Classeur Citrix Analytics pour Microsoft Sentinel

Remarque

Cette fonctionnalité est en préversion.

Cet article décrit le classeur Citrix Analytics disponible dans votre espace de travail Microsoft Sentinel.

Prérequis

Pour utiliser le classeur Citrix Analytics, assurez-vous d’avoir déjà intégré Microsoft Sentinel à Citrix Analytics for Security. Pour plus d’informations, consultez Intégration de Microsoft Sentinel.

Afficher les événements Citrix Analytics

Après avoir intégré Citrix Analytics for Security™ à Microsoft Sentinel, le connecteur Logstash commence à envoyer des événements de Citrix Analytics for Security vers l’espace de travail Microsoft Sentinel. Sur votre portail Azure, ouvrez l’espace de travail Microsoft Sentinel que vous avez utilisé pour l’intégration.

Pour vérifier que Microsoft Sentinel reçoit les événements de Citrix Analytics for Security, sélectionnez Journaux > Journaux personnalisés.

Dans la section Journaux personnalisés, vous pouvez afficher les tables de journaux créées automatiquement pour stocker les événements reçus de Citrix Analytics for Security. Ces tables de journaux servent de source pour les tableaux de bord du classeur Citrix Analytics.

Remarque

Les événements envoyés depuis Citrix Analytics for Security peuvent prendre quelques heures pour apparaître dans l’espace de travail Microsoft Sentinel. Par conséquent, vous pourriez constater un délai dans la création des tables de journaux pour les événements.

Afficher le classeur Citrix Analytics

Lorsque les tables de journaux sont créées avec succès, procédez comme suit :

1. Sélectionnez Classeurs et recherchez Citrix Analytics. Sélectionnez Citrix Analytics.

   

2. Sélectionnez Afficher le modèle pour ouvrir le classeur Citrix Analytics.

   

Dans le classeur Citrix Analytics, vous pouvez afficher les événements utilisateur dans les tableaux de bord suivants :

• Vue d’ensemble des scores de risque utilisateur : Fournit une vue consolidée des utilisateurs à risque dans votre organisation.

• Détails de l’utilisateur : Fournit des détails sur les utilisateurs et leur comportement à risque.

• Profil utilisateur : Fournit les métriques d’événements associées aux utilisateurs.

• Événements reçus : Fournit les événements reçus de Citrix Analytics for Security.

• Détails de l’indicateur de risque : Fournit des détails sur les indicateurs de risque intégrés et personnalisés déclenchés par les utilisateurs.

• Vue d’ensemble de l’indicateur de risque : Fournit une vue consolidée des indicateurs de risque déclenchés par les utilisateurs.

  

Vue d’ensemble des scores de risque utilisateur

Ce tableau de bord fournit une vue consolidée des utilisateurs à risque dans votre organisation. Les utilisateurs sont catégorisés par niveaux de risque : élevé, moyen et faible. Les niveaux de risque sont basés sur les anomalies dans les activités de l’utilisateur et un score de risque est attribué en conséquence. Pour plus d’informations sur les types d’utilisateurs à risque, consultez le tableau de bord Utilisateurs.

Sélectionnez une période pour afficher les utilisateurs à risque dans votre organisation.

Détails de l’utilisateur

Ce tableau de bord fournit le score de risque et les indicateurs de risque associés à un utilisateur.

Recherchez un utilisateur et affichez ses activités à risque qui peuvent constituer une menace pour votre organisation. Pour atténuer la menace, vous pouvez prendre les mesures appropriées sur les comptes utilisateur en fonction de la gravité de leur risque.

Profil utilisateur

Ce tableau de bord fournit les détails des métriques d’événements associées à vos utilisateurs pour une période sélectionnée. Les métriques fournissent des informations sur les activités de l’utilisateur, telles que :

• Les 10 principales applications utilisées par les utilisateurs

• Les 10 principaux appareils utilisés par les utilisateurs

• Les 10 principaux emplacements à partir desquels les utilisateurs se sont connectés

À l’aide des rapports, vous pouvez :

• Identifier la tendance d’utilisation de vos utilisateurs

• Découvrir les appareils non conformes utilisés pour accéder aux ressources

• Vérifier les accès potentiellement risqués de vos utilisateurs

  

Événements reçus

Pour une période sélectionnée, vous pouvez afficher le nombre total d’événements reçus de Citrix Analytics for Security. Le total des événements reçus comprend les éléments suivants :

• Résumé de l’indicateur de risque : Indique les événements associés au résumé des indicateurs de risque utilisateur. Pour plus d’informations sur les différents événements de résumé des indicateurs de risque, consultez le schéma de l’indicateur de risque.

• Détails de l’événement de l’indicateur de risque : Indique les événements associés aux détails des indicateurs de risque utilisateur. Pour plus d’informations sur les différents événements de détail des indicateurs de risque, consultez le schéma de l’indicateur de risque.

• Score de risque du profil utilisateur : Indique les événements associés au score de risque des utilisateurs. Pour plus d’informations, consultez le tableau de bord Utilisateurs.

• Modifications du score de risque : Indique les événements associés à la modification du score de risque des utilisateurs. Pour plus d’informations, consultez le tableau de bord Utilisateurs.

• Emplacements du profil utilisateur : Indique les événements associés aux emplacements à partir desquels les utilisateurs se sont connectés.

• Application du profil utilisateur : Indique les événements associés aux applications utilisées par les utilisateurs.

• Utilisation du profil utilisateur : Indique les événements associés à l’utilisation des données par les utilisateurs.

• Appareil du profil utilisateur : Indique les événements associés aux appareils utilisés par les utilisateurs.

En examinant le tableau de bord à intervalles réguliers, vous pouvez vous assurer que les événements circulent correctement vers votre espace de travail Microsoft Sentinel. Toute divergence dans le total des événements reçus peut indiquer des problèmes d’intégration avec Citrix Analytics for Security. Vous pouvez effectuer les étapes nécessaires pour déboguer les problèmes.

Détails de l’indicateur de risque

Ce tableau de bord fournit les détails des indicateurs de risque déclenchés par vos utilisateurs.

Vous pouvez afficher les détails de l’indicateur de risque en sélectionnant une ou plusieurs catégories :

• Plage horaire : Sélectionnez une plage horaire pour afficher les détails des indicateurs de risque déclenchés pendant cette période.

• Type d’entité : Sélectionnez un utilisateur pour afficher les détails des indicateurs de risque associés.

• Type d’indicateur de risque : Sélectionnez des indicateurs de risque intégrés ou personnalisés pour afficher leurs détails.

• Source de données : Sélectionnez une source de données pour afficher les indicateurs de risque associés.

• Catégorie d’indicateur de risque : Sélectionnez la catégorie de risque pour afficher les indicateurs de risque associés.

• Indicateur de risque : Sélectionnez un indicateur de risque par son nom et affichez ses détails.

  

Vue d’ensemble de l’indicateur de risque

Ce tableau de bord fournit une vue consolidée de tous les indicateurs de risque déclenchés par vos utilisateurs.

Vous pouvez afficher les indicateurs de risque en sélectionnant une ou plusieurs catégories :

• Plage horaire : Sélectionnez une période pour afficher les indicateurs de risque déclenchés pendant cette période.

• Type d’indicateur de risque : Sélectionnez des indicateurs de risque intégrés ou personnalisés pour afficher les indicateurs de risque associés.

• Type d’entité : Sélectionnez un utilisateur pour afficher les indicateurs de risque associés.