Окно алертов

В этом окне можно ознакомиться с выбранным алертом и всеми связанными с ним данными.

Чтобы увидеть подробные сведения об алерте:

В разделе Алерты веб-интерфейса KUMA нажмите на алерт, сведения о котором вы хотите просмотреть.

Откроется окно алерта с название алерта в верхнем левом углу.

В верхней части окна алерта расположена панель инструментов, а также указаны уровень важности алерта и имя пользователя, которому назначен этот алерт. Здесь можно обработать алерт: изменить его уровень важности, назначить его пользователю, закрыть, создать на его основе инцидент.

Раздел Информация об алерте окна алерта содержит следующие данные:

• Уровень важности правила корреляции – уровень важности правила корреляции, которое породило этот алерт.
• Наивысшая важность категории активов – самый высокий уровень важности категории активов из тех, которые принадлежат связанным с этим алертом активам. Если с алертом связано несколько активов, отображается наибольшее значение.
• Привязан к инциденту – если алерт привязан к инциденту, тут отображается его название и статус.
• Первое появление – дата и время создания первого корреляционного события в последовательности событий, приведшего к созданию алерта.
• Последнее появление – дата и время создания последнего корреляционного события в последовательности событий, приведшего к созданию или обновлению алерта.
• Идентификатор алерта – уникальный идентификатор алерта в KUMA.
• Тенант – название тенанта, которому принадлежит алерт.
• Правило корреляции – название правила корреляции, которое породило алерт. Название правила представлено в виде ссылки, по которой можно перейти к настройкам этого правила корреляции.
• Переполнен – этот тег означает, что размер алерта достиг или приближается к пределу и необходимо обработать алерт как можно скорее. Новые события не добавляются к переполненным алертам, но можно нажав на ссылку Смотреть все возможные связанные события можно отфильтровать все события, которые были бы связаны с алертом, если бы не было ограничения на его размер.

Раздел Связанные события окна алерта содержит таблицу событий, относящихся к алерту. Если нажать значок рядом с правилом корреляции, отобразятся базовые события из этого правила корреляции. События можно сортировать по уровню важности и времени.

При выборе события в правой части окна веб-интерфейса открывается область деталей. Эта область содержит информацию о выбранном событии. Если выбрать корреляционное событие, в области деталей также будет отображаться кнопка Подробные сведения, при нажатии на которую откроется окно корреляционного события.

Ссылки Найти в событиях под корреляционными событиями и кнопка Найти в событиях справа от заголовка раздела используются для детализированного анализа.

Раздел Связанные активы окна алерта содержит таблицу хостов, относящихся к алерту. Эта информация поступает из событий, связанных с алертом. С помощью поля Поиск по IP или FQDN можно искать нужные хосты. Активы можно сортировать по столбцам Количество и Актив.

Если с алертом связаны активы, они отображаются в этом разделе. При нажатии на название актива открывается окно Информация об активе.

Раздел Связанные пользователи окна алерта содержит таблицу пользователей, относящихся к алерту. Эта информация поступает из событий, связанных с алертом. С помощью поля Поиск пользователей можно искать нужных пользователей. Пользователей можно сортировать по столбцам Количество, Пользователь, User principal name (Основное имя пользователя) и Адрес электронной почты.

Раздел Журнал изменений окна алерта содержит записи об изменениях, которые пользователи внесли в алерт. Изменения регистрируются автоматически, при этом есть возможность вручную добавлять комментарии. Комментарии можно сортировать по столбцу Время.

Чтобы добавить комментарий к алерту,

В окне алерта введите комментарий в поле Комментарий и нажмите Добавить.

В начало