Lorsque vous générez des recommandations Cisco, le système recherche dans votre politique de base des règles qui protègent contre les vulnérabilités associées à vos actifs de réseau et identifie l’état actuel des règles de votre politique de base. Le système recommande ensuite des états de règles et, si vous le souhaitez, définit les règles sur les états recommandés.

Le système effectue l’analyse de base suivante pour générer des recommandations :

Notez les éléments suivants dans le tableau :

• Si une règle est désactivée dans la politique de base ou définie sur Générer des événements, l’état recommandé est toujours Générer des événements.

  Par exemple, si la politique de base est Aucune règle active, dans laquelle toutes les règles sont désactivées, il n’y aura aucune recommandation d’abandon et de génération d’événements.

• Les recommandations de suppression et de génération d’événements ne sont formulées que pour les règles déjà définies comme Abandon et génération d’événements dans la politique de base.

  Si vous souhaitez qu’une règle soit définie comme Supprimer et Générer des événements et que la règle a été désactivée ou définie comme Générer des événements dans la politique de base, vous devez réinitialiser manuellement l’état de la règle.

Lorsque vous générez des recommandations sans modifier les paramètres avancés pour les règles recommandées par Cisco, le système recommande des modifications d’état des règles pour tous les hôtes de l’ensemble de votre réseau découvert.

Par défaut, le système génère des recommandations uniquement pour les règles avec un surdébit faible ou moyen, et génère des recommandations pour désactiver les règles.

Le système ne recommande pas d’état de règle pour une règle de prévention des intrusions qui repose sur une vulnérabilité que vous désactivez à l’aide de la fonction de qualification de l’impact.

Le système vous recommande toujours d’activer une règle locale associée à une vulnérabilité tierce mappée à un hôte.

Le système ne fait pas de recommandations d’état pour les règles locales non mappées.

Inclure toutes les différences entre les recommandations et les états des règles dans les rapports de stratégie

Par défaut, un rapport de politique de prévention des intrusions répertorie les règles activées de la politique, c’est-à-dire les règles définies pour générer des événements ou pour supprimer et générer des événements. L’activation de l’option Inclure toutes les différences répertorie également les règles dont les états recommandés différent de leurs états enregistrés. Pour en savoir plus sur les rapports sur les politiques, consultez À propos du déploiement de la configuration.

Réseaux à examiner

Spécifie les réseaux surveillés ou les hôtes individuels à examiner pour les recommandations. Vous pouvez spécifier une adresse IP unique, ou un bloc d’adresses, ou une liste séparée par des virgules composée de l’un ou des deux.

Les listes d'adresses à l'intérieur des hôtes que vous spécifiez sont reliées par une opération OU, à l'exception des négations, qui sont reliées par une opération ET après que toutes les opérations OU ont été calculées.

Si vous souhaitez adapter dynamiquement le traitement actif des règles pour des paquets spécifiques en fonction des informations sur l’hôte, vous pouvez également activer Mises à niveau des profils adaptatifs.

Seuil de recommandation (par surdébit de règle)

Empêche le système de recommander ou d’activer automatiquement des règles de prévention des intrusions avec un surdébit plus élevé que le seuil que vous choisissez.

Le surdébit est basé sur l’impact potentiel de la règle sur les performances du système et sur la probabilité que la règle génère de faux positifs. L’autorisation de règles avec un surdébit plus élevé entraîne généralement plus de recommandations, mais peut affecter les performances du système. Vous pouvez afficher l’évaluation de surdébit d’une règle dans la vue détaillée de la règle sur la page des règles de prévention des intrusions.

Notez que le système ne prend pas en compte le surdébit des règles dans les recommandations pour désactiver les règles. En outre, les règles locales sont considérées comme sans surdébit, sauf si elles sont mappées à une vulnérabilité tierce.

La génération de recommandations pour les règles avec le taux de surdébit à un paramètre particulier ne vous empêche pas de générer des recommandations avec un surdébit différent, puis de générer à nouveau des recommandations pour le paramètre de surdébit d’origine. Vous obtenez les mêmes recommandations d’état de règles pour chaque paramètre de surdébit chaque fois que vous générez des recommandations pour le même ensemble de règles, quel que soit le nombre de fois que vous générez des recommandations ou le nombre de paramètres de surdébit différents avec lesquels vous générez. Par exemple, vous pouvez générer des recommandations avec un surdébit défini à moyen, puis à élevé, puis à nouveau à moyen; Si les hôtes et les applications de votre réseau n’ont pas changé, les deux ensembles de recommandations avec un surdébit défini à moyen sont les mêmes pour cet ensemble de règles.

Accepter les recommandations pour désactiver les règles

Spécifie si le système désactive les règles de prévention des intrusions en fonction des recommandations de Cisco.

L’acceptation des recommandations pour désactiver les règles restreint la couverture de vos règles. L’omission des recommandations pour désactiver les règles augmente votre couverture de règles.