Alerts

alert grupuje sygnały, abyście mogli wspólnie badać powiązane działania.

Jak tworzone są alerty?

Lakewatch automatycznie tworzy alerty i nie możesz ich tworzyć ręcznie. Gdy reguła wykrywania się uruchamia, Lakewatch grupuje powiązane sygnały w jeden alert poprzez grupowanie sygnałów , zamiast otwierać nowy alert dla każdego sygnału. Nowy sygnał dołącza się do istniejącego alertu, gdy spełnione są wszystkie następujące warunki:

• Sygnał ma ten sam identyfikator reguły, wersję reguły i podsumowanie co sygnał, który otworzył istniejący alert.
• Istniejący alert został otwarty w oknie agregacji, które określa, jak długo alert pozostaje otwarty, aby zebrać pasujące sygnały. Okno agregacji domyślnie wynosi 1 godzinę i można je konfigurować dla każdego katalogu w Ustawieniach.
• Istniejący alert nadal znajduje się w stanie Otwarty lub W toku.

Lakewatch tworzy nowy alert, gdy nie istnieje pasujący alert, ostatni pasujący alert został otwarty przed oknem grupowania lub gdy pasujący alert zostanie rozwiązany lub oznaczony jako duplikat.

Kryteria grupowania (identyfikator reguły, wersja reguły i podsumowanie) nie da się dostosować, ale można zmienić okno sortowania w poszczególnych katalogach. Grupowanie sygnałów jest odrębne od deduplikacji sygnałów, która przebiega wcześniej: deduplikacja usuwa identyczne sygnały w momencie ich powstania, a grupowanie organizuje pozostałe sygnały w alerty.

# Too specific: {time} differs on every event, so every failed login opens its own alert
summary: "Failed login by {actor.user.name} at {time}"

# Better: all of a user's failed logins render the same summary and group into one alert
summary: "Failed login by {actor.user.name}"

Limit alertów dla głośnych reguł

Każda wersja reguły wykrywania może otworzyć maksymalnie 1 000 nowych alertów w kroczącym 24-godzinnym oknie. Nie ma ograniczenia co do liczby sygnałów, jakie może wygenerować reguła.

Gdy wersja reguły osiągnie limit, Lakewatch przestaje otwierać nowe alerty dla niej i zamiast tego grupuje wszystkie dalsze sygnały z tej wersji reguły w jeden alert nadmiarowy z podsumowaniem „Wykryto zbyt wiele zdarzeń dla reguły [ID reguły]”, więc reguła generująca nadmierną liczbę alertów nie może zalać listy alertów. Alert przepełnienia jest zwykłym alertem: pojawia się na liście alertów z poziomem ważności odziedziczonym z reguły, a możesz go przypisywać, komentować i rozwiązywać jak każdy inny alert. Alert o przepełnieniu ma stałe okno zbiorcze wynoszące 24 godziny: gdy wersja reguły przekracza swój limit, nowe sygnały dołączają do istniejącego otwartego alertu o przepełnieniu z ostatnich 24 godzin, jeśli taki istnieje, a w przeciwnym razie otwierają nowy alert o przepełnieniu.

Normalne tworzenie alertów wznawia się automatycznie, gdy 24-godzinna liczba alertów w wersji reguły spadnie poniżej limitu. Ponieważ limit jest śledzony dla każdej wersji reguły, aktualizacja reguły (na przykład dostrojenie zapytania tak, by generowało mniej odrębnych sygnałów) również rozpoczyna nowe liczenie.

Praca z alertami

Aby zarządzać alertami, przejdź do Alerty. Na liście alertów możesz:

• Wyszukaj i filtruj: Wyszukaj alerty według ID alertu lub opisu alertu. Filtruj według stanu (Aktywny, W trakcie trwania, Rozwiązany, Duplikat, Nieokreślony), poważności, osoby przypisanej, reguły wykrywania oraz daty utworzenia. Wybrane opcje wyszukiwania i filtrowania są zachowywane podczas nawigacji w Lakewatch, a aktywny stan filtra jest odzwierciedlany w adresie URL. Skopiuj URL, aby udostępnić lub dodać do zakładek filtrowany widok.
• Zobacz listę: Zobacz wszystkie alerty w aktualnym katalogu, do których masz dostęp. Lista wyświetla kolumny dotyczące nasilenia, stanu, liczby sygnałów, osoby przydzielonej oraz znaczników czasu. Kolumny są sortowalne i można zmieniać ich rozmiar.
• Działania masowe: Wybierz jedno lub więcej alertów z listy, aby wykonać aktualizacje masowe, ograniczone do 25 alertów na operację.
• Otwórz szczegóły: Kliknij identyfikator alertu, aby otworzyć stronę szczegółów alertu, gdzie możesz zobaczyć sygnały i edytować atrybuty.

Szczegóły alertu

Kliknij identyfikator alertu, aby otworzyć stronę ze szczegółami alertu. Strona jest podzielona na dwie zakładki:

• Przegląd: Wyświetla opis i komentarze. Komentarze wspierają składnię Markdown.
• Sygnały: Lista sygnałów grupowanych w tym alercie.

Ze strony szczegółów alertu możesz także:

• Kliknij identyfikator sygnału, aby zobaczyć jego szczegóły, w tym regułę użytą do jego wygenerowania.
• Użyj panelu Genie, aby zbadać alert: „Podsumuj ten alert”, „Przeprowadź triage tego alertu” lub zapytaj „Co mogę zrobić z tym alertem?”.

Atrybuty alertów

Każdy alert posiada następujące edytowalne atrybuty:

• Przypisany: Użytkownik odpowiedzialny za dochodzenie. Domyślnie jest ustawione na "Nieprzypisane".
• Stan: Otwarty, W trakcie trwania, Złagodzony, Rozwiązany, Zduplikowany lub Nieokreślony.
• Poziom ważności: Odziedziczona z reguły wykrywania związanej z pierwszym sygnałem powiązanym z alertem. Możesz ręcznie zmienić poziom ważności w dowolnym momencie.
• Klasyfikacja: Wskazuje, czy aktywność uchwycona w alertie stanowi realne zagrożenie. Wybierz Fałszywy alarm, Nieszkodliwy wynik lub Prawdziwe zagrożenie (lub Nieokreślony, jeśli jeszcze nie został sklasyfikowany).

Każde powiadomienie ma również następujące atrybuty tylko do odczytu:

• Alert ID (seq_id): unikalny identyfikator generowany przez system, wyświetlany jako Alert <uuid> i SEC-<number>. Skopiuj to przyciskiem "Kopiuj ID".
• Tytuł alertu: Podsumowanie alertu wygenerowane przez system. Niemutowalny; nie można modyfikować. Na podstawie szablonu podsumowania reguły wykrywania.
• Opis: Tekst dokumentujący alert, wyświetlany na zakładce Przegląd .
• Permalink: Stabilny odnośnik do alertu (seq_id). Skopiuj to przyciskiem „Kopiuj bezpośredni link”.
• Reguła: Reguła wykrywania, która generowała sygnały alertu.
• Pierwsze/ostatnie zdarzenie: Znaczniki czasowe określające, kiedy pierwszy i ostatni sygnał dołączony do alertu zostały utworzone.
• Liczba sygnałów: Liczba sygnałów dołączonych do alarmu. Ta liczba jest przybliżona i może się opóźniać, zwłaszcza przy dużym obciążeniu sygnału.
• Utworzone o: Znacznik czasu utworzenia alertu.
• Data aktualizacji: Znacznik czasu ostatniej modyfikacji alertu.

Eksportowanie alertów

Eksportuj alerty do zewnętrznego systemu, takiego jak ServiceNow, Tines, webhook czy Jira, aby Twój zespół mógł je śledzić i podejmować działania w związku z nimi w narzędziach, z których już korzysta. Aby poznać miejsca docelowe alertów i konfigurację, zobacz Alert destinations.

Dodatkowe zasoby

• Sygnały
• Reguły wykrywania
• Miejsca docelowe alertów