Stratégies et actions

Remarque

Attention : Citrix Content Collaboration et ShareFile ont atteint leur fin de vie et ne sont plus disponibles pour les utilisateurs.

Vous pouvez créer des stratégies sur Citrix Analytics pour vous aider à effectuer des actions sur les comptes d’utilisateurs en cas d’activités inhabituelles ou suspectes. Les stratégies vous permettent d’automatiser le processus d’application d’actions telles que la désactivation d’un utilisateur et l’ajout d’utilisateurs à une liste de suivi. Lorsque vous activez les stratégies, une action correspondante est appliquée immédiatement après qu’un événement anormal se produit et que la condition de stratégie est remplie. Vous pouvez également appliquer manuellement des actions sur les comptes d’utilisateurs présentant des activités anormales.

Quelles sont les stratégies ?

Une stratégie est un ensemble de conditions qui doivent être remplies pour appliquer une action. Une stratégie contient une ou plusieurs conditions et une seule action. Vous pouvez créer une stratégie comportant plusieurs conditions et une action qui peut être appliquée au compte d’un utilisateur.

Le score de risque est une condition globale. Des conditions globales peuvent être appliquées à un utilisateur spécifique pour une source de données spécifique. Vous pouvez surveiller les comptes d’utilisateurs qui affichent des activités inhabituelles. D’autres conditions sont spécifiques aux sources de données et à leurs indicateurs de risque. Les conditions contiennent des combinaisons de scores de risque, d’indicateurs de risque par défaut et d’indicateurs de risque personnalisés. Vous pouvez ajouter jusqu’à 4 conditions lors de la création d’une stratégie.

Par exemple, si votre organisation utilise des données sensibles, vous pouvez limiter la quantité de données partagées ou accessibles par les utilisateurs en interne. Mais si vous avez une grande organisation, il ne serait pas possible pour un seul administrateur de gérer et de surveiller de nombreux utilisateurs. Vous pouvez créer une stratégie dans laquelle toute personne qui partage des données sensibles de manière excessive peut être ajoutée à une liste de suivi ou avoir son compte désactivé immédiatement.

Stratégies par défaut

Les stratégies par défaut sont prédéfinies et activées sur le tableau de bord Stratégies. Ils sont créés en fonction de conditions prédéfinies et une action correspondante est affectée à chaque stratégie par défaut. Vous pouvez utiliser une stratégie par défaut ou la modifier en fonction de vos besoins.

Citrix Analytics prend en charge les stratégies par défaut suivantes :

• Exploitation réussie des identifiants
• Exfiltration potentielle des données
• Accès inhabituel à partir d’une adresse IP suspecte
• Premier accès à partir de l’appareil
• Virtual Apps and Desktops et Citrix DaaS : impossibilité de se déplacer en cas d’accès
• Gateway - Impossible de se déplacer lors de l’authentification

Pour plus d’informations sur les conditions prédéfinies et les actions concernant les stratégies par défaut précédentes, consultez la section Évaluation continue des risques.

Pour plus d’informations sur la stratégie prédéfinie pour le cas d’utilisation du géorepérage, consultez la section Stratégie préconfigurée.

Comment ajouter ou supprimer des conditions ?

Pour ajouter d’autres conditions, sélectionnez Ajouter une condition dans la section SI LA CONDITION SUIVANTE EST REMPLIE de la page Créer une stratégie . Pour supprimer une condition, sélectionnez l’icône - qui s’affiche en regard de la condition.

Indicateurs de risque par défaut et personnalisés

Le menu des conditions est séparé en fonction des onglets Indicateurs de risque par défaut et Indicateurs de risque personnalisés de la page Créer une stratégie . À l’aide de ces onglets, vous pouvez facilement identifier le type d’indicateur de risque que vous souhaitez choisir lors de la sélection d’une condition pour la configuration de la stratégie.

Quelles sont les mesures à prendre ?

Les actions sont des réponses à des événements suspects qui empêchent de futurs événements anormaux de se produire. Vous pouvez appliquer des actions sur les comptes d’utilisateurs qui affichent un comportement inhabituel ou suspect. Vous pouvez configurer des stratégies pour appliquer automatiquement une action sur le compte de l’utilisateur ou appliquer manuellement une action spécifique à partir de la chronologie des risques de l’utilisateur.

Vous pouvez afficher les actions globales ou les actions pour chaque source de données Citrix. Vous pouvez également désactiver les actions précédemment appliquées pour un utilisateur à tout moment.

Remarque

Quelle que soit la source de données qui déclenche un indicateur de risque, des mesures relatives à d’autres sources de données peuvent être appliquées.

Le tableau suivant décrit les actions que vous pouvez effectuer.

Remarques

• Vous pouvez appliquer n’importe quelle action à un indicateur de risque, quelles que soient les sources de données.

• Les administrateurs peuvent désormais exécuter des actions d’enregistrement de session dynamique sur les sites Citrix DaaS et enregistrer de manière dynamique les sessions virtuelles des utilisateurs.
• Les actions Demander une réponse à l’utilisateur finalet Notifier l’utilisateur final ne peuvent pas être appliquées à des utilisateurs anonymes car ils n’ont pas d’adresse e-mail dans Active Directory. Par conséquent, assurez-vous que les adresses e-mail de vos utilisateurs sont disponibles dans Active Directory avec une connexion établie entre votre Active Directory et Citrix Cloud.

Partage en lecture seule

Avant d’appliquer l’action Modifier les liens au partage en lecture seule sur le compte d’un utilisateur, assurez-vous que les conditions suivantes sont remplies :

Conditions préalables

• L’administrateur doit disposer d’un compte Enterprise dans Content Collaboration pour pouvoir utiliser l’action Modifier les liens vers le partage en lecture seule .

• Le partage en lecture seule est une fonctionnalité disponible sur demande dans les comptes d’entreprise de Citrix Content Collaboration. Avant d’appliquer l’action Modifier les liens au partage en lecture seule dans Citrix Analytics, assurez-vous que la fonctionnalité de partage en lecture seule est déjà activée dans les comptes Content Collaboration Enterprise de l’utilisateur et de l’administrateur. Pour plus d’informations, consultez l’article de support Citrix CTX208601.

Types de fichiers pris en charge

L’action de partage en lecture seule s’applique uniquement aux types de fichiers suivants :

• Fichiers Microsoft Office

• PDF

• Fichiers image (nécessite SZC v3.4.1 ou une version ultérieure) :

  • BMP

  • GIF

  • JPG

  • JPEG

  • PNG

  • TIF

  • TIFF

• Fichiers audio et vidéo stockés sur une zone de stockage gérée par Citrix.

Configurer les stratégies et les actions

Par exemple, en suivant les étapes ci-dessous, vous pouvez créer une stratégie de partage de fichiers excessif. À l’aide de cette stratégie, lorsqu’un utilisateur de votre organisation partage une quantité exceptionnellement importante de données, les liens de partage expirent automatiquement. Vous êtes averti lorsqu’un utilisateur partage des données qui dépassent le comportement normal de cet utilisateur. En appliquant la stratégie de partage de fichiers excessif et en prenant des mesures immédiates, vous pouvez empêcher l’exfiltration de données depuis le compte de n’importe quel utilisateur.

Pour créer une stratégie, procédez comme suit :

1. Après vous être connecté à Citrix Analytics, accédez à Sécurité > Stratégies > Créer une stratégie.

   

2. Dans la zone de liste SI LA CONDITION SUIVANTE EST REMPLIE, sélectionnez les conditions de l’indicateur de risque par défaut ou personnalisé auxquelles vous souhaitez appliquer une action.

   

3. Dans la liste PUIS PROCÉDER COMME SUIT, sélectionnez une action.

   

4. Dans la zone de texte Nom de la stratégie, indiquez un nom et activez la stratégie à l’aide du bouton bascule fourni.

   

5. Cliquez sur Créer une stratégie.

Après avoir créé une stratégie, celle-ci apparaît dans le tableau de bord Stratégies .

Le tableau de bord Stratégies affiche les stratégies associées aux sources de données qui ont été découvertes et connectées à Citrix Analytics. Le tableau de bord n’affiche pas les stratégies pour lesquelles des conditions sont définies pour les sources de données non découvertes.

Toutefois, la désactivation du traitement des données pour une source de données déjà connectée n’affecte pas les stratégies existantes dans le tableau de bord Stratégies .

Demander une réponse de l’utilisateur final

Demander une réponse de l’utilisateur final est une action globale qui vous permet d’alerter un utilisateur immédiatement après avoir détecté une activité inhabituelle dans son compte Citrix. Lorsque vous appliquez l’action, une notification par e-mail est envoyée à l’utilisateur. L’utilisateur doit répondre par e-mail à propos de la légitimité de son activité.

Déterminez l’action que vous souhaitez appliquer à vos utilisateurs :

En fonction de la réponse de l’utilisateur, vous pouvez déterminer le prochain plan d’action que vous souhaitez entreprendre. Vous pouvez appliquer une action globale telle que Ajouter à la liste de suivi, Notifier les administrateurs. Vous pouvez également appliquer une action spécifique à la source de données, telle que Citrix Gateway- Lock user.

Si vous recevez une réponse indiquant que l’utilisateur a effectué l’activité signalée, l’activité n’est pas suspecte et vous n’avez pas besoin d’agir sur le compte de l’utilisateur. La limite quotidienne pour envoyer des alertes de sécurité à l’utilisateur est de trois e-mails.

Considérez un utilisateur Citrix Content Collaboration dont le score de risque a dépassé 80 en une durée de 80 minutes. Vous pouvez avertir l’utilisateur de ce comportement inhabituel en appliquant l’action Demander une réponse de l’utilisateur final . Une alerte de sécurité est envoyée à l’utilisateur à partir de l’ID de messagerie security-analytics@cloud.com.

L’e-mail contient les informations suivantes :

• Activité de l’utilisateur qui a déclenché l’indicateur de risque

• Appareil de l’utilisateur

• Date et heure de l’activité de l’utilisateur

• Emplacements (villes et pays) à partir desquels les produits ou services sont accessibles avec succès. Si la ville ou le pays n’est pas disponible, la valeur correspondante est affichée comme « Inconnu »

L’action Demander une réponse de l’utilisateur final est ajoutée à la chronologie des risques de l’utilisateur.

Si l’utilisateur ne reconnaît pas l’activité détectée dans son compte Citrix, Citrix Analytics applique l’action que vous avez définie.

Si l’utilisateur ne parvient pas à envoyer sa réponse dans l’heure suivant la réception de l’e-mail, Citrix Analytics l’ajoute à la liste de surveillance. Vous pouvez surveiller l’utilisateur et son compte pour détecter toute activité suspecte et prendre les mesures nécessaires.

Comment définir le temps de réponse de l’utilisateur ?

Vous pouvez configurer le temps de réponse de l’utilisateur à votre e-mail d’alerte de sécurité. Si l’utilisateur ne répond pas à l’activité signalée dans le délai spécifié, il est ajouté à la liste de suivi à des fins de surveillance.

Suivez les étapes pour configurer le temps de réponse de l’utilisateur :

1. Cliquez sur Paramètres > Paramètres d’alerte > Paramètres de messagerie de l’utilisateur final.

   

2. Sur la page Paramètres de messagerie de l’utilisateur final, saisissez le nombre de minutes dans la zone de texte.

   

3. Cliquez sur Enregistrer.

Vous pouvez également ajouter une bannière, un texte d’en-tête et un texte de pied de page dans l’e-mail d’alerte de sécurité pour le rendre légitime, attirer l’attention des utilisateurs et augmenter le temps de réponse. Pour plus d’informations, consultez la section Paramètres de messagerie de l’utilisateur final.

Avertir l’utilisateur final

Notifier l’utilisateur final est une action globale qui vous permet d’envoyer des notifications par e-mail aux utilisateurs finaux lorsqu’un comportement inhabituel ou suspect est détecté sur leurs comptes Citrix. La ligne d’objet de l’e-mail et le corps du message sont personnalisables. Lorsque l’action est appliquée après le déclenchement d’une stratégie, une notification par e-mail est envoyée à l’utilisateur. Aucune réponse n’est demandée à l’utilisateur final et aucune action perturbatrice n’est effectuée sur le compte de l’utilisateur.

Cette action peut aider à répondre à divers cas d’utilisation en matière de conformité en fonction d’un ou de plusieurs déclencheurs d’indicateurs de risque intégrés ou personnalisés. Avec la ligne d’objet et le corps du message personnalisables, il est également suffisamment flexible pour répondre à de nombreux cas d’utilisation génériques de notifications aux utilisateurs finaux, qui ne nécessitent pas de réponse ou d’action perturbatrice sur le compte de l’utilisateur.

L’e-mail contient les informations suivantes :

• Nom de la stratégie associé à l’action.

• Appareil de l’utilisateur (si disponible)

• Date et heure de l’activité de l’utilisateur

La notification par e-mail de l’utilisateur final est envoyée à partir de l’identifiant e-mail security-analytics@cloud.com.

Remarque

La limite quotidienne pour toutes les stratégies est de trois e-mails par utilisateur. Une fois ce seuil franchi, l’action n’est pas appliquée et aucune notification par e-mail n’est envoyée à l’utilisateur final. L’action est visible sur la chronologie de l’utilisateur avec le message Limite quotidienne d’e-mails atteinte pour l’utilisateur.

L’action est ajoutée à la chronologie des risques de l’utilisateur. Toutefois, il ne s’agit pas d’une action manuelle et ne peut pas être appliquée à un utilisateur depuis la vue chronologique.

Personnalisation du contenu des e-mails des utilisateurs finaux

Auparavant, les administrateurs de Citrix Analytics contactaient manuellement les utilisateurs finaux pour leur fournir des instructions de correction concernant la détection d’une activité suspecte, processus fastidieux pour clôturer un incident.

La fonctionnalité de personnalisation du contenu des e-mails des utilisateurs finaux est introduite pour demander une réponse à l’utilisateur final, avertir les utilisateurs finaux et envoyer des e-mails d’information. L’e-mail de réponse de l’utilisateur final demande la validation/la réponse de l’utilisateur, mais un e-mail d’information indique le type d’activité suspecte et le type de mesures correctives déjà prises. L’e-mail de notification à l’utilisateur final informe l’utilisateur final des violations de conformité ou des activités suspectes sur son compte Citrix sans lui demander de réponse.

Grâce à la fonctionnalité de personnalisation du contenu des e-mails de l’utilisateur final, les administrateurs de Citrix Analytics peuvent ajouter un message personnalisé dans le modèle de corps de l’e-mail de demande de réponse/de notification à l’utilisateur final/d’information. À l’aide de l’éditeur de zone de texte enrichi, un administrateur peut modifier le contenu par stratégie à l’aide de divers outils d’édition tels que le gras, l’italique, le lien hypertexte, etc.

Remarque

La fonctionnalité Personnalisation du contenu des e-mails de l’utilisateur final n’est disponible que pour les actions basées sur des stratégies et non pour les actions manuelles.

Vous pouvez personnaliser le contenu pour trois types d’e-mails :

• Demander un e-mail de réponse à l’utilisateur final.
• Envoyer un e-mail à l’utilisateur final
• E-mail envoyé lorsque l’une des actions suivantes de l’utilisateur final est effectuée :
  • Action de fermeture de session sous Citrix Apps and Desktop
  • Déconnexion et verrouillage de l’utilisateur sous Citrix Gateway

Vous pouvez consulter la liste des stratégies dans l’onglet Sécurité > Stratégies .

Vous pouvez consulter le corps personnalisé de l’e-mail en cliquant sur la stratégie existante ou lors de la création d’une nouvelle stratégie. Dans le volet de droite, vous pouvez obtenir un aperçu du contenu mis à jour de l’e-mail.

Remarque

• L’administrateur peut définir le contenu selon le modèle par défaut en cliquant sur le lien Rétablir les paramètres par défaut . La limite de caractères pour le corps personnalisé est de 1 000.

• Pour l’action Notifier l’utilisateur final, le champ Objet est également personnalisable par l’administrateur. Il peut être rétabli par défaut en cliquant sur le lien Rétablir les paramètres par défaut . La limite de caractères pour l’objet de l’e-mail personnalisé est de 500.

Cliquez sur Enregistrer les modifications pour créer/mettre à jour la stratégie. Lorsque la stratégie est déclenchée, la notification par e-mail suivante est envoyée à l’utilisateur final :

• Demander un e-mail de réponse à l’utilisateur final : action de stratégie qui envoie un e-mail demandant une réponse à l’utilisateur.
• E-mail de notification à l’utilisateur final : notification par e-mail envoyée aux utilisateurs finaux pour les informer de problèmes de conformité, d’activités suspectes, etc. sur leur compte Citrix.
• E-mail d’information : e-mail d’information envoyé après une action de l’utilisateur final.

L’utilisateur final peut lire l’e-mail et effectuer les actions correctives demandées par l’administrateur.

Remarque

L’administrateur disposant d’un accès en lecture seule ne peut pas modifier/ajouter le corps du message.

Notifier l’utilisateur après avoir appliqué une action perturbatrice

Dans ce type d’action, vous pouvez appliquer une action perturbatrice telle que Fermer la session de l’utilisateur et Verrouiller l’utilisateur sur le compte de l’utilisateur lorsqu’une activité inhabituelle est détectée. Lorsqu’une action est appliquée au compte de l’utilisateur, les services liés à son compte peuvent être interrompus. Dans de tels cas, l’utilisateur doit contacter l’administrateur pour pouvoir accéder à son compte comme auparavant.

Considérez un utilisateur Citrix Content Collaboration dont le score de risque a dépassé 80 en une durée de 80 minutes. Vous pouvez fermer la session de l’utilisateur. Une fois cette tâche effectuée, l’utilisateur ne peut pas accéder à son compte et une notification par e-mail lui est envoyée à partir de l’ID de messagerie security-analytics@cloud.com. L’e-mail contient des détails sur l’événement, tels que l’activité, l’appareil, la date et l’heure et l’adresse IP. L’utilisateur doit contacter l’administrateur pour accéder à son compte comme auparavant.

Appliquer une action manuellement

Prenons l’exemple d’un utilisateur, Lemuel, qui se connecte à un réseau en utilisant un nouvel appareil pour la première fois. Pour surveiller son compte car son comportement est inhabituel, vous pouvez utiliser l’action Notifier l’administrateur (s) .

Pour appliquer manuellement l’action à l’utilisateur, vous devez :

Accédez au profil d’un utilisateur et sélectionnez l’indicateur de risque approprié. Dans le menu Actions, sélectionnez l’action Notifier les administrateurs et cliquez sur Appliquer.

Une notification par e-mail est envoyée à tous les administrateurs ou à certains administrateurs pour surveiller son compte. L’action appliquée est ajoutée à sa chronologie de risque et les détails de l’action sont affichés dans le volet droit de la page de chronologie de risque.

Remarques

• Si vous êtes un administrateur Citrix Cloud avec des autorisations d’accès complet, par défaut, les notifications par e-mail sont désactivées pour votre compte Citrix Cloud. Pour recevoir des notifications par e-mail, activez-le sur votre compte Citrix Cloud. Pour plus d’informations, consultez la section Recevoir des notifications par e-mail.

• Si vous êtes un administrateur Citrix Cloud avec des autorisations d’accès personnalisées (accès en lecture seule et complet) pour gérer Security Analytics, les notifications par e-mail sont activées pour votre compte Citrix Cloud. Pour ne plus recevoir de notifications par e-mail de Citrix Analytics, demandez à votre administrateur d’accès complet Citrix Cloud de supprimer votre nom de la liste de distribution Notifier les administrateurs. Pour plus d’informations sur, voir Liste de distribution des e-mails.

Gérer les stratégies

Vous pouvez consulter le tableau de bord Stratégies pour gérer toutes les stratégies créées sur Citrix Analytics afin de surveiller et d’identifier les incohérences sur votre réseau. Dans le tableau de bord des stratégies, vous pouvez :

1. Afficher la liste des stratégies

2. Détails de la stratégie

   • Nom de la stratégie

   • État : activé ou désactivé.

   • Durée de la stratégie : nombre de jours pendant lesquels la stratégie a été active ou inactive.

   • Occurrences : nombre de fois que la stratégie est déclenchée.

   • Modifié : horodatage, uniquement si la stratégie a été modifiée.

3. Supprimer la stratégie

   • Pour supprimer une stratégie, vous pouvez sélectionner la stratégie que vous souhaitez supprimer, puis cliquer sur Supprimer.

   • Vous pouvez également cliquer sur le nom de la stratégie pour être redirigé vers la page Modifier la stratégie. Cliquez sur Supprimer la stratégie. Dans la boîte de dialogue, confirmez votre demande de suppression de la stratégie.

4. Créer une stratégie

5. Cliquez sur le nom d’une stratégie pour afficher plus de détails. Vous pouvez également modifier la stratégie lorsque vous cliquez sur son nom. Les autres modifications qui peuvent être apportées sont les suivantes :

   • Modifiez le nom de la stratégie.

   • Conditions de la stratégie.

   • Les actions à appliquer.

   • Activez ou désactivez la stratégie.

   • Supprimez la stratégie.

Remarque

• Si vous ne souhaitez pas supprimer votre stratégie, vous pouvez choisir de la désactiver.

• Pour réactiver la stratégie dans le tableau de bord Stratégies, procédez comme suit :

  • On the Policies dashboard, click the Status slider button and refresh the page. The Status slider button turns green.

  • On the Modify Policy page, click the Enabled slider button on the bottom of the page.

Modes pris en charge

Citrix Analytics prend en charge les modes de stratégie suivants :

• Mode d’application - Dans ce mode, les stratégies configurées ont un impact sur les comptes d’utilisateurs.

• Mode de surveillance - Dans ce mode, les stratégies configurées n’affectent pas les comptes d’utilisateurs. Vous pouvez définir des stratégies sur ce mode si vous souhaitez tester des configurations de stratégie.

Suivez les instructions suivantes pour configurer les modes sur les stratégies :

1. Accédez à Sécurité > Stratégies.

2. Sur la page Stratégies, sélectionnez l’icône en haut à droite qui s’affiche à côté de la barre de recherche . La fenêtre SELECT MODE s’affiche.

3. Sélectionnez le mode de votre choix et cliquez sur Enregistrer les paramètres.

Remarque

Les stratégies par défaut créées par Analytics sont définies en mode de surveillance. Par conséquent, les stratégies existantes héritent également de ce mode. Vous pouvez évaluer l’impact de toutes les stratégies ensemble, puis les passer en mode d’application.

Recherche en libre-service pour les stratégies

Sur la page de recherche en libre-service, vous pouvez afficher les événements utilisateur qui ont satisfait aux conditions définies dans les stratégies. La page affiche également les actions appliquées à ces événements utilisateur. Filtrez les événements utilisateur en fonction des actions appliquées.