MyZapp surveille certains événements de sécurité et lève une alerte quand l'un d'eux se produit. Chaque alerte est conservée, et les administrateurs reçoivent une notification avec un lien vers l'écran des alertes.
Ce qui déclenche une alerte
Deux règles sont actives dès l'installation :
- Rafale d'échecs de connexion : 20 échecs ou plus en 5 minutes depuis une même adresse IP, quel que soit le compte visé. Une seule alerte par adresse pendant ces 5 minutes.
- Ajout dans un groupe privilégié : un compte est ajouté au groupe Administrateurs, à la main ou par une synchronisation.
D'autres règles peuvent être activées par l'exploitant de l'instance : dispense de double authentification accordée, double authentification d'un compte réinitialisée, exports en nombre par un même compte, défaut d'intégrité des journaux, échec d'export des ancres d'audit, absence de clé de chiffrement au démarrage, retard de l'envoi au SIEM. Les seuils, les groupes privilégiés et le groupe prévenu se règlent aussi dans la configuration du serveur.
Une alerte ne contient jamais de mot de passe, de code ni de contenu : seulement la règle, la date, les comptes, groupes ou adresses concernés et des compteurs.
Examiner et acquitter
L'écran Alertes de sécurité est dans le menu Administration › Instance et exploitation › Audit. Il est réservé aux Administrateurs par défaut.
Il affiche d'abord les alertes À examiner ; le filtre Toutes montre aussi celles déjà acquittées. Pour chaque alerte : la date, la règle, la gravité (Information, Avertissement ou Critique), le module d'origine et les détails.
Une fois l'alerte examinée, saisissez dans le champ Ce qui a été fait ce que vous avez constaté ou décidé (par exemple « adresse bloquée au pare-feu » ou « ajout prévu, demandé par la direction »), puis cliquez sur Acquitter. Le commentaire est obligatoire. L'acquittement, avec sa date, son auteur et son commentaire, reste affiché et ne peut plus être modifié.