Создание шаблона уведомления

После настройки уведомлений по электронной почте о событиях, происходящих в Kaspersky EDR Expert, вы сможете создавать собственные шаблоны для этих уведомлений, приходящих по электронной почте.

Чтобы создать шаблоны уведомлений, вам нужно иметь одну из следующих EDR-ролей: Главный администратор, Администратор тенанта или Администратор SOC.

Когда вы разворачиваете Kaspersky EDR Expert, у вас есть шаблоны для уведомлений по электронной почте в корневом тенанте. Если вы создаете дочерний тенант, он автоматически копирует параметры родительского тенанта. Так как параметры дочернего тенанта и родительского не связаны, изменения, которые вы вносите в параметры дочернего тенанта, не влияют на параметры родительского тенанта и наоборот.

Чтобы создать шаблон уведомления по электронной почте:

1. В главном окне приложения перейдите в раздел Параметры → Тенанты.

   Отобразится список тенантов.

2. Нажмите на имя нужного тенанта.

   Откроется окно свойств тенанта.

3. Выберите вкладку Параметры и в разделе Detection and response нажмите на Шаблоны электронных писем.

   Отобразится таблица типов событий, для которых вы можете настроить шаблоны уведомлений.

4. Если на шаге 2 вы выбрали корневой тенант, в поле Отображаемое имя Сервера администрирования укажите адрес, который будет использоваться в ссылках на алерты и инциденты в электронных письмах.
5. Нажмите на кнопку Создать и в открывшемся раскрывающемся списке выберите тип события, для которого необходимо создать шаблон уведомления по электронной почте.
6. В открывшейся панели Создать шаблон электронной почты укажите следующие параметры:

   Доступные поля зависят от выбранного типа события.

   • В поле Имя укажите имя шаблона уведомления по электронной почте.
   • Если вы хотите изменить тип события в шаблоне уведомления по электронной почте, выберите новый тип в поле Тип события.
   • Если вы хотите включить уведомление по электронной почте для выбранного типа события, переведите переключатель в положение Включено в поле Статус.

     Вы также можете включить уведомления по электронной почте из таблицы типов событий. По умолчанию уведомления по электронной почте выключены.

   • В поле Тема укажите тему электронного письма. Обязательное поле.

     Также вы можете использовать поля алертов, поля инцидентов и нормализованные поля событий KUMA в поле Тема – например, Новый инцидент в OSMP: {{ .InternalID }}, {{ .Name }}.

   • В поле Шаблон напишите текст уведомления по электронной почте.

     Пример уведомления по электронной почте

     Hello,<br>

     <br>

     Alert {{ .InternalID }}{{ with escapeHTML .Rules.Names }} "{{ . }}"{{ else }}{{ end }} was registered at {{ .CreatedAt }}.<br>

     <br>

     Details on alert:<br>

     <br>

     Tenant: {{ .TenantID }}<br>

     Alert severity: {{ .Severity }}<br>

     Alert first seen: {{ .FirstEventTime }}<br>

     Alert last seen: {{ .LastEventTime }}<br>

     Full information about the alert is available in OSMP web-interface: {{ link_alert . }}<br>

     <br>

     Open Single Management Platform

     Также вы можете использовать поля алертов, поля инцидентов, нормализованные поля событий KUMA и HTML-теги.

     При написании шаблона вы можете использовать следующие функции:

     • date – определяет формат даты и времени. Функция принимает время в миллисекундах (UNIX-время) в качестве первого параметра. Второй параметр можно использовать для передачи времени в формате стандарта RFC. Часовой пояс невозможно изменить.

       {{range .Events }}

       Service name: {{.Event.ServiceName}}

       Device host name: {{.Event.DeviceHostName}}

       Message: {{.Event.Message}}

       {{end}}

       Nested objects can have their own nested objects. You can access them using nested range functions.

     • limit – ограничивает количество объектов, возвращаемых функцией range.
     • link_alert – генерирует ссылку на алерт с указанным URL в поле Отображаемое имя Сервера администрирования.
     • link_incident – генерирует ссылку на инцидент с указанным URL в поле Отображаемое имя Сервера администрирования.
     • link – принимает форму ссылки, которую пользователь может открыть, когда он получает уведомление по электронной почте.
   • В поле Получатели укажите один или несколько адресов электронной почты для отправки уведомлений.
   • В раскрывающемся списке Правила корреляции выберите одно или несколько правил корреляции, в соответствии с которыми будет отправляться уведомление по электронной почте.
   • В поле Уведомлять в зависимости от уровня критичности выберите минимальный уровень критичности алерта, при достижении которого будет отправлено уведомление по электронной почте. Для алертов с уровнем критичности ниже указанного уведомление по электронной почте отправлено не будет.
   • В раскрывающемся списке Технологии обнаружения выберите одну или несколько технологий обнаружения, при обнаружении которых будет отправляться уведомление по электронной почте.
   • При необходимости в поле Описание напишите описание шаблона уведомления.
7. Нажмите на кнопку Создать.

   Окно Создать шаблон электронной почты закроется.

8. В окне свойств тенанта сохраните изменения.

Шаблон уведомления по электронной почте будет создан и сохранен. При возникновении выбранных типов событий в Kaspersky EDR Expert на указанные адреса электронной почты будут отправлены соответствующие уведомления.