est enregistré.

Jours : jours où la règle est active. Obligatoire.
De / À : heures de début et de fin.
Fuseau horaire : fuseau dans lequel ces heures sont lues.

État¶

Activée (case à cocher) : active ou désactive la règle sans la supprimer. Activée par défaut.