Изменение статуса алерта

Развернуть все | Свернуть все

Как рабочий элемент, алерт имеет статус, показывающий текущее состояние алерта в его жизненном цикле.

Вы можете изменить статусы собственных алертов и алертов других аналитиков, только если у вас есть права на чтение и изменение алертов и инцидентов.

Алерт может иметь один из следующих статусов:

• Новый

  Когда Kaspersky EDR Expert регистрирует новый алерт, ему присваивается статус Новый. Вы можете изменить статус на В работе или Закрыт. При изменении статуса со значения Новый на В работе алерт автоматически назначается вам. При изменении статуса со значения Новый на Закрыт алерт автоматически назначается вам, если ему не был назначен ответственный.

• В работе

  Этот статус означает, что аналитик начал работу над алертом. При переводе алерта в статус В работе оно назначается вам автоматически. Вы можете изменить статус В работе на Новый или Закрыт.

• Закрыт

  Реальные алерты должны быть связаны с инцидентами и расследоваться в рамках инцидентов. При закрытии инцидента связанным алертам также присваивается статус Закрыт. Алерты, не связанные с инцидентами, можно закрыть, только если они являются ложными срабатываниями или имеют низкий приоритет. При закрытии алерта необходимо выбрать решение и указать краткий комментарий.

  Статус Закрыт можно изменить только на статус Новый. Чтобы вернуть закрытый алерт в работу, измените его статус следующим образом: Закрыт → Новый → В работе.

  При закрытии алерта, связанного с инцидентом, происходит автоматическая отмена связи с инцидентом. Если для алерта, который вы собираетесь закрыть, не назначен ответственный, он автоматически назначается аналитику, который его закрывает.

• В инциденте

  Алерты получают этот статус, если они связаны с инцидентом. Этот статус нельзя задать вручную. Связанным алертам можно установить только статус Закрыт. Чтобы установить статус Новый или В работе, сначала необходимо отменить связь алерта с инцидентом.

Чтобы изменить статус алертов:

1. В главном меню выберите Мониторинг и отчеты → Алерты.
2. Если в Kaspersky Security Center Cloud Console интегрированы как Kaspersky EDR Optimum, так и Kaspersky EDR Expert, раздел Алерты имеет две вкладки. Перейдите на вкладку Expert. В противном случае, пропустите этот шаг.
3. Установите флажки напротив алертов, статус которых вы хотите изменить.
4. Нажмите на кнопку Изменить статус.
5. В окне Изменить статус выберите требуемый статус.

   При присвоении статуса Закрыт необходимо выбрать решение и указать краткий комментарий.

6. При необходимости оставьте комментарий.
7. Нажмите на кнопку Сохранить.

Статус выбранных алертов будет изменен.