Qu'est-ce que la quarantaine ?

La mise en quarantaine est une mesure d'application des politiques de prévention des pertes de données (DLP) et de courtier en sécurité d'accès au cloud (CASB) qui redirige un fichier enfreignant une politique vers un espace de stockage cloud contrôlé par le client, au lieu de le laisser atteindre sa destination ou de le laisser à sa place. Cela permet d'isoler les contenus sensibles ou malveillants tout en les conservant à des fins d'examen.

Points clés à retenir

• La mise en quarantaine consiste à déplacer un fichier signalé vers un espace de stockage cloud isolé, et non à le supprimer.
• Les types de règles DLP tels que « Type de fichier », « EDM » et « OCR » peuvent déclencher la mise en quarantaine.
• Un fichier « tombstone » remplace le fichier d'origine et explique pourquoi celui-ci a été mis en quarantaine.
• Les profils de quarantaine définissent l'application de stockage, l'instance et le propriétaire du dossier.
• Les applications SaaS et IaaS – Box, AWS, SharePoint – peuvent toutes héberger des dossiers de quarantaine.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Quarantaine et Versa · FAQ

Pourquoi la quarantaine est-elle importante ?

Les politiques de prévention des pertes de données (DLP) et de courtier de sécurité d’accès au cloud (CASB) empêchent les contenus sensibles ou malveillants d’atteindre leur destination, mais un blocage ou une suppression pure et simple peut s’avérer trop radical : cela détruit les preuves et ne laisse aucune chance de vérifier un faux positif avant que les données ne soient perdues. La mise en quarantaine comble cette lacune : au lieu de supprimer un fichier correspondant à une règle DLP, celui-ci est transféré vers un espace de stockage cloud contrôlé par le client, isolé de ses destinataires prévus mais accessible aux administrateurs pour qu’ils puissent l’inspecter, le restaurer ou signaler le problème.

Cette réversibilité revêt une importance opérationnelle. Un fichier légitime intercepté par une règle trop générale peut être récupéré plutôt que d'être définitivement perdu, et la copie mise en quarantaine préserve une trace judiciaire qu'une suppression pure et simple effacerait. Pour les organisations exploitant à grande échelle des applications SaaS et IaaS, la mise en quarantaine est ce qui permet d'activer en toute sécurité les mesures de prévention des fuites de données (DLP) sans risquer une perte de données silencieuse et irréversible.

Qu'est-ce que la quarantaine ?

La mise en quarantaine est une mesure d'application disponible pour certains types de règles DLP (type de fichier, correspondance exacte des données (EDM) et reconnaissance optique de caractères (OCR)) ainsi que pour la protection avancée contre les menaces (ATP), qui peut mettre en quarantaine les fichiers jugés suspects ou malveillants. Au lieu d'être autorisé, bloqué ou rejeté, un fichier correspondant est envoyé vers un service cloud puis transféré vers une destination définie par un profil de quarantaine.

Un administrateur configure ce profil en indiquant une application de stockage (Box, Dropbox, Google Drive, OneDrive ou SharePoint, entre autres), une instance de celle-ci, ainsi que l'adresse e-mail de l'utilisateur sous le compte duquel le dossier est créé. Le fichier d'origine est généralement remplacé par un « tombstone », c'est-à-dire un marqueur expliquant pourquoi il a été supprimé. La création d'un profil nécessite qu'un connecteur d'application existe déjà pour l'application cloud choisie.

Types de lieux de quarantaine

Les profils de quarantaine se répartissent en deux grandes catégories de destinations, correspondant aux familles d'applications couvertes par la protection des données basée sur les API. Les destinations SaaS (Box, Citrix ShareFile, Dropbox, Egnyte, Google Drive, OneDrive et SharePoint) créent un dossier sous le compte d'un utilisateur spécifique. Les destinations IaaS (AWS, Google Cloud Platform, Azure et Oracle Cloud Infrastructure) utilisent un conteneur ou un « bucket » de stockage d'objets, dont l'accès est réservé aux administrateurs.

Une deuxième distinction concerne ce qui déclenche cette action. La mise en quarantaine déclenchée par le DLP est activée par la correspondance avec des règles de type « Type de fichier », « EDM » ou « OCR » ; celle déclenchée par l'ATP est activée lorsqu'un logiciel malveillant est jugé suspect ou malveillant. Les deux utilisent le même mécanisme de profil, mais pour des raisons différentes.

Quarantaine & Versa

Dans Versa Concerto, la mise en quarantaine se configure sous « Configurer > Security Service Edge > Profils et connecteurs > Profil de quarantaine ». Un profil spécifie un nom, une description, un bouton d’activation/désactivation, l’application et l’instance de destination, ainsi qu’un texte de notification pour les cas DLP et ATP – les administrateurs peuvent conserver la formulation par défaut d’ Versaou rédiger un texte personnalisé. La création d’un profil nécessite qu’un connecteur d’application existe déjà ; chaque instance de connecteur indique également les services qu’elle prend en charge : protection des données basée sur une API, analyse forensic, conservation légale et quarantaine.

Les profils de quarantaine sont ensuite référencés à partir des règles de stratégie : une règle DLP peut désigner la quarantaine comme action à appliquer en cas de correspondance avec un type de fichier, un EDM ou un résultat OCR, et une règle ATP peut faire de même pour les fichiers suspects. Cette fonctionnalité a été intégrée à partir de la version 12.2.1. Reportez-vous aux sections « Configurer les profils de quarantaine dans Concerto » et « Configurer les applications cloud à utiliser avec la protection des données basée sur une API » pour connaître les procédures complètes.

Questions fréquentes

Qu'est-ce qui déclenche une mise en quarantaine ?

Les types de règles DLP tels que « Type de fichier », « Correspondance exacte des données » et « Reconnaissance optique de caractères » peuvent désigner la mise en quarantaine comme action de correspondance, et la protection avancée contre les menaces peut mettre en quarantaine tout fichier qu’elle juge suspect ou malveillant lors de l’analyse, au lieu de le bloquer ou de le rejeter purement et simplement.

Où sont placés les fichiers mis en quarantaine ?

Vers un dossier ou un emplacement de stockage d'objets dans une application cloud fournie par le client (Box, Dropbox, Google Drive, OneDrive, SharePoint ou un compartiment IaaS sur AWS, Azure, GCP ou OCI), défini par l'application de destination et l'instance configurées dans le profil de quarantaine.

Qu'est-ce qu'un fichier « tombstone » ?

Une « tombstone » est le fichier qui remplace un fichier mis en quarantaine à son emplacement d'origine, en indiquant qu'il a été supprimé et en précisant la raison de cette suppression. Les administrateurs peuvent conserver le texte par défaut de la « tombstone » fourni par Versaou rédiger un texte personnalisé, configuré séparément pour les cas de mise en quarantaine liés à la prévention des fuites de données (DLP) et à la protection contre les menaces avancées (ATP).

La mise en quarantaine revient-elle à une suppression ?

Non. La mise en quarantaine consiste à déplacer un fichier correspondant vers un emplacement isolé et à accès restreint dans le cloud, au lieu de le supprimer purement et simplement. Cela permet de conserver le contenu à des fins d'examen par l'administrateur, d'enquête judiciaire ou de conservation à des fins juridiques, plutôt que de détruire définitivement les preuves sous-jacentes sans possibilité de recours.

Qui peut accéder à un dossier de quarantaine ?

L'accès doit toujours être réservé aux administrateurs. Pour les destinations SaaS, le dossier est créé sous le compte d'un utilisateur spécifique ; pour les destinations IaaS, l'accès au conteneur de stockage ou au « bucket » doit être strictement réservé aux administrateurs, conformément aux recommandations officielles de Versaen matière de mise en quarantaine.

En savoir plus sur la quarantaine

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous lisez des articles sur le confinement, voici quelques liens qui pourraient vous intéresser.