Comment configurer la détection des menaces Box Shield

Box Shield vous permet de configurer et d'appliquer une variété de règles de détection des menaces qui vous avertissent des écarts dans les activités de travail habituelles d'un utilisateur.

Avec la détection des menaces, vous pouvez :

• détecter les titulaires de compte malveillants qui utilisent leur accès pour voler des données ou accéder à du contenu.
• détecter les comptes compromis en fonction du contexte, tels que les emplacements, les activités et les modèles d'accès.
• détectez les logiciels malveillants potentiels dans le téléchargement de contenu sur le compte Box de votre entreprise et appliquez des restrictions de téléchargement.
• prendre des décisions de sécurité importantes en fonction de règles et de comportements.

Contenu malveillant

Ce type de règle détecte les logiciels malveillants potentiels dans le téléchargement de contenu sur le compte Box de votre entreprise. Les règles de contenu malveillant offrent plusieurs types de détection de logiciels malveillants :

• Analyse de réputation des menaces en comparant vos fichiers à des fichiers connus pour contenir des logiciels malveillants
• Analyse approfondie de certains types de fichiers en évaluant le contenu de ces fichiers

Pour tester cela, j'ai téléchargé les fichiers de test du logiciel malveillant EICAR , spécialement conçus pour déclencher votre logiciel anti-virus, et voici le résultat :

Voici les détails d'un des fichiers :

Lorsque Shield détecte un logiciel malveillant potentiel, par défaut, Box affiche une bannière d'avertissement à tous les utilisateurs accédant au contenu malveillant à partir de l'application Web Box et applique les restrictions de téléchargement que vous avez sélectionnées lorsque vous avez configuré cette règle.

Pour plus d'informations sur l'analyse approfondie des logiciels malveillants, consultez cet article d'assistance de la boîte .

Emplacement suspect

Ce type de règle détecte une personne qui accède apparemment au contenu à partir d'un emplacement géographique inhabituel ou exclu ou d'une adresse IP hôte.

En testant cette règle, je me suis souvenu de tous les princes nigérians qui avaient besoin de notre aide pour accéder à leur fortune au début des années 2000. Étant donné que mon VPN ne se connecte pas au Nigeria, j'ai dû tester cela en utilisant l'Afrique du Sud, peut-être qu'ils ont migré…

A voici les détails de l'alerte :

Séance suspecte

Ce type de règle détecte une personne qui accède apparemment au contenu d'une session caractérisée par des chaînes d'agent utilisateur inhabituelles, des identifiants inhabituels, des types d'applications inhabituels, de nouvelles adresses IP et un changement incroyablement rapide de l'emplacement de connexion de la personne.

Celui-ci est beaucoup plus difficile à tester car moins déterministe. En tant qu'utilisateur, je peux utiliser légitimement un VPN et sembler avoir voyagé, ou utiliser un autre navigateur sur mon autre ordinateur sur un réseau différent, ou même accéder au même fichier via mon appareil mobile.

Certains clients signalent très peu ou même aucune détection, tandis que d'autres signalent de nombreux faux positifs. Néanmoins, vous pouvez toujours signaler les faux positifs dans l'application, ce qui aide à affiner l'apprentissage automatique. Gardez à l'esprit que votre kilométrage peut varier.

J'ai essayé de déclencher cette règle sans succès (je ne suis pas vraiment un hacker), et je n'ai pas pu passer du tout, étant redirigé vers la page de connexion de l'application box. Cela signifie que le mécanisme de sécurité de l'application Box ne me laisse pas passer avant que la règle n'ait une chance d'être déclenchée.

Téléchargements anormaux

Ce type de règle détecte les modèles de téléchargement inhabituels. ML établira avec quel contenu un utilisateur travaille habituellement, puis AI pourra noter si un téléchargement est considéré comme habituel ou non.

Par exemple, imaginez un représentant du service client qui est allé déjeuner et a oublié de verrouiller l'ordinateur portable.

Si quelqu'un attrape l'ordinateur et décide d'aller fouiner et de télécharger du contenu financier, ce que l'utilisateur ne fait jamais, vous recevrez probablement un avertissement d'un téléchargement inhabituel.

Je ne pouvais pas non plus déclencher cela sur mon compte de développeur, en raison du manque d'utilisateurs multiples, de contenu diversifié et de modèles de téléchargement.

Mise en place de règles

Vous pouvez commencer à créer des règles en accédant aux règles du bouclier sur votre console d'administration.

Les règles suivent le même format générique mais peuvent avoir des options spécifiques pour des types spécifiques.

Commencez par nommer et décrire la règle :

Ensuite, vous définissez les critères de sélection, en déterminant à quoi s'appliquent ces règles.

Pour la session suspecte et les téléchargements anormaux (comme dans l'exemple ci-dessus), il n'y a pas d'options.

La règle de type de contenu malveillant a des options supplémentaires pour permettre l'analyse approfondie des fichiers Microsoft Office.

Sur l'emplacement suspect, vous pouvez déterminer les emplacements et le type de contenu à surveiller.

Vous pouvez également créer des exceptions pour un contexte bien connu, par exemple en excluant une adresse IP ou une application spécifique.

Enfin, vous sélectionnez les actions à entreprendre, y compris si vous souhaitez que ces événements soient publiés sur le flux d'événements de la boîte et si vous souhaitez envoyer une notification à un utilisateur spécifique par e-mail.

La règle de type de contenu malveillant comporte des options supplémentaires dans lesquelles vous définissez si vous souhaitez restreindre le téléchargement.

Pour plus d'informations sur la configuration des règles, consultez cet article d'assistance Box .

Retour de détection

Vous pouvez envoyer des commentaires sur la détection des règles pour améliorer ses performances. Par exemple, le retour d'informations sur l'emplacement suspect ressemble à ceci :

Et voici un exemple de retour de détection de contenu malveillant, où vous pouvez également marquer le fichier comme sûr :

Création de liste

Il est souvent plus facile de créer et de maintenir une liste plutôt que de gérer individuellement les détails des règles.

Par exemple, nous pourrions créer une liste de pays sanctionnés par les États-Unis , puis l'utiliser dans la règle des emplacements suspects.

Remarque : Cette liste provient d'un article du wiki et est destinée à titre d'exemple.

Vous pouvez utiliser les listes Shield pour configurer les emplacements, les adresses IP, les domaines ou les e-mails à inclure.

Pour plus d'informations sur les listes, consultez cet article Utilisation des listes de protection .

Il a trouvé quelque chose, et maintenant ?

Une fois que vous commencez à recevoir des alertes, la première chose à faire est de lancer un processus de triage dans lequel vous décidez quelles alertes de menace sont importantes et indiquez les attaques, quelles alertes ne sont pas du tout des attaques, y compris les faux positifs, et tout le reste.

Gardez à l'esprit que la plupart de ces règles sont probabilistes et non déterministes.

Consultez notre article d'assistance Triage et correction des alertes de détection des menaces du bouclier pour plus de détails.

Aimez ce que vous voyez? Lancez-vous avec la détection des menaces Box Shield.

Pour plus d'informations, consultez notre note d'assistance sur l'utilisation de la détection des menaces ainsi que la FAQ de Shield .

Consultez les autres articles sur cette série Box Shield et Classification :

• Murs éthiques Box Shield
• Box Shield Threat Detection (cet article)
• Classifications des boîtes
• Box Shield Smart Access
• Service de classification utilisant FastAPI et Python (restez à l'écoute)