Playbooks

Présentation

Les playbooks relient un événement produit pris en charge à une réponse : ils appliquent les conditions que vous avez sélectionnées, puis exécutent l'action affichée dans l'éditeur. Ils se trouvent dans le module Sécurité ou Sensibilisation concerné et réutilisent les parcours existants des alertes, formations et communications.

Les déclencheurs, conditions et actions disponibles dépendent du module, de la source connectée et des fonctionnalités de cette source. Fiez-vous aux options affichées dans l'éditeur de playbooks pour votre organisation.

Ouvrir Playbooks

Connectez-vous au portail d'administration UE ou au portail d'administration États-Unis, puis ouvrez Sécurité, choisissez un module et sélectionnez Playbooks.

Pour une simulation de phishing, ouvrez plutôt Sensibilisation → Phishing → Playbooks.

Les playbooks sont actuellement disponibles dans :

• Data Protection
• Third-Party Apps
• Authentification
• Sécurité navigateur
• Phishing dans Sensibilisation, lorsque Phishing est disponible pour votre organisation

Il n'existe pas de page Playbooks globale distincte. Chaque module gère ses modèles de démarrage et ses processus configurés.

Fonctionnement d'un playbook

Déclencheur

Le déclencheur identifie l'événement produit évalué par le processus. Les familles actuelles de déclencheurs comprennent :

• La saisie d'identifiants sur la page d'une simulation de phishing
• Un objet partagé en externe dans Data Protection
• Une application tierce, une CVE ou une fuite de données détectée dans Third-Party Apps
• Un compte utilisant une méthode d'authentification incorrecte dans Authentification
• Des résultats de navigateur pris en charge, tels que la saisie d'informations sensibles, l'envoi d'un fichier sensible, une exfiltration potentielle de données ou l'accès à une application non autorisée

La source sélectionnée peut modifier les déclencheurs disponibles.

Conditions

Les conditions limitent le processus aux résultats pertinents. Selon le déclencheur et la source, l'éditeur peut proposer des conditions fondées sur les membres, les groupes, les dates des alertes, les attributs de partage ou de contenu des données, les attributs des applications ou les détails des résultats du navigateur.

Certaines conditions sont évaluées à la création d'un résultat ; les conditions basées sur une date peuvent être évaluées ultérieurement. Un processus agit uniquement lorsque ses conditions configurées sont remplies.

Action

L'éditeur propose uniquement les actions prises en charge pour le déclencheur et la source sélectionnés. Les types d'actions actuels comprennent :

• Distribuer l'alerte à l'utilisateur pour mettre une alerte prise en charge à la disposition de l'employé concerné
• Assigner une formation pour relier une détection prise en charge à une formation existante pour la personne concernée
• Notifier les administrateurs au moyen du canal de communication configuré pour l'organisation ou chaque utilisateur ; le processus peut cibler certains administrateurs lorsque cette option est disponible
• Traiter l'alerte pour une action sur les autorisations ou les comptes prise en charge par la source
• Bloquer l'envoi de données pour les résultats pris en charge liés à la saisie d'informations sensibles ou à l'envoi de fichiers
• Bloquer l'accès à la page pour les résultats pris en charge liés aux applications non autorisées

Certains processus de distribution d'alertes peuvent ajouter une action de traitement après un délai configurable. Vérifiez le délai exact et l'action qui modifie la source dans l'éditeur avant l'activation.

Assigner une formation après une détection

Utilisez Assigner une formation lorsque le déclencheur sélectionné le propose. Choisissez une formation existante de la bibliothèque ou une formation personnalisée, puis un délai de 1 à 365 jours ; la valeur par défaut est 14 jours. Les modèles relient la saisie d'identifiants dans une simulation de phishing, les partages externes de fichiers, les accès à des applications Google et les détections du navigateur pris en charge à une formation adaptée. Vérifiez la formation et les conditions proposées avant l'activation.

• Un playbook de formation contient une seule action. Conservez la distribution d'alertes, le traitement ou le blocage dans le navigateur dans un playbook distinct si vous avez besoin des deux réponses.
• Seules les nouvelles détections correspondantes après l'activation, la reprise ou une modification de l'action de formation peuvent attribuer la formation. Les alertes existantes ne sont pas rejouées. Le premier scan d'une source connectée ensuite compte comme de nouvelles détections : commencez avec un périmètre restreint.
• La personne doit être éligible à la formation. elba écarte une formation que la personne a déjà reçue (en attente, commencée ou terminée), et attribue au plus une formation issue des playbooks à chaque personne de votre organisation sur sept jours, tous playbooks confondus.
• Une formation que son programme prévoit seulement pour plus tard n'est pas écartée : elle est avancée. La personne la reçoit maintenant, avec le délai du playbook, et son programme ne la planifie plus. Ses autres formations prévues ne bougent pas à ce moment-là ; au prochain recalcul de son programme, celles qui la suivaient arrivent une période plus tôt. Consultez Formations.
• Cette attribution utilise l'expérience employé, les échéances et le suivi des achèvements existants. Elle ne réinitialise pas le programme récurrent et n'ajoute pas la formation à sa séquence. Les employés accèdent à leurs formations attribuées même si aucun programme récurrent n'est actif.
• Le message indique la formation, l'échéance et un lien. Il ne reprend pas les noms de fichiers ou d'applications, les prompts ni les autres détails sensibles de la détection.

Consultez les attributions et les résultats écartés dans l'historique des actions de playbooks du module lorsqu'il est disponible. Une attribution ou une notification mise en file d'attente ne prouve pas que l'employé a reçu ou terminé la formation. Consultez Formations pour le parcours employé et le suivi.

Comportement par module

Phishing

En tant que propriétaire ou administrateur d'organisation, ouvrez Sensibilisation → Phishing → Playbooks. Le modèle Sensibiliser après la saisie d'identifiants dans une simulation de phishing utilise le déclencheur Identifiants saisis dans une simulation de phishing, la formation existante Rappel phishing : les fausses pages de connexion et un délai de 14 jours. Vérifiez ou modifiez la formation et le délai avant l'activation. Vous pouvez limiter le périmètre par Membre ou Groupe.

Le déclencheur suit une saisie d'identifiants, et non l'ouverture d'un email ou le clic sur un lien. Choisissez une action :

• Assigner une formation ajoute la formation sélectionnée à la page Training existante de la personne, selon les règles d'éligibilité, de formation déjà couverte et de limite sur sept jours décrites plus haut. Le message explique la raison de l'attribution et utilise le canal Slack, Microsoft Teams, Google Chat ou email et la langue configurés pour la personne.
• Notifier les administrateurs informe tous les administrateurs ou ceux sélectionnés que la personne a saisi ses identifiants dans une simulation, via leurs canaux de communication configurés. Cette action n'assigne pas de formation. Pour les deux réponses, configurez deux playbooks avec le même déclencheur.

Un brouillon n'exécute aucune action. Une fois actif, le playbook suit les saisies correspondantes ; les saisies antérieures ne sont pas rejouées comme attributions de formation. Il n'existe actuellement aucune exclusion pour les campagnes de test : saisir des identifiants dans une simulation utilisée pour vos tests peut aussi déclencher un playbook actif.

Ce que voit l'employé

Après la saisie, la page de résultat de la simulation vérifie ce qui a suivi. Elle propose un lien vers la formation uniquement lorsque l'attribution est confirmée. Elle peut aussi indiquer que la personne possède déjà la formation, que la limite sur sept jours s'applique, que la formation choisie est indisponible ou que l'attribution a échoué. Tant que le résultat est en attente, elle vérifie pendant au plus une minute, puis indique que le traitement prend plus de temps. Si aucun playbook ne s'applique ou si la page ne peut pas vérifier la référence à la simulation, la page de résultat habituelle reste affichée.

La référence provient du lien de simulation : un lien transféré peut donc être traité comme celui du destinataire initial. Un outil automatisé qui soumet le formulaire et n'est pas reconnu comme scanner peut aussi être compté comme un échec. Une confirmation sur la page de résultat prouve une attribution, pas la réception du message ni l'achèvement de la formation.

Consultez l'historique des actions du playbook dans Phishing → Playbooks, puis utilisez le parcours existant de suivi des formations pour vérifier les achèvements.

Data Protection

Les playbooks Data Protection évaluent les alertes de partage externe détectées. Ils peuvent distribuer les alertes correspondantes aux employés et, pour les sources qui proposent la fonctionnalité requise, ajouter une action de traitement. Les conditions peuvent porter sur le partage, le contenu, le risque, l'ancienneté, le format, les tags, les membres, les groupes et l'état de l'alerte lorsque ces champs sont disponibles pour la source sélectionnée.

Pour Google Drive, un playbook ne peut pas supprimer sur un fichier un partage hérité d'un dossier parent. L'alerte reste ouverte : examinez le dossier source dans Google Drive. Pour les autorisations directes, Elba vérifie le résultat de la suppression et rouvre l'alerte si l'accès demeure ou si le résultat ne peut pas être confirmé.

Consultez Data Protection pour examiner les alertes, connaître les limites concernant les anciennes suppressions et découvrir les actions des employés.

Third-Party Apps

Les playbooks Third-Party Apps peuvent distribuer les alertes d’applications prises en charge. Si la surveillance des CVE ou des fuites est temporairement indisponible, l’action d’activation ou de reprise vous l’indique. Vous pouvez toujours consulter ou mettre en pause un playbook existant et modifier ses autres paramètres.

Consultez Examiner les CVE et les fuites de données pour les vulnérabilités et incidents. Les conditions relatives aux applications, éditeurs, réputations, autorisations, conformités, hébergements, IA, membres, groupes et alertes sont disponibles uniquement lorsque le déclencheur sélectionné les prend en charge.

Consultez Third-Party Apps pour en savoir plus sur l'inventaire et le processus de traitement des alertes.

Authentification

Les playbooks d'authentification peuvent distribuer les alertes prises en charge relatives à une méthode d'authentification incorrecte. Le processus configuré et la source d'identité connectée déterminent les comptes évalués et les actions disponibles pour les employés.

Consultez Revues des identités et des accès pour découvrir les processus associés de revue des comptes.

Sécurité navigateur

Les playbooks de Sécurité navigateur utilisent les résultats transmis par une extension de navigateur inscrite et une source de navigateur connectée. Selon le déclencheur, un processus peut bloquer une action ou une page prise en charge dans le navigateur, ou informer les administrateurs. Les conditions relatives aux membres, groupes, outils d'IA et niveaux de gravité de l'exfiltration sont disponibles pour les déclencheurs de navigateur concernés.

L'extension de navigateur met en cache les processus de blocage actifs pour l'utilisateur connecté. Un processus qui vient d'être activé ou modifié peut donc prendre effet après l'actualisation de la configuration de l'extension, et non au moment exact où l'administrateur l'enregistre.

Consultez Fonctionnalités de l'extension de navigateur pour connaître les contrôles et prérequis pris en charge.

Créer ou mettre à jour un playbook

1. Ouvrez l'onglet Playbooks du module concerné.
2. Choisissez un modèle de démarrage ou ouvrez un processus existant.
3. Vérifiez le déclencheur et, lorsque nécessaire, sélectionnez la source connectée.
4. Ajoutez uniquement les conditions nécessaires au périmètre prévu.
5. Vérifiez l'action, les destinataires et tout délai affiché dans l'éditeur.
6. Enregistrez le processus comme brouillon ou activez-le.
7. Revenez à la liste Playbooks du module pour vérifier son statut, puis utilisez l'historique des alertes ou des actions du module lorsqu'il est disponible.

Les processus configurés peuvent être Brouillon, Actif ou En pause. Une erreur de connexion à une source apparaît également dans la liste Playbooks, car elle peut empêcher le processus d'effectuer les tâches qui dépendent de la source.

Dans Sécurité navigateur, l'enregistrement ou l'activation d'un playbook actualise la liste et la bibliothèque de modèles. Si votre organisation possède déjà un playbook associé à un modèle, sélectionner ce modèle ouvre le playbook existant au lieu d'en créer une nouvelle copie. D'anciens doublons peuvent encore figurer dans la liste : supprimez uniquement les copies dont vous n'avez plus besoin.

Supprimer un playbook Navigateur devenu inutile

Les propriétaires et administrateurs d'organisation peuvent supprimer un brouillon ou un playbook en pause de leur organisation. Un playbook actif doit d'abord être mis en pause.

1. Ouvrez Sécurité → Navigateur → Playbooks.
2. Sélectionnez le playbook devenu inutile pour ouvrir son panneau de détails.
3. S'il est actif, sélectionnez Mettre en pause, puis confirmez avec Mettre le playbook en pause. Attendez que son statut soit En pause.
4. Sélectionnez Supprimer, lisez l'avertissement dans la boîte de dialogue, puis confirmez avec Supprimer.
5. Vérifiez que le playbook n'apparaît plus dans la liste.

La suppression du playbook est définitive. Elle n'annule pas les actions déjà effectuées. Si une erreur s'affiche, rechargez la liste et vérifiez l'état actuel du playbook avant de réessayer ; ne considérez pas la suppression comme terminée.

Déploiement sécurisé

1. Examinez des résultats représentatifs avant de créer une automatisation.
2. Commencez avec un périmètre restreint de membres, de groupes, de sources ou de risques.
3. Vérifiez les destinataires des notifications et les paramètres de communication des employés.
4. Testez les actions qui modifient une source ou bloquent un comportement avec un groupe contrôlé.
5. Examinez l'activité du processus et les alertes concernées avant d'étendre son périmètre.
6. Mettez le processus en pause si la source connectée change ou si les résultats s'écartent de la politique prévue.

La détection, l'envoi des notifications et le traitement dans la source dépendent des services connectés et de leur état actuel. En cas d'incident urgent, vérifiez le résultat dans le système source plutôt que de vous fier à un playbook comme unique moyen de réponse.