Kaspersky Symphony XDR: Single Management Platform

Изменение статуса алерта

Развернуть все | Свернуть все

Как объект, алерт имеет статус, который показывает текущий статус алерта в его жизненном цикле.

Вы можете изменять статусы алертов для своих алертов или алертов других аналитиков, только если у вас есть право доступа для чтения и изменения алертов и инцидентов.

Если статус алерта изменен вручную, плейбуки не будут запускаться автоматически. Вы можете запустить плейбук для такого алерта вручную.

Алерт может иметь один из следующих статусов:

• Новое.

  Когда Open Single Management Platform регистрирует новый алерт, он имеет статус Новый. Вы можете изменить статус инцидента на В обработке или Закрыт. Когда вы меняете статус Новый на Закрыт и у алерта нет исполнителя, оно автоматически назначается вам.

• В обработке.

  Этот статус означает, что аналитик начал работу над инцидентом или возобновил работу, изменив статус Отложен. Когда вы устанавливаете статус В обработке, инцидент назначается вам автоматически. Изменить статус В обработке можно на любой другой.

• Закрыто.

  Истинно положительные алерты должны быть связаны с инцидентами и расследоваться в рамках инцидентов. Когда вы закрываете инцидент, связанные алерты также переходят в статус Закрыт. Вы закрываете несвязанный алерт только как ложное срабатывание или как алерт с низким приоритетом. Когда вы закрываете алерт, вам нужно выбрать решение.

  Статус Закрыт можно изменить только на статус Новый. Если вы хотите вернуть закрытый алерт в работу, измените его статус следующим образом: Закрыт → Новый → В обработке.

  Когда вы закрываете алерт, связанное с инцидентом, автоматически удаляется связь с инцидентом. Если алерт, который вы собираетесь закрыть, никому не назначен, он автоматически назначается аналитику, который закрывает алерт.

• В инциденте.

  Этот статус означает, что аналитик приостановил работу над инцидентом. Обычно вы меняете статус Отложен на В обработке, когда работа возобновляется, но также можно изменить статус Отложен на другие статусы.

Чтобы изменить статус одного или нескольких алертов:

1. В главном окне программы перейдите в раздел Мониторинг и отчеты → Алерты.
2. Выполните одно из следующих действий:
   • Установите флажки напротив алертов, статус которых вы хотите изменить.
   • Перейдите по ссылке с идентификатором алерта, статус которого вы хотите изменить.

     Откроется окно Детали алерта.

3. Нажмите на кнопку Изменить статус.
4. В панели Изменить статус выберите статус, который нужно установить.

   Если вы выбрали статус Закрыт, вам нужно выбрать решение.

   Если вы измените статус алерта на Закрыт и этот алерт содержит незавершенные плейбуки или действия по реагированию, все связанные плейбуки и действия по реагированию будут прекращены.

5. Нажмите на кнопку Сохранить.

Статусы выбранных алертов будут изменены.