Créer un monitor

Un monitor est une règle appliquée à vos fuites. Il compte les fuites qui correspondent à sa requête sur une fenêtre de temps, et déclenche une alerte quand ce nombre atteint le threshold. Il est évalué toutes les 10 minutes sur les identifiants consolidés chaque heure : une nouvelle fuite le déclenche au plus tard environ une heure après son arrivée.

Seul un administrateur de l'espace peut créer ou modifier un monitor.

Ouvrir le formulaire

• Depuis le menu : ouvrez Monitor et cliquez sur Nouveau moniteur. Le formulaire s'ouvre sur /alerts/new.
• Depuis la liste des leaks du cockpit : dans l'onglet Leaks, le bouton cloche Créer une alerte à partir de ces filtres ouvre le formulaire prérempli avec les catégories, le type, le pays et le stealer de la liste affichée. Les filtres qu'un monitor ne connaît pas (mois, mot-clé, recherche...) ne sont pas repris : vérifiez la requête avant d'enregistrer.

Donnez ensuite un nom au monitor, par exemple « Fuites comptes admin sur acme.com ». Le formulaire compte trois sections.

1. Définir la requête

La requête dit quelles fuites le monitor compte. Seules les fuites qui remplissent toutes les conditions entrent dans le compte.

• Catégories : Tous, ou une ou plusieurs catégories, rangées par famille. Collaborateurs : Applications, Back-office, Comptes pro, Sites tiers. Utilisateurs : N° de compte, Autres logins, Pro, Particuliers, Téléphones. Voir Collaborateurs et utilisateurs pour la définition de chacune.
• Type : Tous, Infostealer ou Combolist.
• + Ajouter un filtre : restreindre à des domaines, des domaines racines, des domaines e-mail ou des noms de stealers. Les valeurs acceptent * (plusieurs caractères) et ? (un caractère).
• Évaluer sur : la fenêtre glissante que le monitor évalue, 1d, 7d, 30d, All, ou un nombre de jours. Une fenêtre courte réagit plus vite mais fait plus de bruit ; une fenêtre longue lisse les pics.
• Nouveaux leaks uniquement : activé, seules les fuites vues pour la première fois dans la fenêtre comptent, et les ré-ingestions sont ignorées. Désactivé, tout identifiant vu au moins une fois dans la fenêtre compte, y compris un ancien identifiant partagé de nouveau.

Le compteur N fuites correspondent se met à jour pendant la saisie ; Voir l'aperçu affiche la liste. Au-dessus, l'aperçu temporel montre le total sur la plage affichée, le nombre dans la fenêtre d'évaluation, et si le monitor déclencherait aujourd'hui (oui ou non).

Exemple : pour être alerté dès qu'un collaborateur se fait voler un accès par un infostealer, sélectionnez Applications, Back-office et Comptes pro, le type Infostealer, et une fenêtre de 30 jours.

2. Conditions de déclenchement

• Seuil : « Lorsque le nombre de fuites est ≥ N correspondances ». Par défaut 1 : chaque nouvelle fuite correspondante déclenche. Pour un périmètre à fort volume où seuls les pics comptent, augmentez le threshold (par exemple 10) pour éviter la fatigue de notification.
• Sévérité : Critique, Avertissement ou Info, pour hiérarchiser les alertes.

3. Notifications

• Canaux de notification : sélectionnez un ou plusieurs canaux de votre organisation. La même alerte part simultanément sur chacun ; vous pouvez les mélanger (par exemple Slack pour l'équipe d'astreinte et e-mail pour le responsable sécurité). Si aucun canal n'existe encore, voir Recevoir des notifications.
• Re-notification : tant que l'alerte reste ouverte, un rappel part toutes les N heures (24 h par défaut) ou après N nouvelles fuites correspondantes (10 par défaut), au premier des deux atteint. Voir Re-notification.

Cliquez sur Créer le moniteur. Le bouton Relancer l'évaluation, sur la page du monitor, lance une évaluation sans attendre le prochain passage.

Où apparaissent les alertes

• Dans le cockpit, la pastille Alertes indique le nombre d'alertes ouvertes ; un clic ouvre leur liste.
• Sur le graphique Évolution · 12 mois du cockpit, les alertes déclenchées apparaissent comme des repères sous les mois concernés.
• Dans le menu Monitor, l'onglet Historique liste tous les événements. Leur traitement (assigner, acquitter, commenter, clôturer) est décrit dans Gestion d'incident.

Éditer un monitor avec un événement ouvert

Si vous changez la requête d'un monitor qui a un événement ouvert, Stealed avance la baseline anti-replay pour que l'événement ouvert suive le nouveau périmètre à partir de ce point. Vous n'avez pas besoin de fermer et recréer l'événement.

La suite

• Recevoir des notifications : configurer où les alertes arrivent.
• Déduplication : comprendre pourquoi un monitor ne produit qu'un seul événement ouvert à la fois.