Quand beaucoup de fichiers sont téléchargés d'un coup, c'est souvent ainsi que les données de l'entreprise sortent : un collaborateur qui emporte des fichiers avant de partir, ou un attaquant qui utilise son compte. La règle Sonar « Suspicious downloads » surveille les téléchargements sur Google Drive, SharePoint et OneDrive. Elle repère les journées inhabituelles pour chaque collaborateur et demande d'abord à l'intéressé, puis à son manager, de les expliquer. Seuls les cas qui restent sans explication arrivent jusqu'à vous.
👍 Bon à savoir : la règle est disponible pour tous les clients Sonar. Elle nécessite que votre workspace soit passé sur les Cyber Missions. Voir Les règles Sonar pour comprendre le système de règles.
1️⃣ Comment fonctionne la règle
👉 1. Riot surveille les téléchargements
Riot observe les téléchargements de fichiers sur Google Drive, SharePoint et OneDrive.
👉 2. Le collaborateur explique
Quand une activité inhabituelle est détectée, le collaborateur est interrogé tout de suite : c'est bien lui qui a téléchargé ces fichiers ?
👉 3. Le manager valide
Son manager indique si ce téléchargement correspond à son travail.
👉 4. Les administrateurs traitent le reste
Tout ce qui reste inexpliqué remonte aux administrateurs. La plupart des téléchargements s'expliquent en un clic côté collaborateur et manager : seuls les cas douteux arrivent jusqu'à l'équipe sécurité.
2️⃣ Comment Riot juge qu'un téléchargement est inhabituel
Riot ne s'appuie pas sur une limite identique pour toute l'entreprise. Deux critères se combinent :
Un seuil par collaborateur : une journée de téléchargements est comparée aux habitudes de cette même personne sur les 60 derniers jours ;
Le contenu téléchargé : fichiers sensibles, horaires de nuit, nombreux drives partagés.
Une journée chargée mais sans rien d'inhabituel dans ce qui est téléchargé ne déclenche rien.
3️⃣ Activer la règle
💡 Pré-requis : être connecté à hub.tryriot.com avec un compte disposant d'un accès Administrateur à Sonar.
👉 Étape 1 : connectez-vous à hub.tryriot.com avec votre compte Administrateur.
👉 Étape 2 : ouvrez le module Sonar -> Rules, puis la liste des règles.
👉 Étape 3 : cliquez sur la règle « Suspicious downloads » et activez-la.
4️⃣ Suivre les téléchargements
Un nouvel onglet Downloads dans l'Explorer de Sonar affiche l'activité de téléchargement.
5️⃣ L'expérience côté collaborateur et manager
Le collaborateur est sollicité immédiatement, sans attendre une mission ou le début du mois : une activité inhabituelle déclenche la question dans la foulée.
Il indique s'il est à l'origine du téléchargement.
Son manager dit ensuite si ce téléchargement correspond à son travail.
Ce qui n'est pas expliqué remonte aux administrateurs.
👍 Bon à savoir : c'est une particularité de cette règle. Pour la plupart des autres règles Sonar, les tâches sont regroupées en début de mois (voir Les règles Sonar).
6️⃣ Questions fréquentes
👉 Une grosse journée de travail va-t-elle déclencher une alerte ?
Non, pas à elle seule. Le seuil est propre à chaque collaborateur, et Riot regarde aussi ce qui a été téléchargé : fichiers sensibles, horaires de nuit, nombreux drives partagés. Une journée chargée mais sans rien d'inhabituel ne déclenche rien.
👉 Qui voit les cas qui remontent ?
Le collaborateur répond d'abord, puis son manager. Les cas qui restent inexpliqués arrivent aux administrateurs, qui suivent l'activité dans l'onglet Downloads de l'Explorer.
👉 Je ne vois pas la règle dans Sonar. Pourquoi ?
La règle nécessite que votre workspace soit passé sur les Cyber Missions.
À retenir
La règle « Suspicious downloads » surveille les téléchargements sur Google Drive, SharePoint et OneDrive.
Le seuil est calculé pour chaque collaborateur, d'après ses habitudes des 60 derniers jours, et tient compte de ce qui est téléchargé.
Le collaborateur répond d'abord, puis son manager. Seuls les cas inexpliqués arrivent aux administrateurs.
Les administrateurs suivent l'activité dans l'onglet Downloads de l'Explorer.
La règle est disponible pour tous les clients Sonar et nécessite les Cyber Missions.