Rubriques Connexes

# Gérer les Indicateurs TDR

Dans Threat Detection and Response, les indicateurs sont des évènements provenant des Host Sensors et des Firebox de votre réseau et évalués par le moteur d'analyse La page Indicateurs permet aux Opérateurs d'afficher tous les indicateurs du système, créer rapidement des histogrammes et des camemberts, et exécuter des actions manuelles sur les hôtes.

## Afficher les Indicateurs

La page Tableau de Bord de TDR Web UI permet d'afficher un résumé des indicateurs et d'accéder rapidement à une vue filtrée de la page Indicateurs. Pour plus d'informations, voir Tableau de bord TDRVous pouvez également accéder directement à la page Indicateurs pour afficher tous les indicateurs.

1. Sélectionnez ThreatSync > Indicateurs.
   La page Indicateurs s'affiche avec des filtres définis de manière à afficher tous les indicateurs présentant un score supérieur ou égal à 6 durant les dernières 24 heures.

1. Sélectionnez une commande en haut de la page pour appliquer un filtre à la liste.
   - Pour modifier la plage temporelle, sélectionnez-la en haut de la page.
   - Pour appliquer un filtre à la liste des Indicateurs, sélectionnez les commandes dans les en-têtes de colonne.
   - Pour rechercher des indicateurs, saisissez le mot ou la valeur à rechercher dans la zone de texte Rechercher.
     Vous pouvez effectuer une recherche sur les noms de fichier, les valeurs MD5, les adresses IP, les noms DNS et les URL.
   - Pour supprimer tous les filtres, cliquez sur .

La liste des Indicateurs affiche ces informations d'état et les actions demandées pour chaque indicateur :

- Indice — L'indice de menace de cet indicateur.
  Pour plus d'informations, voir À propos des Indices de Menace TDR.
- Source — L'origine de l'indicateur : Host Sensor () ou Firebox ().
- Indicateur — Une description de l'indicateur. Pour afficher davantage de détails, cliquez sur Informations Supplémentaires. Vous pouvez filtrer cette colonne en fonction du type d'indicateur, comme indiqué à la section suivante.
- Vu pour la Dernière Fois — La dernière fois que l'indicateur a été reçu par le Host Sensor.
- Etat du Capteur — L'état du Host Sensor.
  Pour plus d'informations, voir Gérer les Hôtes et les Host Sensors TDR.
- Hôte/IP — Le nom d'hôte ou l'adresse IP du système de l'hôte.
- Action Demandée — L'action recommandée par Threat Detection and Response pour un indicateur d'un Host Sensor.
- Résultat — Indique, le cas échéant, la mesure de traitement entreprise. Aucune Stratégie indique qu'il n'existe aucune stratégie susceptible d'entreprendre une action face à cette menace.
- Utilisateur — Indique l'utilisateur ayant entrepris une action de traitement. Lorsque Threat Detection and Response entreprend une action, l'utilisateur est Système.
- Date de l'Action — La date et l'heure de l'action de traitement.
- A Etudier — Contient des liens cliquables permettant de rechercher le MD5 sur Google, VirusTotal et MetaScan.

### Types d'Indicateur

Vous pouvez appliquer un filtre sur la colonne Indicateur pour afficher les indicateurs par type d'indicateur.

Les types d'indicateur des indicateurs d'hôte () signalés par un Host Sensor sont les suivants :

- Fichier
- Processus
- Registre
- Host Ransomware Prevention

Les types d'indicateur des indicateurs réseau () signalés par un Firebox sont les suivants :

- Sites Bloqués par Botnet
- Sites Bloqués par FQDN
- Sites Bloqués par IP
- Correspondance de la Question DNS
- APT HTTP Bloqué
- APT HTTP Détecté
- Mauvaise Réputation HTTP
- Catégories de Requête HTTP
- Virus HTTP Détecté
- APT SMTP Bloqué
- APT SMTP Détecté
- Virus SMTP Détecté

Vous pouvez également afficher l'ensemble du message généré par le Firebox pour chaque évènement réseau à la page Evènements Réseau. Pour les évènements réseau, chaque indicateur correspond à un type d'évènement différent. Pour plus d'informations, voir Afficher les Évènements Réseau dans TDR.

### Indices d'Indicateur

L'analyse ThreatSync assigne à chaque indicateur un indice basé sur la gravité de la menace. 10 correspond à la menace la plus importante et 2 à la plus faible. ThreatSync assigne un indice de 1 lorsqu'un indicateur a été traité avec succès et un indice de 0 si un indicateur figure dans la Liste Blanche.

Pour de plus amples informations concernant les indices de menace des indicateurs, consultez À propos des Indices de Menace TDR.

Pour de plus amples informations concernant les actions de traitement et les indices de menace, consultez Actions de Traitement et Indices de Menace TDR

### Actions

Chaque indicateur est associé à un hôte. Les indicateurs peuvent être liés à des fichiers ou des processus d'un hôte, détectés par un Host Sensor () ou les évènements réseau de trafic entrant ou sortant d'un hôte, ou par un Firebox (). Pour les indicateurs signalés par un Firebox, les actions de traitement sont entreprises par le Firebox en fonction des paramètres de configuration du Firebox. Par exemple, APT Blocker, IPS ou Gateway AV peut bloquer l'accès à un fichier ou WebBlocker peut bloquer l'accès à un site Web. Pour les indicateurs signalés par un Host Sensor, l'action de traitement peut être automatiquement entreprise par le Host Sensor en fonction des stratégies TDR configurées, ou vous pouvez entreprendre l'action demandée pour traiter la menace à partir de la page des Indicateurs.

### Journal des Actions et Historique de Traitement

Pour chaque indicateur, le Journal des Actions affiche la liste des actions de l'indicateur concerné. Pour un indicateur traité, le Journal des Actions comprend également l'Historique de Traitement, qui indique l'indice d'origine de l'indicateur avant qu'il ne soit traité avec succès

Pour afficher le Journal des Actions d'un indicateur

1. Sur la page des Indicateurs, recherchez l'indicateur.
2. Dans la colonne Action Demandée de l'indicateur, cliquez sur .

1. Cliquez sur Fermer pour fermer le Journal des Actions.

### Détails de l'Indicateur

Pour afficher davantage d'informations concernant un indicateur :

1. Sélectionnez ThreatSync > Indicateurs.
2. Cliquez sur Informations Supplémentaires dans la colonne Indicateur.
   La boîte de dialogue Informations Supplémentaires s'affiche.

Les informations supplémentaires qui s'affichent diffèrent selon si l'origine de l'indicateur était un Host Sensor ou un Firebox.

Indicateurs d'un Host Sensor —

Pour un indicateur signalé par un Host Sensor, la boîte de dialogue Informations Supplémentaires indique des informations concernant le méthode de calcul de l'indice d'indicateur par l'analyse ThreatSync. Elle indique des informations concernant trois composantes de l'indice : Flux de Menaces, Malware Verification Service et Heuristique. L'état de chaque indicateur est affiché en surbrillance.

Options d'état du Flux de Menaces :

- Aucune Correspondance — Le fichier ou processus ne figure pas dans le Flux de Menaces
- Correspondance — Le fichier ou processus figure dans le Flux de Menaces

Options d'état de Malware Verification Service (MVS) :

- Bénin — MVS a identifié que le fichier ou processus ne constitue pas une menace connue
- Inconnu — MVS ne dispose pas de suffisamment d'informations concernant le fichier ou processus
- Potentiel — MVS a identifié que le fichier ou processus constitue une menace potentielle connue
- Malveillant — MVS a identifié que le fichier ou processus constitue une menace connue

Options d'état de l'Heuristique :

- Inférieur au Seuil — Le comportement observé de ce fichier ou processus n'est pas connu pour être suspect
- Suspect — Le comportement observé de ce fichier ou processus est connu pour être suspect.

Pour obtenir davantage d'informations concernant l'évènement suspect, cliquez sur Détails.

Si le hachage de cet indicateur a été détecté sur d'autres hôtes, le coin supérieur droit de la boîte de dialogue Informations Supplémentaires indique le nombre d'autres host sensors qui ont identifié cet indicateur. Pour afficher la liste des hôtes ayant identifié cet indicateur, cliquez sur Hachage détecté sur d'autres hôtes.

Si le Host Sensor demande une action Envoi en Bac à Sable du Fichier, la boîte de dialogue Informations Supplémentaires comprend également des informations à propos de l'Analyse de Bac à Sable d'APT Blocker.

Pour plus d'informations, voir Analyse de Bac à Sable TDR d'APT Blocker.

Indicateurs d'un Firebox —

Pour un indicateur signalé par un Firebox, la boîte de dialogue Informations Supplémentaires indique des informations concernant la menace signalée par le Firebox.

La page Evènements Réseau vous permet d'afficher des détails supplémentaires concernant les évènements réseau identifiés par un Firebox. Pour plus d'informations, voir Afficher les Évènements Réseau dans TDR.

### A Etudier

Pour étudier en détail un indicateur, vous pouvez rechercher sa valeur MD5 sur Google, VirusTotal ou MetaScan.

Pour rechercher la valeur MD5 d'un indicateur, cliquez sur l'un des liens dans la colonne A Etudier.

- Rechercher le MD5 sur Google
- Rechercher le MD5 sur VirusTotal
- Rechercher le MD5 sur MetaScan

### Créer et Exporter des Graphiques d'Indicateurs

Vous pouvez afficher les indicateurs sous forme d'histogramme, de camembert ou de séries chronologiques empilées. Vous pouvez exporter le graphique au format .PNG, .JPB, .GIF ou .PDF.

Pour créer un graphique :

1. Cliquez sur le type de graphique à générer :
   - — Histogramme
   - — Camembert
   - — Graphique à Barres Empilées

Le graphique sélectionné s'affiche

2. Pour modifier la plage temporelle du graphique, sélectionnez-la au dessus de ce dernier.
3. Dans la liste déroulante Regrouper Par, sélectionnez le mode de regroupement des données du graphique.
4. Dans la liste déroulante Afficher, sélectionnez le nombre d'indicateurs à afficher dans le graphique.
5. Pour exporter le graphique, cliquez sur et sélectionnez le format d'export du fichier : .PNG, .JPG, .GIF ou .PDF.
   Le fichier est téléchargé au format sélectionné.

## Exécuter une Action Manuelle

Vous pouvez sélectionner manuellement les actions visant à traiter les indicateurs. La colonne Action Demandée indique l'action recommandée pour traiter un indicateur signalé par un Host Sensor. Lorsque vous entreprenez l'action demandée, elle est classée comme traitement Manuel dans le widget Traitements de la page Tableau de Bord de TDR.

La liste déroulante Actions vous indique le nombre d'indicateurs sélectionnés auxquels chaque action peut s'appliquer. Vous pouvez choisir l'une des actions suivantes :

Traité en Externe

Sélectionnez cette action si vous avez traité la menace sur le système lui-même. Si vous avez par exemple manuellement supprimé le fichier ou terminé le processus spécifié par l'indicateur.

Placé en Liste Blanche

Sélectionnez cette action pour ajouter cet indicateur à la Liste Blanche en tant que fichier ou processus sûr. Lorsque vous sélectionnez cette action, une signature de remplacement en liste blanche est créée avec le MD5 de l'indicateur. Pour de plus amples informations concernant la Liste Blanche, consultez Configurer les Signatures de Remplacement TDR

Terminer le Processus

Sélectionnez cette action pour demander au Host Sensor de terminer le processus spécifié dans l'indicateur. Cette action s'applique aux indicateurs Correspondance d'URL, Processus et Host Ransomware Prevention. Une fois que le Host Sensor identifie le port de communication, il termine le processus chargé des communications avec le port réseau.

Mettre le Fichier en Quarantaine

Sélectionnez cette action pour demander au Host Sensor de mettre en quarantaine le fichier spécifié dans l'indicateur. Cette action utilise XOR pour chiffrer le contenu d'un fichier afin de le rendre non exécutable. Le fichier mis en quarantaine demeure sur l'hôte pendant le nombre de jours spécifié dans le paramètre Vieillissement des Fichiers Mis en Quarantaine. Pour plus d'informations, voir Configurer le Vieillissement des Fichiers Mis en Quarantaine.

Si le Host Sensor met un fichier en quarantaine et que vous décidez ensuite qu'il ne constitue pas de menace, vous pouvez accéder à la page Incidents pour le retirer de quarantaine. Pour plus d'informations, voir Retirer un Fichier de Quarantaine.

Supprimer la Valeur de Registre

Sélectionnez cette action pour demander au Host Sensor de supprimer la valeur de registre du fichier ou processus spécifié dans l'indicateur. Cette action supprime la valeur de registre faisant référence à un fichier malveillant.

Envoi en Bac à Sable du Fichier

Sélectionnez cette action pour demander au Host Sensor de transférer le fichier suspect au bac à sable à des fins d'analyse. Pour plus d'informations, voir Analyse de Bac à Sable TDR d'APT Blocker.

Les actions Terminaison de Processus, Mise en Quarantaine de Fichier, Supprimer la Valeur de Registre et Envoi en Bac à Sable du Fichier correspondent aux actions que vous pouvez configurer dans une stratégie. Lorsque vous sélectionnez ces actions sur les pages Indicateurs ou Incidents, elles peuvent être classées comme actions manuelles.

Pour les indicateurs ayant entrepris avec succès une action Mise en Quarantaine de Fichier, vous pouvez également sélectionner une action pour retirer le fichier de quarantaine. Pour plus d'informations, voir Retirer un Fichier de Quarantaine.

Pour exécuter une action manuelle :

1. Cochez la case pour un ou plusieurs indicateurs.
2. Dans la liste déroulante Actions, sélectionnez l'action à entreprendre.
   Une boîte de dialogue de confirmation comprenant la liste des indicateurs auxquels l'action sélectionnée s'applique.

1. Cliquez sur Exécuter l'Action.

Une fois qu'un Host Sensor exécute une action de traitement avec succès, l'indice de l'indicateur diminue à 1 et la colonne Résultat de la page des Indicateurs indique que l'action a réussi.

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique