Come configurare Box Shield Threat Detection

Box Shield ti consente di configurare e applicare una varietà di regole di rilevamento delle minacce che ti avvisano delle deviazioni nelle normali attività lavorative dell'utente.

Con il rilevamento delle minacce puoi:

• rilevare titolari di account malintenzionati che utilizzano il loro accesso per rubare dati o accedere a contenuti.
• rilevare gli account compromessi in base al contesto come posizioni, attività e modelli di accesso.
• rilevare potenziali malware nel caricamento di contenuti nell'account Box della tua azienda e imporre restrizioni al download.
• prendere decisioni importanti sulla sicurezza in base a regole e comportamenti.

Contenuti dannosi

Questo tipo di regola rileva potenziali malware nel caricamento di contenuti nell'account Box della tua azienda. Le regole per i contenuti dannosi offrono diversi tipi di rilevamento del malware:

• Scansione della reputazione delle minacce confrontando i tuoi file con file noti per contenere malware
• Scansione approfondita di determinati tipi di file valutando il contenuto di tali file

Per verificarlo ho caricato i file di test del malware EICAR , appositamente progettati per attivare il tuo software antivirus, ed ecco il risultato:

Ecco i dettagli di uno dei file:

Quando Shield rileva un potenziale malware, per impostazione predefinita, Box mostra un banner di avviso a tutti gli utenti che accedono a contenuti dannosi dall'app Box Web e applica le restrizioni di download selezionate durante la configurazione di questa regola.

Per ulteriori informazioni sulla scansione approfondita del malware, vedere questo articolo di supporto della confezione .

Posizione sospetta

Questo tipo di regola rileva qualcuno che apparentemente accede al contenuto da una posizione geografica insolita o esclusa o da un indirizzo IP dell'host.

Nel testare questa regola, mi sono ricordato di tutti i principi nigeriani che avevano bisogno del nostro aiuto per accedere alle loro fortune nei primi anni 2000. Dato che la mia VPN non si connette alla Nigeria, ho dovuto testarlo usando il Sudafrica, forse sono migrati...

A ecco i dettagli dell'avviso:

Sessione sospetta

Questo tipo di regola rileva qualcuno che apparentemente accede al contenuto in una sessione caratterizzata da stringhe user-agent insolite, ID insoliti, tipi di applicazioni non comuni, nuovi indirizzi IP e un cambiamento improbabilmente rapido nella posizione di accesso della persona.

Questo è molto più difficile da testare perché è meno deterministico. Come utente posso utilizzare legittimamente una VPN e sembrare di aver viaggiato, o utilizzare un altro browser nell'altro mio computer su una rete diversa, o persino accedere allo stesso file tramite il mio dispositivo mobile.

Alcuni clienti segnalano pochissimi o addirittura nessun rilevamento, mentre altri segnalano molti falsi positivi. Tuttavia, puoi sempre segnalare i falsi positivi all'interno dell'app, contribuendo a mettere a punto l'apprendimento automatico. Tieni presente che il tuo chilometraggio può variare.

Ho provato ad attivare questa regola senza successo (non sono un granché come hacker) e non sono riuscito a farcela, venendo reindirizzato alla pagina di accesso dell'app box. Ciò significa che il meccanismo di sicurezza dell'app box non mi lascia passare prima che la regola abbia la possibilità di essere attivata.

Download anomali

Questo tipo di regola rileva schemi di download insoliti. ML stabilirà con quali contenuti lavora solitamente un utente e quindi l'intelligenza artificiale può assegnare un punteggio se un download è considerato normale o meno.

Ad esempio, immagina un rappresentante del servizio clienti, che è andato a pranzo e si è dimenticato di bloccare il laptop.

Se qualcuno afferra il computer e decide di andare a curiosare e scaricare alcuni contenuti finanziari, cosa che l'utente non fa mai, probabilmente riceverai un avviso di un download insolito.

Non sono riuscito nemmeno ad attivarlo sul mio account sviluppatore, a causa della mancanza di più utenti, di contenuti diversi e di schemi di download.

Stabilire regole

Puoi iniziare a creare regole accedendo alle regole dello scudo sulla tua console di amministrazione.

Le regole seguono lo stesso formato generico ma possono avere opzioni specifiche per tipi specifici.

Inizia nominando e descrivendo la regola:

Successivamente si definiscono i criteri di selezione, determinando a cosa si applicano queste regole.

Per la sessione sospetta ei download anomali (come nell'esempio sopra) non ci sono opzioni.

La regola del tipo di contenuto dannoso ha opzioni aggiuntive per consentire la scansione approfondita dei file di Microsoft Office.

Nella posizione sospetta è possibile determinare quali posizioni e tipo di contenuto monitorare.

Puoi anche creare eccezioni per alcuni contesti noti, ad esempio escludendo un indirizzo IP o un'app specifica.

Infine selezioni quali azioni intraprendere, incluso se desideri che questi eventi vengano pubblicati sul flusso di eventi della casella e se desideri inviare una notifica a un utente specifico tramite e-mail.

La regola del tipo di contenuto dannoso ha opzioni aggiuntive in cui si definisce se si desidera limitare il download.

Per ulteriori informazioni sull'impostazione delle regole, consulta questo articolo di supporto box .

Feedback di rilevamento

È possibile inviare feedback sul rilevamento delle regole per migliorarne le prestazioni. Ad esempio, il feedback sulla posizione sospetta ha questo aspetto:

Ed ecco un esempio del feedback di rilevamento del contenuto dannoso, in cui puoi anche contrassegnare il file come sicuro:

Creazione elenco

Spesso è più semplice creare e mantenere un elenco piuttosto che gestire individualmente i dettagli delle regole.

Ad esempio, potremmo creare un elenco di paesi sanzionati dagli Stati Uniti e quindi utilizzarlo nella regola delle località sospette.

Nota: questo elenco proviene da un articolo wiki ed è inteso come esempio.

Puoi utilizzare gli elenchi Shield per configurare le posizioni, gli indirizzi IP, i domini o le e-mail da includere.

Per ulteriori informazioni sugli elenchi, vedere questo articolo Utilizzo degli elenchi di schermatura .

Ha trovato qualcosa, e adesso?

Una volta che inizi a ricevere avvisi, la prima cosa da fare è avviare un processo di triage in cui decidi quali avvisi di minaccia sono importanti e indicano gli attacchi, quali avvisi non sono affatto attacchi, inclusi i falsi positivi e tutto il resto.

Tieni presente che la maggior parte di queste regole sono probabilistiche e non deterministiche.

Per maggiori dettagli, dai un'occhiata al nostro articolo di supporto Triage e correzione degli avvisi di rilevamento delle minacce di Shield .

Ti piace quello che vedi? Vai e inizia con il rilevamento delle minacce Box Shield.

Per ulteriori informazioni, dai un'occhiata alla nostra nota di supporto sull'utilizzo del rilevamento delle minacce e anche alle domande frequenti su Shield .

Dai un'occhiata agli altri articoli su questa serie Box Shield and Classification:

• Box Shield Ethical Walls
• Rilevamento delle minacce Box Shield (questo articolo)
• Classificazioni a scatola
• Box Shield Smart Access
• Servizio di classificazione tramite FastAPI e Python (rimanete sintonizzati)