Rubriques Connexes

# Analyse de Bac à Sable TDR d'APT Blocker

TDR s'appuie sur le service APT Blocker pour analyser les nouveaux fichiers suspects identifiés par un Host Sensor. Le service d'abonnement WatchGuard APT Blocker emploie une analyse d'émulation du système complet effectuée par Lastline pour identifier les caractéristiques et le comportement des programmes malveillants APT présents dans des fichiers qui entrent dans votre réseau. Les Host Sensors TDR peuvent transférer un fichier suspect à des fins d'analyse, même si l'hôte n'est pas connecté à un réseau protégé par un Firebox. Le résultat de l'Analyse de Bac à Sable est l'Indice de Menace APT assigné au fichier. Le moteur d'analyse TDR ThreatSync utilise l'Indice de Menace APT pour déterminer s'il doit augmenter l'Indice de Menace assigné à un indicateur.

Le bac à sable est hébergé dans un centre de données en nuage de Lastline. Le bac à sable de votre compte TDR se trouve dans la région où les données de ce dernier sont stockées. Par exemple, si la région de votre compte TDR est en Europe, celle de votre bac à sable l'est aussi.

## Activer l'Analyse de Bac à Sable d'APT Blocker

L'Analyse de Bac à Sable d'APT Blocker permet aux Host Sensors de transmettre des fichiers à des fins d'analyse. Vous pouvez choisir d'activer ou de désactiver cette fonctionnalité. Pour configurer cette fonctionnalité, elle doit être activée dans votre compte TDR.

Pour activer l'Analyse de Bac à Sable d'APT Blocker :

1. Sélectionnez Paramètres > Général.
2. Pour activer la fonctionnalité d'Analyse de Bac à Sable d'APT Blocker, cochez la case Fonctionnalité Activée.
3. Cliquez sur Sauvegarder.

Pour plus d'informations, voir Paramètres Généraux de TDR.

## Action Envoi en Bac à Sable du Fichier

Dans TDR, l'action Envoi en Bac à Sable du Fichier permet aux Host Sensors de transmettre leurs fichiers suspects à des fins d'analyse. Vous pouvez configurer une stratégie du Bac à Sable de manière à autoriser cette action ou sélectionner manuellement cette action lorsqu'un Host Sensor vous invite à choisir l'action à effectuer sur un fichier.

Si vous installez des Host Sensors derrière un Firebox possédant une stratégie de proxy HTTPS dont l'inspection de contenu été la validation de certification sont activées, il est parfois nécessaire de configurer une stratégie de filtrage des paquets HTTPS pour autoriser les Host Sensors à transmettre des fichiers à des fins d'analyse. Pour plus d'informations, voir Configurer les Stratégies de Pare-feu pour le Trafic TDR.

Un Host Sensor transmet un fichier à TDR à des fins d'analyse dans les conditions suivantes :

- L'heuristique du processus ou du registre indique au Host Sensor que le fichier est suspect
- La valeur MD5 du fichier ne correspond pas à un fichier précédemment analysé
- Une stratégie du Bac à Sable TDR active ou une action TDR manuelle spécifie l'action Envoi en Bac à Sable du Fichier

L'action Envoi en Bac à Sable du Fichier peut durer jusqu'à 20 minutes. Lorsqu'une action Envoi en Bac à Sable du Fichier est exécutée, les évènements suivants ont lieu :

- Le Host Sensor transmet le fichier au nuage TDR
- TDR envoie le fichier à un bac à sable régional sécurisé à des fins d'analyse
- Lastline exécute le fichier et l'analyse pour détecter les menaces
- Lastline envoie le Niveau de Menace APT obtenu à TDR
- TDR met à jour l'Indice de Menace associé à l'indicateur

TDR corrige les Indices de Menace des indicateurs uniquement si un Host Sensor demande une Analyse de Bac à Sable. TDR ne corrige pas l'Indice de Menace des indicateurs si un Host Sensor n'a pas demandé d'Analyse de Bac à Sable, même si un autre Host Sensor l'a demandée pour le même fichier.

Le Host Sensor ne demande pas d'action Envoi en Bac à Sable du Fichier pour les évènements Host Ransomware Prevention (HRP). Si HRP est activé en mode Prévenir et que le Host Sensor détecte un rançongiciel, il procède automatiquement à la mise en quarantaine du fichier et à l'interruption du processus. Pour plus d'informations, voir À propos de Host Ransomware Prevention TDR.

## Niveaux de menace APT et Indices de Menace d'Indicateur

Lorsque le fichier suspect est détecté pour la première fois, TDR assigne un indice d'indicateur basé sur l'heuristique et demande l'action Envoi en Bac à Sable du Fichier. L'Analyse de Bac à Sable d'APT Blocker classe les activités APT en fonction de la gravité de la menace. Les Niveaux de Menace APT de TDR sont identiques aux Niveaux de Menace d'APT Blocker d'un Firebox.

Les Niveaux de Menace APT Elevé, Moyen et Faible indiquent la dangerosité du programme malveillant. Cette évaluation est déterminée sur la base d'un score attribué au fichier lorsqu'il est analysé par Lastline. Les Niveaux de Menace APT Elevé, Moyen et Faible augmentent l'Indice de Menace de l'indicateur.

Le Niveau de Menace APT Propre indique qu'aucun programme malveillant n'a été détecté. Le Niveau de Menace APT Propre ne modifie pas l'Indice de Menace TDR de l'indicateur.

Niveau de menace APT | Indice de Menace TDR
--- | ---
Élevé | 9 (Critique)
Moyen | 8 (Grave)
Faible | 7 (Elevé)
Nettoyer | Aucune modification

Vous pouvez associer des stratégies de Bac à sable et des stratégies de Traitement de manière à ce que les Host Sensors TDR analysent et répondent automatiquement aux menaces émergentes. Pour obtenir des informations concernant les stratégies recommandées, consultez Stratégies TDR Recommandées.

## Afficher l'Etat de l'Analyse de Bac à Sable

Pour consulter l'état de l'Analyse de Bac à Sable d'APT Blocker :

1. Sélectionnez ThreatSync > Indicateurs.
2. Cliquez sur pour supprimer les filtres.
3. Dans l'en-tête de colonne Action Demandée, sélectionnez l'action Envoi en Bac à Sable du Fichier. Cliquez sur Appliquer.
   La liste des Indicateurs est filtrée de manière à afficher uniquement les indicateurs pour lesquels le Host Sensor a demandé l'action Envoi en Bac à Sable du Fichier.

1. La colonne Résultat indique l'état de l'action Envoi en Bac à Sable du Fichier pour chaque Host Sensor.
2. Pour afficher des informations supplémentaires concernant un indicateur, cliquez sur Informations Supplémentaires dans la colonne Indicateur.

L'état de l'Analyse de Bac à Sable s'affiche dans la section Analyse de Bac à Sable d'APT Blocker des détails supplémentaires d'un indicateur.

- Lorsque l'Analyse de Bac à Sable n'est pas terminée, l'état de l'Analyse de Bac à Sable d'APT Blocker est Inconnu. L'état s'affiche si l'action Envoi en Bac à Sable du Fichier est en cours ou s'il n'existe aucune stratégie susceptible d'autoriser cette action.

- Une fois l'Analyse de Bac à Sable terminée, l'état de l'Analyse de Bac à Sable d'APT Blocker indique le Niveau de menace APT. Le cas échéant, le score de l'indicateur est également corrigé en fonction de l'analyse du fichier.

Pour de plus amples informations concernant la gestion des indicateurs dans TDR, consultez Gérer les Indicateurs TDR.

#### Voir aussi

Configurer les Stratégies TDR

À propos d'APT Blocker

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique