Résoudre les alertes

Lorsque la détection des menaces signalé un script, cside crée une alerte. Toutes les alertes proposent Résoudre. Les cibles URL, IP, nom d’hôte et domaine peuvent aussi proposer Bloquer si l’équipe dispose de cet accès. Les alertes de hash proposent uniquement Résoudre.

La résolution des alertes est indépendante de la révision et de l’approbation PCI DSS. Elle enregistré votre enquête ; elle n’approuvé pas un fournisseur pour PCI DSS et ne bloqué pas un script.

Trouver vos alertes

Ouvrez Alerts dans le tableau de bord. Vous pouvez aussi cliquer sur l’indicateur d’alertes en attente de Home pour afficher celles de tous les domaines de l’équipe.
Utilisez le sélecteur de domaines en haut de Alerts pour choisir un domaine. Saisissez une partie de son nom pour rechercher, ou sélectionnez All Domains pour la vue de toute l’équipe.
Les alertes sont regroupees par le ruleset qui les a declenchees. Chaque groupe est une carte depliable qui affiche le nom et la description du ruleset, un badge Low risk, Medium risk ou High risk derive du score de risque de 1 a 10 du ruleset, et le nombre d’alertes du groupe en attente (pending) et résolues (resolved). Les groupes sont tries par score de risque, du plus eleve au plus faible.
Depliez une carte pour lister ses alertes. Chaque ligne affiche le Type, la Target, les Impacted Scripts et l’heure de Last Triggered, plus une colonne Domain dans la vue tous domaines, et dispose d’un bouton Resolve en ligne.
Ouvrez une ligne pour examiner l’alerte et utiliser Résoudre, ou Bloquer pour une cible compatible autre qu’un hash.

Utilisez le filtre Status (Show only pending alerts) pour masquer les alertes déjà traitees par votre équipe, et le champ de recherche pour trouver une cible précise. Une alerte résolue affiche un badge Resolved a la place de son bouton Resolve.

Changer de domaine conserve votre recherche par cible et le filtre des alertes en attente. Le sélecteur permet de choisir un domaine à la fois ou All Domains. Consultez Navigation du tableau de bord pour les autres sélecteurs de domaines et les totaux de Home.

Les badges utilisent 1-3 pour le risque faible, 4-7 pour le risque moyen et 8-10 pour le risque élevé. Resolve all s’applique au groupe de règles dans la portée actuelle : le domaine sélectionné ou tous les domaines de l’équipe avec All Domains. Vérifiez cette portée avant de confirmer.

Résoudre un groupe entier

Lorsqu’un groupe contient des alertes en attente, l’en-tete de son tableau affiche un bouton Resolve all. Cliquez dessus, saisissez une raison dans la boite de dialogue Resolve All Alerts (un commentaire est obligatoire) et confirmez avec Resolve all. Les tres grands groupes sont résolus par lots ; si certaines alertes restent en attente, relancez Resolve all après quelques minutes.

Une alerte pour un script spécifique (une cible basee sur un hash) disparait de cette liste une fois que ce script n’a pas été vu sur votre site depuis 90 jours, afin que le tableau ne se remplisse pas d’alertes pour des scripts qui ont déjà disparu. Les alertes URL, IP, domaine et hostname ne sont pas concernees. Une alerte masquee réapparaît si le script est de nouveau servi dans la fenêtre de 90 jours, et un lien direct vers la vue de détail d’une alerte continue de fonctionner même après sa disparition de la liste.

Résoudre

Résoudre marque une alerte comme revisee. Utilisez cette action lorsque vous avez examine le script signalé et decide qu’il n’a pas besoin d’etre bloqué, par exemple un changement que vous avez autorisé, une mise a jour connue d’un fournisseur ou un faux positif.

Résoudre ne bloqué pas le script ; il continue de s’executer exactement comme avant. Cela enregistré que votre équipe a revise l’alerte et empeche les règles correspondantes de generer de nouvelles alertes sur cette cible.

Pour résoudre une alerte :

Ouvrez l’alerte depuis le tableau Alerts.
Cliquez sur Resolve.
Dans la boite de dialogue Resolve Alert, entrez une raison dans le champ de commentaire. Un commentaire est obligatoire.
Cliquez sur Resolve pour confirmer.

Le badge de statut passe a Resolved et vous voyez une confirmation Alert resolved.

Résoudre arrete les futures alertes pour cette cible uniquement pour les règles qui ont correspondu. Si une regle differente correspond a la même cible plus tard, elle peut toujours generer une nouvelle alerte.

Bloquer

Bloquer empeche les scripts correspondant a la cible de s’executer dans les navigateurs de vos visiteurs. Le bouton porte le libellé du type de cible, comme Block URL ou Block IP. Les alertes de type hash n’ont pas d’action Bloquer, seulement Résoudre.

Pour bloquer une cible :

Ouvrez l’alerte depuis le tableau Alerts.
Cliquez sur le bouton Block.
Dans la boite de dialogue Block Target, entrez une raison dans le champ de commentaire. Un commentaire est obligatoire.
Cliquez sur Block pour confirmer.

Vous voyez une confirmation que la cible a été bloquee. Un nouveau blocage prend effet des que les visiteurs recoivent la configuration mise a jour du script cside.

Le blocage est applique par le script cside dans les navigateurs de vos visiteurs, il concerne donc les domaines en Script Method. Les domaines en Scan Method n’ont pas d’application à l’exécution : utilisez un en-tete Content Security Policy pour empecher le chargement des scripts non autorisés. Voir Configuration du Scan Method.

Résoudre vs. Bloquer

Action	Ce qu’elle fait	Quand l’utiliser
Résoudre	Marque l’alerte comme revisee et empeche les règles correspondantes de generer de nouvelles alertes sur cette cible. Ne bloqué pas le script.	Le script signalé est attendu ou sur, et vous souhaitez effacer l’alerte.
Bloquer	Empeche les scripts correspondant a la cible de s’executer dans les navigateurs de vos visiteurs. Non disponible pour les alertes de type hash.	Le script signalé n’est pas voulu et vous souhaitez que cside l’empeche de se charger.

Examiner ce qui s’est passe

Ouvrez une alerte et utilisez ses onglets pour enqueter avant d’agir :

Payload affiche le contenu du script signalé pour les cibles de type hash. Pour les cibles URL, IP, domaine et hostname, cet onglet s’appelle Destination et montre vers quoi pointe la cible.
Impacted Scripts liste les scripts couverts par l’alerte.
History enregistré les résolutions et, pour les cibles compatibles, les blocages, avec leur auteur et leur date.
Rulesets affiche les règles qui ont correspondu.

Après avoir résolu une alerte, l’onglet History enregistré quelles règles ont été résolues et le membre de l’équipe qui les a résolues.