Problème
Dans Cato, il existe deux types de quotas : l'un concerne les événements, tandis que l'autre concerne les alertes. La limite par défaut varie en fonction de la licence DPA que le client possède.
Pour un client avec une licence DPA 2021, le seuil par défaut pour la génération d'événements est de 2,5 millions d'événements par heure, par sous-type.
Sur le DPA 23, le seuil est déterminé par le nombre d'unités de données que le client acquiert lors du processus de renouvellement ou d'intégration. Spécifiquement, 1 unité de données équivaut à 2,5 millions d'événements par heure. (agrégation de tous les sous-types).
Note : Le taux de l'eventsFeed de l'API Cato n'est pas limité par le quota d'événements, mais suit plutôt différentes limites de vitesse d'API comme expliqué dans Understanding Cato API Rate Limiting
Pour les alertes, le plafond par défaut pour la génération d'alertes est fixé à 50 alertes par heure, par sous-type.
Pour savoir quelle licence DPA vous avez, allez à Administration > Licence
Par exemple. de DPA 2021
Par exemple. de DPA 2023
Pour plus d'informations, consultez Seuils et Limites de Cato Cloud.
Cet article vise à fournir des indications sur la manière de traiter les situations où vous avez reçu un e-mail vous informant qu'un quota d'événements et/ou de alertes a été dépassé.
Résolution des problèmes
Quota d'Événements Cato Dépassée
Lorsque le nombre d'Événements dépasse le quota maximum pour le Compte, Cato génère une Alerte par e-mail.
La capture d'écran suivante montre un exemple d'Alerte de message de quota d'Événements dépassé pour les événements de Pare-feu Internet:
Solution
Cato génère l'Alerte Quota d'Événements Dépassé lorsque le nombre d'Événements pour un type d'Événement spécifique dépasse les limites maximales pour les Événements par Heure. Pour plus d'informations sur les limites d'Événements, voir Seuils et Limites de Cato Cloud.
Événements WAN et Internet
Vous pouvez identifier la Règle WAN ou Internet qui génère le grand nombre d'Événements et désactiver l'option Suivi > Événement.
Pour identifier la règle de Pare-feu et désactiver l'option de suivi des Événements
Ouvrez l'application de gestion Cato et allez à Accueil > Événements.
Développez le champ Règle dans la section des Champs.
Localisez la règle de Pare-feu qui génère le grand nombre d'Événements.
La capture d'écran suivante montre un exemple de règle de Pare-feu (Autoriser tout le trafic sortant) qui a généré 5,6 millions d'Événements :
Allez à Sécurité > WAN ou Pare-feu Internet, localisez la règle (de l'étape précédente) et modifiez les paramètres de Suivi.
Désactiver l'option Événement pour cette règle.
Cliquez sur Appliquer puis cliquez sur Enregistrer.
Événements IPS
Si c'est le moteur IPS qui bloque le trafic attendu, tel que les analyses de vulnérabilité, générant un grand nombre d'Événements, vous pouvez autoriser la Source du trafic comme expliqué dans Autorisations des Signatures IPS
Pour identifier la Source IP et l'ajouter à la liste blanche:
Ouvrez l'application de gestion Cato et allez àAccueil > Événements.
Sélectionnez le préréglage IPS
Étendez le champ Source IP sous la section des Champs et sélectionnez l'Adresse IP avec le plus grand nombre d'Événements IPS.
Cliquez sur l'ID de Signature et configurez la liste blanche comme souhaité. Assurez-vous que le Suivi est désactivé.
Cliquez sur Appliquer
Quota d'Alertes Cato Dépassée
Un courriel sera envoyé à la liste de diffusion du client, sous Notification Générale, lorsque le nombre d'alertes générées par heure dépasse 50 pour le compte. Le client recevra un e-mail avec le sujet, "alertes Cato Quota Dépassée".
""Solution""
Déterminez pour quelle fonctionnalité de Cato l'e-mail de quota d'alertes dépassé a été généré. Par exemple, dans l'e-mail de Quota d'Alertes Dépassée ci-dessus, c'était pour des alertes IPS.
Connectez-vous à CMA pour vérifier l'authenticité de cette alerte
Allez à Accueil > Événements
Sous Sélectionner les Préréglages, sélectionnez l'IPS et personnalisez la période de temps en fonction du moment où l'e-mail a été reçu. Puisque le seuil pour générer l'email de Quota d'Alertes Dépassée est de 50 alertes par heure, personnalisez la période de temps, en commençant une heure avant que l'email ait été reçu.
Parcourez les événements pour déterminer la raison de l'alerte. Par exemple, dans la capture d'écran ci-dessous, on peut observer qu'il y avait plusieurs événements pour une éventuelle attaque, et elle provenait de la même source.
Examinez les événements et prenez les mesures nécessaires.
Si ces alertes s'avèrent être des faux positifs, contactez le Support Cato. Pour ouvrir un cas de Support, consultez Soumettre-un-Ticket-de-Support.
Si vous ne souhaitez pas être informé des Alerte similaires suivantes, vous pouvez aller à la règle ou fonction respective relative à cette Alerte, et désactiver la notification par e-mail.