Chronologie et profil des risques utilisateur

Remarque

Attention : Citrix Content Collaboration™ et ShareFile ont atteint leur fin de vie et ne sont plus disponibles pour les utilisateurs.

La chronologie des risques utilisateur sur le profil d’un utilisateur vous permet, en tant qu’administrateur Citrix Analytics, d’obtenir des informations plus approfondies sur le comportement à risque d’un utilisateur. Par défaut, la chronologie des risques utilisateur est affichée pour le dernier mois. Vous pouvez également consulter les actions correspondantes effectuées sur leur compte pour une période sélectionnée. À partir de la chronologie des risques utilisateur, vous pouvez approfondir le profil d’un utilisateur pour comprendre les éléments suivants :

• Utilisation des applications
• Utilisation des données
• Utilisation des appareils
• Utilisation des emplacements

De plus, vous pouvez afficher le score de risque et les tendances des indicateurs de risque pour l’utilisateur et déterminer si l’utilisateur est un utilisateur à haut risque ou non.

Vous pouvez afficher le dernier score de risque de l’utilisateur dans le coin supérieur gauche de la page de la chronologie des risques utilisateur. Les rapports de la vue Résumé des risques affichent à la fois les scores maximums les plus récents et historiques.

Lorsque vous accédez à la chronologie des risques d’un utilisateur, vous pouvez sélectionner un indicateur de risque ou une action qui a été appliquée à son compte. Si vous choisissez l’un des éléments ci-dessus, le volet droit affiche la section de l’indicateur de risque ou la section de l’action.

Chronologie des risques

La chronologie des risques affiche les informations suivantes :

• Indicateurs de risque. Les indicateurs de risque sont des activités utilisateur suspectes ou pouvant constituer une menace de sécurité pour votre organisation. Les indicateurs sont déclenchés lorsque le comportement de l’utilisateur s’écarte de son comportement normal. Les indicateurs de risque peuvent provenir des sources de données suivantes :

  • Citrix Content Collaboration

  • Citrix Gateway

  • Citrix Endpoint Management™

  • Citrix Virtual Apps and Desktops ou Citrix DaaS (anciennement service Citrix Virtual Apps and Desktops)

  • Citrix Secure Private Access

  Lorsque vous sélectionnez un indicateur de risque dans la chronologie de l’utilisateur, la section d’informations sur l’indicateur de risque s’affiche dans le volet droit. Vous pouvez afficher la raison de l’indicateur de risque ainsi que les détails de l’événement. Ils sont largement classés dans les sections suivantes :

  

  • Ce qui s’est passé. Vous pouvez afficher un résumé de l’indicateur de risque ici. Par exemple, si vous avez sélectionné l’indicateur de risque Partage excessif de fichiers. Dans la section Ce qui s’est passé, vous pouvez afficher le nombre de liens de partage envoyés aux destinataires et le moment où l’événement de partage s’est produit.

  • Détails de l’événement. Vous pouvez afficher les entrées d’événements individuelles au format graphique et tabulaire, ainsi que les détails de l’événement. Cliquez sur Recherche d’événements pour accéder à la page de recherche en libre-service et afficher les événements correspondant à l’indicateur de risque de l’utilisateur. Pour plus d’informations, consultez Recherche en libre-service.

  • Informations contextuelles supplémentaires. Vous pouvez afficher les données partagées, le cas échéant, lors de la survenue d’un événement dans cette section.

  Vous pouvez marquer manuellement les indicateurs de risque comme utiles ou non utiles. Pour plus d’informations, consultez Fournir des commentaires sur les indicateurs de risque utilisateur.

  En savoir plus : Indicateurs de risque

• Actions. Les actions vous aident à réagir aux événements suspects et à empêcher que de futurs événements anormaux ne se produisent. Les actions qui ont été appliquées au profil d’un utilisateur sont affichées sur la chronologie des risques. Ces actions sont soit automatiquement appliquées au compte d’un utilisateur via des stratégies configurées, soit vous pouvez appliquer une action spécifique manuellement.

  En savoir plus : Stratégies et actions.

  

• Événements utilisateur privilégiés. Les événements utilisateur privilégiés sont déclenchés chaque fois qu’il y a un changement de statut de privilège d’administrateur ou d’exécutif d’un utilisateur. Lorsqu’un indicateur de risque est déclenché pour un utilisateur, vous pouvez le corréler avec l’événement de changement de statut de privilège spécifié. Si nécessaire, vous pouvez appliquer l’action appropriée sur le profil de l’utilisateur. Les événements de privilège d’administrateur ou d’exécutif affichés sur la chronologie des risques utilisateur sont les suivants :

  • Ajouté au groupe Exécutif

  • Supprimé du groupe Exécutif

  • Privilège élevé à Administrateur

  • Privilège d’administrateur supprimé

  Considérez l’utilisateur Adam Maxwell qui a été ajouté au groupe privilégié Exécutif CitrixAnalytics. L’événement Ajouté au groupe Exécutif est ajouté à la chronologie des risques de l’utilisateur. Maintenant, Adam commence à supprimer excessivement des fichiers et des dossiers et déclenche l’algorithme d’apprentissage automatique qui détecte un comportement inhabituel. L’indicateur de risque Suppression excessive de fichiers ou de dossiers est ajouté à la chronologie des risques de l’utilisateur. Vous pouvez comparer l’événement et l’indicateur de risque sur la chronologie des risques. Après la comparaison, vous pouvez déterminer si l’indicateur de risque a été déclenché en conséquence de l’événement. Si c’est le cas, vous pouvez appliquer les actions appropriées au profil d’Adam. Pour plus d’informations sur les utilisateurs privilégiés, consultez Utilisateurs privilégiés.

Lorsque vous sélectionnez un événement dans la chronologie de l’utilisateur, la section d’informations sur l’événement s’affiche dans le volet droit.

Pour un exécutif, le volet droit affiche des informations telles que le Statut de l’utilisateur, la Date et l’heure et le Groupe Active Directory.

Pour un événement de privilège d’administrateur, le volet droit affiche des informations telles que le Statut de l’utilisateur, la Date et l’heure et Dans le produit.

Résumé des risques

Affichez les facteurs de risque associés à l’utilisateur qui ont contribué à son score de risque. Vous pouvez voir les détails du score de risque pris comme le maximum sur la période sélectionnée, ainsi que le dernier score et le nombre d’indicateurs de risque correspondants. Lors de la navigation vers la chronologie de l’utilisateur depuis la page d’accueil principale ou la page des utilisateurs à risque, la sélection de la période est conservée à partir de la page source. Pour plus d’informations sur les facteurs de risque, consultez Indicateurs de risque utilisateur Citrix.

Cliquez sur Résumé des risques pour afficher les informations suivantes :

• Dernier score de risque : Le dernier score de risque indique le risque actuel de l’utilisateur en fonction de son comportement récent. Le score de risque détermine le niveau de risque qu’un utilisateur représente pour une organisation sur une période de 2 semaines glissantes. La valeur du score de risque est dynamique et varie en fonction de l’analyse du comportement de l’utilisateur. En fonction du score, un utilisateur peut appartenir à l’une des catégories suivantes : utilisateur à haut risque, utilisateur à risque moyen, utilisateur à faible risque et utilisateur avec un score de risque nul. Pour plus d’informations sur les catégories d’utilisateurs, consultez Tableau de bord des utilisateurs.

  • Nombre total d’occurrences d’indicateurs : Indique le nombre total d’indicateurs de risque déclenchés par l’utilisateur au cours des deux dernières semaines. Ces indicateurs de risque déclenchés déterminent le score de risque de l’utilisateur.

• Score de risque le plus élevé : Le score de risque le plus élevé indique la valeur maximale des scores de risque calculés pour cet utilisateur au cours de la durée sélectionnée. Il est représentatif du risque global pour l’utilisateur et peut ne pas toujours être égal au dernier score de risque.

• Facteurs de risque : Indique une ou plusieurs combinaisons des facteurs de risque associés aux activités de l’utilisateur qui ont contribué au score de risque.

• Répartition des risques : Indique le nombre d’indicateurs de risque déclenchés par l’utilisateur pour chaque facteur de risque. Développez la ligne pour afficher les détails.

Sur la chronologie de l’utilisateur, cliquez sur Filtrer et sélectionnez les facteurs de risque, les actions appliquées ou le statut d’utilisateur privilégié associé à l’utilisateur et affichez les événements correspondants.

Profil utilisateur

La page Profil utilisateur affiche les informations utilisateur suivantes provenant de l’annuaire actif de l’utilisateur :

• Titre du poste
• Adresse
• E-mail
• Téléphone
• Emplacement
• Organisation