Créer et gérer des règles PhishER

Dans votre console PhishER, les règles sont des expressions logiques qui vous permettent de classer automatiquement les messages dans votre boîte de réception PhishER, et de les étiqueter. Les étiquettes attribuées déclenchent l’exécution par PhishER d’actions sur les messages. Vous pouvez créer des règles à partir de l’onglet Règles (Rules). Si vous souhaitez créer une action, consultez notre article Comment créer et gérer des actions PhishER.

L’onglet Règles (Rules) comprend deux types de règles : les règles personnalisées et les règles système. Les règles personnalisées sont celles que vous pouvez créer à l’aide de l’éditeur de règles YARA. Les règles système sont les règles par défaut fournies par KnowBe4. L’onglet Règles (Rules) contient également des variables globales. Il s’agit de variables que vous pouvez créer et utiliser dans plusieurs règles avec les mêmes chaînes. Lors de la mise à jour d’une variable globale, l’ensemble des règles utilisant ces chaînes sont mises à jour.

Création de règles

Vous pouvez créer des règles personnalisées dans votre console PhishER pour classer les messages qui ont été transférés dans votre boîte de réception PhishER. Pour créer vos règles, vous pouvez utiliser l’éditeur de base ou l’éditeur avancé. Toutes les règles personnalisées doivent respecter la logique YARA (Yet Another Recursive/Ridiculous Acronym, encore un autre acronyme récursif/ridicule). YARA est un outil qui sert à identifier et classer des échantillons de maliciels.

Pour créer une règle, suivez les étapes suivantes :

1. Connectez-vous à votre console PhishER.
2. Dans la barre latérale gauche de la page, sélectionnez l’onglet Règles (Rules) pour ouvrir la page Liste de règles (Rules List).

3. Cliquez sur le bouton Nouvelle règle (New Rule) situé dans le coin supérieur droit de la page pour ouvrir la page des Détails de la règle (Rule Details).

   Remarque :Si vous souhaitez que PhishER génère automatiquement une règle basée sur une description de vos besoins, consultez la section Création de règles avec le générateur de règles YARA.

   

4. Dans le champ Nom (Name), saisissez un nom unique pour votre règle. Nous vous recommandons d’utiliser un nom qui décrit brièvement la fonction de la règle. Le nom ne doit pas commencer par une valeur numérique, ni dépasser une longueur de 64 caractères, ni comprendre aucun des mots clés énumérés dans la documentation YARA Écriture des règles YARA.
5. (Facultatif) Saisissez une description de votre règle dans le champ Description. En guise de bonne pratique, nous vous recommandons d’entrer une description de la fonction prévue de la règle. La description ne doit pas dépasser 64 caractères.
6. Dans la section Modification des étiquettes (Edit Tags), ajoutez une étiquette personnalisée que vous souhaitez attribuer au message lorsque celui-ci correspond à cette règle en particulier. Pour ajouter une étiquette, cliquez sur Ajouter une nouvelle étiquette (Add new tag) et saisissez un nom pour cette étiquette. Puis, cliquez à l’extérieur du champ Ajouter une nouvelle étiquette pour créer la nouvelle étiquette.
7. Dans le menu déroulant Choisir la cible (Choose target), sélectionnez la partie du message sur laquelle la règle doit s’appliquer ou s’exécuter. Les cibles proposées sont Brut (Raw), En-têtes (Headers), Corps (Body) et Pièces jointes (Attachments). Par défaut, la valeur « Raw » est sélectionnée.
8. Dans la section Éditeur de règles YARA (YARA Rule Editor), utilisez l’éditeur de base ou l’éditeur avancé pour écrire votre règle. Pour plus d’informations, consultez les sous-sections ci-dessous.

Création de règles avec l’éditeur de base

L’éditeur de base permet de créer une règle personnalisée sans avoir à écrire toute la logique d’une règle YARA. Vous pouvez entrer les valeurs des strings (chaînes) et sélectionner les conditions de votre règle et l’éditeur de base traitera vos informations pour créer la logique correspondant à votre règle. Pour apprendre comment créer une règle dans l’onglet Éditeur de base (Basic Editor), consultez la saisie d’écran et les indications ci-dessous.

1. Éditeur de base (Basic Editor) : Sélectionnez cet onglet pour afficher les options disponibles pour créer une règle.
2. Créer des chaînes (Create Strings) : Créez et définissez des chaînes à utiliser lors de la création de vos conditions. Pour plus d’informations, consultez notre article Comment puis-je créer des chaînes et des conditions dans l’éditeur de base?
3. Nouvelle chaîne (New String) : Cliquez sur ce bouton pour ajouter une chaîne à la règle. Vous pouvez créer jusqu’à cinq chaînes par règle.
4. Créer des conditions (Create Conditions) : Créez des conditions en sélectionnant la manière dont les chaînes définies doivent être liées les unes aux autres. Les conditions vous permettent de préciser quels messages la règle doit affecter. Pour plus d’informations, consultez notre article Comment puis-je créer des chaînes et des conditions dans l’éditeur de base? Vous pouvez sélectionner l’une des options suivantes :
   • Correspond à n’importe laquelle des chaînes définies (Match any of the defined strings) : Sélectionnez cette option pour détecter les messages qui correspondent à n’importe laquelle des chaînes que vous avez définies.
   • Correspond à toutes les chaînes définies (Match all of the defined strings) : Sélectionnez cette option pour détecter les messages qui correspondent à toutes les chaînes que vous avez définies.
   • Conditions personnalisées (Custom conditions) : Sélectionnez cette option pour détecter les messages qui correspondent à vos conditions personnalisées.
5. Nouveau groupe de conditions (New Condition Group) : Lorsque l’option Nouveau groupe de conditions est sélectionnée, vous pouvez cliquer sur ce bouton pour créer des conditions personnalisées auxquelles les messages doivent répondre pour être affectés par la règle.

6. Enregistrer la règle (Save Rule) : Cliquez sur ce bouton pour enregistrer votre règle. Votre règle s’affichera dans la page Liste de règles (Rules List), dans le sous-onglet Règles personnalisées (Custom Rules). Après avoir enregistré votre règle, vous pouvez l’activer en activant le commutateur situé dans la colonne Statut (Status) de la règle. Puis, cliquez sur le bouton Appliquer les modifications (Apply Changes) situé dans le coin supérieur droit de la page.

   

7. Appliquer la règle à la boîte de réception (Apply Rule to Inbox) : Cliquez sur ce bouton pour exécuter votre règle sur l’ensemble des messages de votre boîte de réception. Au moins un message doit correspondre à votre règle et aux critères de la règle d’aperçu pour que cette option soit disponible.

Création de règles avec l’éditeur avancé

L’éditeur avancé vous permet d’écrire la logique de votre règle YARA sans accompagnement. Si vous modifiez une règle avec l’éditeur avancé, l’éditeur de base sera désactivé pour cette règle. Pour en savoir plus au sujet de l’écriture de règles avec la logique YARA, consultez notre article Comment écrire les règles YARA. Pour apprendre comment créer une règle dans l’onglet Éditeur avancé (Advanced Editor), consultez la saisie d’écran et les indications ci-dessous.

1. Éditeur avancé (Advanced Editor) : Sélectionnez cet onglet pour afficher la section du bloc de code dans lequel vous pouvez écrire une règle à l’aide de la logique de règle YARA.

2. Enregistrer la règle (Save Rule) : Cliquez sur ce bouton pour enregistrer votre règle. Votre règle apparaîtra sur la page Liste de règles (Rules List), dans le sous-onglet Règles personnalisées (Custom Rules). Après avoir enregistré votre règle, vous pouvez l’activer en activant le commutateur situé dans la colonne Statut (Status) de la règle. Puis, cliquez sur le bouton Appliquer les modifications (Apply Changes) situé dans le coin supérieur droit de la page.

   

3. Appliquer la règle à la boîte de réception (Apply Rule to Inbox) : Cliquez sur ce bouton pour exécuter votre règle sur l’ensemble des messages de la Boîte de réception (Inbox). Au moins un message doit correspondre à votre règle et aux critères de la règle d’aperçu pour que cette option soit disponible.

Création de règles avec le générateur de règles YARA

Le générateur de règles YARA vous permet de créer une règle personnalisée en décrivant ce que vous souhaitez obtenir. Vous pouvez saisir les critères de détection de votre règle et le générateur de règles YARA traitera vos informations pour créer la logique correspondant à votre règle. Pour apprendre comment créer une règle à l’aide de l’onglet Générateur de règles YARA (YARA Rule Generator), procédez comme suit :

Pour créer une règle, suivez les étapes suivantes :

1. Connectez-vous à votre console PhishER.
2. Dans la barre latérale gauche de la page, sélectionnez l’onglet Règles (Rules) pour ouvrir la page Liste de règles (Rules List).

3. Cliquez sur le bouton Nouvelle règle d’IA (New AI Rule) situé dans le coin supérieur droit de la page pour ouvrir la page Détails de la règle (Rule Details).

   

4. Dans le champ Décrire vos exigences de détection (Describe your detection requirements), saisissez une description de la règle que vous souhaitez créer.

   

5. Cliquez sur Générer la règle (Generate Rule). Le générateur de règles YARA convertira vos critères de détection en une règle PhishER avec un nom, une description, une étiquette et une syntaxe YARA complète.

   

6. Vous pouvez modifier la règle générée selon vos besoins. Cliquez ensuite sur Enregistrer la règle (Save Rule) pour enregistrer la règle.

Aperçu des règles

Avant d’enregistrer une nouvelle règle, nous vous recommandons d’en afficher un aperçu pour voir de quelle manière elle affecte vos messages PhishER. Pour afficher l’aperçu d’une règle, suivez les étapes ci-dessous.

1. Connectez-vous à votre console PhishER.
2. Dans la barre latérale gauche de la page, sélectionnez l’onglet Règles (Rules) pour ouvrir la page Liste de règles (Rules List).
3. Cliquez sur le bouton Nouvelle règle (New Rule) situé dans le coin supérieur droit de la page, ou sélectionnez une règle sur la page Liste de règles. Lorsque vous cliquez sur le bouton Nouvelle règle, la page Détails de la règle (Rule Details) s’ouvre.
4. Écrivez ou modifiez votre règle YARA dans la section Éditeur de règles YARA (YARA Rule Editor).

5. Avant d’enregistrer votre règle, cliquez sur le bouton Exécuter l’aperçu (Run Preview). Une liste s’affiche alors, énumérant tous les messages de votre boîte de réception qui correspondent à votre règle.

   Remarque :PhishER ne vérifie que les 1 000 derniers messages pour trouver une correspondance et l’afficher dans l’aperçu. Si un message qui correspond à la règle ne fait pas partie des 1 000 derniers messages, il n’apparaîtra pas dans l’aperçu.
6. Vous pouvez mettre à jour la liste d’aperçu en modifiant les options de critères suivants :
   • Requête enregistrée (Saved Query) (facultatif) : Choisissez une Saved Query pour voir de quelle manière la règle affecte les messages correspondant à cette requête.
   • 7 derniers jours (Last 7 days) : Sélectionnez la période pour laquelle vous souhaitez obtenir un aperçu des messages. Les périodes disponibles sont les suivantes : 24 dernières heures (Last 24 hours), 7 derniers jours (Last 7 days) et 30 derniers jours (Last 30 days). Par défaut, la période 7 derniers jours est sélectionnée.
   • Messages correspondants (Matched Messages) : Lorsque vous affichez l’aperçu d’une règle, des options supplémentaires s’affichent pour vous permettre de filtrer les messages de la liste d’aperçu.
   • Messages correspondants (par défaut) : Sélectionnez cette option pour afficher uniquement les messages de votre boîte de réception PhishER qui correspondent à la condition de la règle.
   • Messages non correspondants (Unmatched Messages) : Sélectionnez cette option pour afficher uniquement les messages de votre Boîte de réception PhishER qui ne correspondent pas à la condition de la règle.

   • Tous les messages (All Messages) : Sélectionnez cette option pour afficher tous les messages de votre Boîte de réception PhishER. La colonne Correspond (Matched) indiquera si le message correspond (true) ou non (false) à la règle.

     

     Remarque :si vous souhaitez ouvrir un message affiché dans la liste d’aperçu, nous recommandons d’ouvrir le message dans un nouvel onglet pour éviter de perdre votre nouvelle règle.

   • (Facultatif) Si vous souhaitez exécuter cette règle sur l’ensemble des messages de la liste d’aperçu, cliquez sur le bouton Appliquer la règle aux correspondances actuelles (Apply Rule to Current Matches).

     

Modification des règles

Pour modifier une règle personnalisée, cliquez sur le Nom (Name) ou la Description de la règle dans la page Liste de règles (Rules List) pour ouvrir la page Détails de la règle (Rule Details). Si vous souhaitez modifier une règle système, vous devez d’abord créer une nouvelle règle. Puis copier et coller la logique de la règle système dans l’éditeur de règles YARA de la règle personnalisée. Pour en savoir plus sur les règles du système, veuillez consulter la section Utilisation des règles du système de cet article.

Utilisation des variables globales

Dans le sous-onglet Variables globales (Global Variables) de la page Liste de règles (Rules List), vous pouvez créer des variables globales ou afficher les variables globales que vous avez déjà créées. Si vous utilisez de multiples règles utilisant les mêmes chaînes, vous pouvez utiliser des variables globales pour mettre à jour ces chaînes toutes à la fois.

Vous pouvez inclure des variables globales dans votre règle à l’aide de l’éditeur de base ou de l’éditeur avancé, en créant des chaînes contenant ces variables globales. Si vous modifiez une variable globale, la règle se mettra à jour automatiquement dans toutes les règles utilisant cette variable globale.

Pour créer une variable globale, suivez les étapes suivantes :

1. Connectez-vous à votre console PhishER.
2. Dans la barre latérale gauche de la page, sélectionnez l’onglet Règles (Rules) pour ouvrir la page Liste de règles (Rules List).

3. Accédez au sous-onglet Variables globales.

   

4. Cliquez sur le bouton Nouvelle variable (New Variable) situé dans le coin supérieur droit de la page. Lorsque vous cliquez sur ce bouton, la page Créer une variable globale (Create Global Variable) s’ouvre.

5. Dans le champ Nom (Name), saisissez le nom de la variable globale.

   

6. Dans le champ Valeur (Value), saisissez la valeur de la variable globale.

   Remarque :Les variables globales doivent répondre aux mêmes exigences que les autres variables et les chaînes. La valeur ne doit pas commencer par une valeur numérique, ni dépasser une longueur de 255 caractères, ni correspondre à aucun des mots clés énumérés dans la documentation YARA Écriture des règles YARA.
7. Cliquez sur Enregistrer (Save) pour enregistrer votre variable globale. La variable globale apparaîtra dans la page Liste de règles (Rules List), dans le sous-onglet Variables globales (Global Variables).

Dans la page Liste de règles, vous pouvez consulter l’information concernant la variable globale, comme les dates de création et de dernière mise à jour de la variable. Vous pouvez également modifier la valeur d’une variable globale en cliquant sur son nom pour ouvrir la fenêtre Modifier la variable globale (Edit Global Variable). Le nom d’une variable globale existante ne peut être modifié. Si vous souhaitez supprimer une variable globale, cliquez sur l’icône de poubelle.

Pour apprendre comment créer une règle utilisant des variables globales, consultez notre article Comment puis-je créer des chaînes et des conditions dans l’éditeur de base de règles YARA?

Utilisation des règles système

Votre console PhishER propose des règles du système pour vous aider à classer et à ajouter des étiquettes à vos messages. Depuis le sous-onglet Règles du système (System Rules) de la page Liste de règles (Rules List), vous pouvez activer ces règles pour votre console PhishER. Par défaut, les règles du système sont désactivées.

Pour plus d’informations sur les règles du système, veuillez consulter la capture d’écran et la liste ci-dessous :

Étiquettes QR Code Decoder

Le décodeur de code QR est une fonctionnalité PhishER qui s’exécute en arrière-plan de votre console et qui analyse systématiquement les courriels signalés pour y détecter des codes QR. Lorsque le QR Code Decoder détecte un code QR dans le corps d’un message, il extrait l’URL intégrée dans le code QR et assigne une étiquette au message. L’URL extraite sera affichée dans l’onglet Domaines et URL de la page Détails du message de votre boîte de réception PhishER. Pour plus d’informations au sujet des étiquettes du QR Code Decoder, consultez la liste ci-dessous :

Affichage de la liste de règles

La Liste de règles (Rules List) affiche toutes vos règles et variables globales. Pour en apprendre davantage au sujet de la page Liste de règles, consultez la capture d’écran et les indications ci-dessous.

1. Nom (Name) : Cette colonne affiche le nom attribué à la règle.
2. Description : Cette colonne affiche la description de la règle.
3. Cible de la règle (Rule Target) : Cette colonne affiche la partie d’un message sur laquelle s’applique la règle. Par exemple, la cible de la règle pourrait être l’en-tête du courriel.

4. Statut (Status) : Cette colonne affiche le statut actuel de la règle. Une règle peut être active ou inactive. Pour modifier le statut de la règle, activez ou désactivez le commutateur.

   Remarque :Afin qu’elle s’applique aux messages de votre boîte de réception PhishER, une règle doit être active.
5. Mise à jour le (Updated At) : Cette colonne affiche la date et l’heure de la dernière mise à jour de la règle.
6. Nombre de correspondances (Matched Count) : Cette colonne affiche le nombre de fois où la règle a correspondu à un message de votre boîte de réception PhishER.
7. Étiquettes (Tags) : Cette colonne affiche toutes les étiquettes associées à un message. Des étiquettes ne sont associées à un message que lorsque le message correspond à la règle.
8. Filtrer par statut (Filter by Status) : Cliquez sur ce menu déroulant pour sélectionner un filtre permettant d’afficher les règles actives ou inactives.