Ajouter aux collections TAXII à partir de la vue de liste de la bibliothèque
La fonctionnalité Ajouter aux collections TAXII permet aux analystes d’ajouter les renseignements sur les menaces sélectionnés, y compris les observables, les indicateurs et les objets tels que les schémas d’attaque, les acteurs de menace, entre autres, directement aux collections TAXII.
Avant de commencer
Rôle requis : sn_sec_tisc.analyst
Pourquoi et quand exécuter cette tâche
Voici la procédure qui montre comment ajouter TAXII des collections à un observable.
Procédure
-
Sélectionnez le modèle d’exemple de collections TAXII.
Tous les modèles configurés sur la page Partage Intel sortant s’affichent ici, ce qui vous permet de sélectionner celui dont vous avez besoin. Pour plus d'informations, consultez Configuration des modèles de partage Intel sortants.
-
Explorez la section Enregistrements de collection TAXII .
Vous remarquerez que le ou les observables sélectionnés sont ajoutés à la collection TAXII et vous verrez également les règles d’exclusion.
Les règles d’exclusion définissent les enregistrements ou les données à ne pas inclure lors de l’ajout d’éléments à une collection TAXII, garantissant ainsi que seules les informations prévues sont partagées. Chaque modèle est livré avec ses propres contrôles de modèle de partage, qui spécifient les attributs et les informations à inclure ou exclure pendant le partage.
En outre, les règles d’exclusion vous permettent également d’empêcher automatiquement l’ajout de certains enregistrements à une collection TAXII.
Tous les enregistrements qui correspondent aux critères définis dans ces règles sont exclus et ne peuvent pas être partagés. Par exemple, si une règle d’exclusion globale est configurée pour bloquer les domaines avec un état spécifique, tel que rouge ou effacé, tout enregistrement correspondant à cette condition sera automatiquement exclu.
Lorsque vous tenterez d’ajouter de tels enregistrements à une collection TAXII, l’application indiquera qu’ils ont été exclus (voir la capture d’écran ci-dessous), ce qui garantit que seuls les renseignements prévus et autorisés sont partagés. Pour en savoir plus sur les règles d’exclusion, reportez-vous à la section Configuration de la règle d’exclusion des données Intel sortantes.
Que faire ensuite
Une fois que vous avez ajouté les enregistrements aux collections TAXII, accédez à pour afficher les enregistrements ajoutés dans la section Enregistrements de collection TAXII . Pour plus d'informations, consultez Exploration du serveur sortant TAXII et Affichage des enregistrements de collection TAXII.
Lorsque vous ajoutez un enregistrement à une collection TAXII, l’application applique automatiquement des définitions de marquage pour fournir un contexte supplémentaire sur l’enregistrement.
Par exemple :
Si un enregistrement a une classification TLP (Traffic Light Protocol), telle que TLP White, un enregistrement de référence connexe est créé pour expliquer ce que signifie ce niveau TLP.Cela garantit que les utilisateurs accédant aux renseignements partagés connaissent les exigences de chaque enregistrement. Lorsqu’un enregistrement est ajouté à une collection, toutes les métadonnées ou tous les enregistrements contextuels pertinents, tels que les marquages TLP, sont automatiquement créés et liés.
Dans la section Administration , vous pouvez afficher et gérer tous les paramètres liés à la configuration, y compris les règles d’exclusion globales. Ces règles déterminent quels enregistrements sont automatiquement exclus de l’ajout à une collection TAXII.
Par exemple, une règle d’exclusion peut exclure les domaines marqués par TLP Rouge ou TLP Effacer. Vous pouvez personnaliser ces règles. Par exemple, vous pouvez la modifier pour exclure uniquement les enregistrements rouges TLP.
- Si tous les enregistrements sélectionnés correspondent aux règles d’exclusion, l’application empêche l’ajout de tout enregistrement.
- Si certains enregistrements de la sélection sont valides, ces enregistrements sont ajoutés à la collection TAXII, tandis que les enregistrements exclus sont automatiquement filtrés.