Configurer l’orchestration des réponses et vérifier les résultats

L’orchestration des réponses attribue une étiquette existante à un terminal lorsque des événements correspondent à une règle. L’étiquette seule ne bloque ni n’isole le terminal : une stratégie active doit cibler cette étiquette, et sa réception ainsi que son application doivent être vérifiées. La disponibilité, les événements et les autorisations dépendent du déploiement. Commencez avec quelques terminaux pilotes et des fichiers de test non sensibles. L’exemple de collecte des opérations sur fichiers utilise des terminaux Windows ; vérifiez séparément les autres plateformes et méthodes.

Préparer les événements et les stratégies

1. Dans la gestion des étiquettes de la liste des terminaux, vérifiez une étiquette adaptée au pilote ; créez-en une seulement si aucune ne convient. Vérifiez son nom, son activation, les terminaux, réponses et stratégies qui la référencent, évaluez l’impact et confirmez le périmètre pilote approuvé. Ne l’attribuez pas encore manuellement au terminal pilote. Vérifiez que le terminal pilote ne porte pas déjà cette étiquette ; si elle est présente, ne la retirez pas sans autorisation et utilisez plutôt une étiquette dédiée adaptée.
2. Pour tester la suppression de fichiers, vérifiez d’abord la stratégie de suivi applicable aux terminaux pilotes. Créez ou modifiez une stratégie de prévention des pertes de données, activez le suivi et enregistrez la stratégie entière uniquement si nécessaire. Attendez sa réception et son application, supprimez un fichier de test non sensible et vérifiez son enregistrement.
3. Dans le produit concerné, vérifiez une stratégie existante applicable et créez ou modifiez une stratégie seulement si nécessaire en sélectionnant l’étiquette cible du pilote comme cible dans les paramètres généraux. Définissez la date de prise d’effet et le contrôle ou l’audit souhaité. Utilisez d’abord une configuration pilote réversible et à faible risque ; après enregistrement, vérifiez son activation et son périmètre. Créer une étiquette ou une règle ne crée pas cette stratégie.

Avant l’activation, vérifiez le périmètre pilote et les événements récents. Lors de la première activation de règles pour une source, le système peut examiner des enregistrements correspondants des 5 dernières minutes environ, y compris des tests antérieurs à l’activation. La fenêtre compte selon le moment où le serveur traite les enregistrements, pas strictement selon l’heure de l’événement sur le terminal ; les retards ou accumulations peuvent modifier le résultat. Une réponse active peut être prolongée si les conditions sont à nouveau remplies. L’expiration est traitée en arrière-plan : le retrait de l’étiquette à l’instant exact n’est pas garanti. Après une levée, de nouveaux événements correspondants peuvent déclencher une autre réponse ; continuez à vérifier les enregistrements, étiquettes et stratégies associées.

Créer une règle de réponse

1. Sur la page d’accueil, ouvrez Response Orchestration sous Security Operations, puis sélectionnez New Rule. Dans Basics, renseignez le nom et vérifiez l’état de la règle.
2. Dans Trigger, sélectionnez Data Loss Prevention comme Source Product, File Operation comme Event Source et Delete Files comme Event Type. Les autres événements proposés ne couvrent pas toutes les activités des terminaux.
3. Définissez Minimum Severity, Time Window, Hit Count et Cooldown. Pour un pilote, utilisez par exemple 10 minutes, 2 occurrences et 30 minutes de délai. La fenêtre et le nombre doivent être positifs ; le délai peut être nul. Le niveau minimal doit correspondre aux événements réels.
4. Dans Scope, ajoutez les terminaux pilotes et vérifiez la sélection. Dans Action, choisissez l’étiquette cible et une Tag TTL positive, par exemple 60 minutes. Vérifiez la configuration et la stratégie associée, enregistrez et confirmez dans Response Rules que la règle est active.

Vérifier, lever et résoudre les problèmes

1. Supprimez des fichiers de test autorisés sur le terminal pilote pour atteindre le seuil, puis attendez la remontée et le traitement. Consultez les opérations sur fichiers, puis Response Records et Active Responses. Les enregistrements peuvent indiquer un seuil non atteint, un délai actif ou un doublon.
2. Vérifiez l’étiquette, la stratégie associée, ainsi que sa réception et son application effectives sur le terminal. Une occurrence ou une étiquette visible ne prouve pas le contrôle. En l’absence de réponse, vérifiez l’état, l’événement, le niveau, le périmètre, la fenêtre, le nombre et le délai.
3. Pour terminer une réponse active plus tôt, sélectionnez-la dans Active Responses et choisissez Clear, puis vérifiez l’étiquette et les stratégies. Une étiquette manuelle ou partagée avec une autre réponse active peut rester. La désactivation ou la levée ne supprime pas nécessairement tous les contrôles immédiatement.