Configurer des règles de consolidation d’incidents pour consolider vos incidents DLP

  • Rversion finale: Washingtondc
  • Mis à jour 1 févr. 2024
  • 2 minutes de lecture

    • Configurez la règle de consolidation des incidents pour regrouper plusieurs incidents de nature similaire sous un seul incident parent.

    Avant de commencer

    Rôle requis :
    • sn_dlir.admin : créer, modifier et supprimer
    • sn_dlir.analyst et sn_dlir.analyst_read : afficher (lecture seule)

    Pourquoi et quand exécuter cette tâche

    L’administrateur DLP définit ces règles de consolidation d’incidents pour consolider automatiquement les incidents DLP de même nature sous un seul incident parent. La règle de consolidation des incidents DLP vous permet de consolider les incidents DLP en fonction de la configuration fournie pour la durée de consolidation et l’identification de la consolidation.

    Procédure

    1. Accédez à la Tous > DLP Administration > Règles de consolidation des incidents DLP.
    2. Cliquez sur Nouveau.
    3. Renseignez les champs du formulaire.
      Tableau 1. Formulaire Règle d’affectation DLP
      Champ Description
      Nom Nom de la règle de consolidation d’incident.
      Actif Option permettant d’indiquer si la règle de consolidation des incidents est active.
      Ordre d’exécution

      Priorité de la règle de consolidation des incidents. Ce champ indique l’ordre dans lequel les règles de consolidation d’incidents sont exécutées lorsque deux règles ou plus partagent les conditions de déclenchement.

      La règle de consolidation d’incidents ayant le numéro le plus bas a la priorité la plus élevée. Pour définir l’ordre d’opération, saisissez une valeur. Par exemple, 100, 200, 300, etc.

      La valeur par défaut est 100.
      Description Description unique de la règle de consolidation d’incidents.
      Condition Conditions dans le créateur de condition. Ces conditions sont basées sur la table d’incidents DLP. Pour créer une condition pour la règle de consolidation des incidents, sélectionnez l’un des champs d’incident.

      Utilisez les listes et les champs du créateur de conditions pour définir les filtres de la première ligne.

      Pour ajouter d’autres conditions, cliquez sur ET ou OU.
      • Si ET est sélectionné, toutes les conditions doivent être remplies.
      • Si OU est sélectionné, l’une ou l’autre condition peut être mise en correspondance.

      Pour définir une deuxième condition de filtre, cliquez sur Nouveau critère.

      Par exemple, vous pouvez définir les conditions de cette règle de consolidation d’incidents en sélectionnant la condition Source d’intégration, contient, Symantec.

      Remarque :
      Les conditions du créateur de condition sont sensibles à la casse.
      Durée de consolidation Option permettant de définir la durée de la consolidation des incidents.

      Les incidents de cette période ayant les mêmes valeurs pour les champs sélectionnés seront regroupés sous le premier incident. Le premier incident correspondant à cette règle sera l’incident parent et les autres incidents seront des incidents enfants.
      Consolider les incidents par Sélectionnez le champ d’incident DLP pour consolider les incidents ayant la même valeur dans le champ sélectionné pour différents incidents.

      Sélectionnez au moins un champ. Sélectionnez au moins un champ.

      L’exemple suivant montre une règle de consolidation d’incidents portant le nom Consolider les incidents pour l’intégration Symantec. Le créateur de condition nécessite que la source d’intégration soit Symantec. L’option Durée de la condition est définie sur 1 heure et l’option Nom de la politique est sélectionnée pour Consolider l’incident par.

      Au moment de l’ingestion de l’incident Symantec DLP, cette règle est exécutée et lorsque plusieurs incidents ont le même nom de politique, l’incident est consolidé sous le premier incident ingéré correspondant à cette règle.

    4. Cliquez sur Envoyer.
      Les incidents consolidés en fonction de la règle de consolidation seront disponibles sous la liste Incidents enfants de DLP Analyst Workspace.