La politique de renseignements de sécurité vous donne l’occasion d’abandonner rapidement le trafic indésirable en fonction de l’adresse IP source/de destination ou de l’URL de destination. Le système supprime ce trafic indésirable avant de l’évaluer avec la stratégie de contrôle d’accès, réduisant ainsi la quantité de ressources système utilisées.

Vous pouvez bloquer le trafic en fonction des éléments suivants :

• Flux Cisco Talos Intelligence Group (Talos) : Talos fournit un accès à des flux de renseignements de sécurité régulièrement mis à jour. Les sites qui représentent des menaces de sécurité, comme les programmes malveillants, les pourriels, les réseaux de zombies et l’hameçonnage peuvent apparaître et disparaître plus rapidement que vous ne pouvez mettre à jour et déployer des configurations personnalisées. Le système télécharge régulièrement des mises à jour de flux; ainsi, les nouvelles informations sur les menaces sont disponibles sans que vous ayez à redéployer la configuration.

  Remarque

  Les flux Talos sont mis à jour par défaut toutes les heures. Vous pouvez modifier la fréquence de mise à jour et même mettre à jour les flux à la demande à partir de la page Device (Périphérique) > Updates (Mises à jour).

• Network and URL Objects (Objets de réseau et d’URL) : si vous connaissez des adresses IP ou des URL spécifiques que vous souhaitez bloquer, vous pouvez créer des objets pour celles-ci et les ajouter à la liste des adresses bloquées ou à la liste des autorisations. Notez que vous ne pouvez pas utiliser d’objets réseau avec des spécifications de FQDN (nom de domaine complet) ou de plage.

Vous créez des listes distinctes pour les adresses IP (réseaux) et les URL.

Remarque

Si une demande HTTP/HTTPS s’adresse à une URL qui utilise une adresse IP au lieu d’un nom d’hôte, le système recherche la réputation de l’adresse IP dans les listes d’adresses réseau. Vous n’avez pas besoin de dupliquer les adresses IP dans les listes de réseaux et d’URL.

Vous devez activer la licence Menace pour utiliser Security Intelligence. Consultez Activation ou désactivation des licences facultatives.

Si vous activez la journalisation pour la politique Security Intelligence, le système génère des événements Security Intelligence pour chaque connexion qui correspond à un élément d’une liste de blocage. Les événements de connexion correspondent à ces connexions.

Les statistiques pour les connexions abandonnées s’affichent dans les différents tableaux de bord disponibles sur la page Surveillance.

Le tableau de bord Monitoring (Surveillance) > Access And SI Rules (Règles d’accès et SI) affiche les principales règles d’accès et les règles Security Intelligence équivalentes qui correspondent au trafic.

En outre, vous pouvez sélectionner Monitoring (Surveillance) > Events (Événements, puis l’affichage Security Intelligence (Security Intelligence), pour voir les événements Security Intelligence, ainsi que les événements de connexion associés sous l’onglet Connection (Connexion).

• Le champ SI Category ID (ID de catégorie SI) dans un événement indique l’objet mis en correspondance dans la liste de blocage, par exemple un objet ou un flux de réseau ou d’URL.

• Le champ Reason (Raison) d’un événement de connexion explique pourquoi l’action affichée dans l’événement a été appliquée. Par exemple, une action Block (Blocage) associée à des raisons telles que IP Block (Blocage IP) ou URL Block (Blocage d’URL) indique qu’une connexion a été abandonnée par Security Intelligence.

Le chapitre de cas d’utilisation comprend un exemple de mise en œuvre des politiques de sécurité Security Intelligence. Veuillez consulter Comment bloquer les menaces.