Créer des règles de consolidation d’incident

  • Rversion finale: Xanadu
  • Mis à jour 1 août 2024
  • 2 minutes de lecture

    • Créez une règle de consolidation des incidents pour regrouper plusieurs incidents de nature similaire sous un seul incident parent.

    Avant de commencer

    Rôle requis :
    • sn_dlir.admin : créer, modifier et supprimer
    • sn_dlir.analyst et sn_dlir.analyst_read - Afficher (lecture seule)

    Pourquoi et quand exécuter cette tâche

    L’administrateur DLP définit ces règles de consolidation des incidents pour consolider automatiquement les incidents DLP de même nature sous un seul incident parent. La règle de consolidation des incidents DLP vous permet de consolider les incidents DLP en fonction de la configuration fournie pour la durée de consolidation et l’identification de la consolidation.

    Procédure

    1. Accédez à la Tout > Administration DLP > Règles de consolidation des incidents DLP.
    2. Cliquez sur Nouveau.
    3. Renseignez les champs du formulaire.
      Tableau 1. Formulaire Règle d’affectation DLP
      Champ Description
      Nom Nom de la règle de consolidation des incidents.
      Actif Option permettant d’indiquer si la règle de consolidation des incidents est active.
      Ordre d'exécution

      Priorité de la règle de consolidation des incidents. Ce champ indique l’ordre dans lequel les règles de consolidation d’incidents sont exécutées lorsque deux règles ou plus partagent les conditions de déclenchement.

      La règle de consolidation des incidents associée au numéro le plus bas a la priorité la plus élevée. Pour définir l’ordre d’opération, saisissez une valeur. Par exemple, 100, 200, 300, etc.

      La valeur par défaut est 100.
      Description Description unique de la règle de consolidation des incidents.
      Condition Conditions dans le générateur de conditions. Ces conditions sont basées sur la table d’incidents DLP. Pour créer une condition pour la règle de consolidation des incidents, sélectionnez l’un des champs d’incident.

      Utilisez les listes et les champs du générateur de conditions pour définir les filtres de la première ligne.

      Pour ajouter d’autres conditions, cliquez sur ET ou OU.
      • Si ET est sélectionné, toutes les conditions doivent être mises en correspondance.
      • Si OU est sélectionné, l’une ou l’autre des conditions peut être mise en correspondance.

      Pour définir une deuxième condition de filtre, cliquez sur Nouveau critère.

      Par exemple, vous pouvez définir les conditions de cette règle de consolidation des incidents en sélectionnant la condition Source d’intégration, contient, Symantec.

      Remarque :
      Les conditions du générateur de conditions sont sensibles à la casse.
      Durée de la consolidation Option permettant de définir la durée de la consolidation d’incidents.

      Les incidents de cette période avec les mêmes valeurs pour les champs sélectionnés seront regroupés sous le premier incident. Le premier incident correspondant à cette règle sera l’incident parent et les autres incidents seront des incidents enfants.
      Consolider les incidents par Sélectionnez le champ d’incident DLP pour consolider les incidents tout en ayant la même valeur dans le champ sélectionné pour différents incidents.

      Sélectionnez au moins un champ. Sélectionnez au moins un champ.

      L’exemple suivant montre une règle de consolidation des incidents intitulée Consolider les incidents pour l’intégration Symantec. Le générateur de conditions exige que la source d’intégration soit Symantec. L’option Durée de la condition est définie sur 1 heure et l’option Nom de politique est sélectionnée pour Consolider l’incident par.

      Au moment de l’ingestion d’un incident Symantec DLP, cette règle est exécutée et, lorsque plusieurs incidents ont le même nom de politique, l’incident est consolidé sous le premier incident ingéré correspondant à cette règle.

    4. Cliquez sur Envoyer.
      Les incidents consolidés en fonction de la règle de consolidation seront disponibles sous la liste Incidents enfants sur l’espace de travail de l’analyste DLP.