Изменение инцидентов с использованием плейбуков

Развернуть все | Свернуть все

Open Single Management Platform позволяет изменять инциденты вручную или с использованием плейбуков. При создании плейбука, вы можете настроить алгоритм плейбука для изменения свойств инцидента.

Чтобы изменить инцидент с помощью плейбука, вам должна быть присвоена одна из следующих ролей: Главный администратор, Администратор SOC, Аналитик 1-го уровня, Аналитик 2-го уровня или Администратор тенанта.

Вы не можете изменят инциденты, которые имеют статус Закрыт.

Вы можете изменить следующие свойства инцидента с помощью плейбука:

• Исполнитель.
• Статус рабочего процесса инцидента.
• Тип инцидента.
• Комментарий
• Описание
• Priority
• Атрибут ExternalReference.
• Дополнительный атрибут данных.

Ниже приведены примеры выражений, которые вы можете использовать в алгоритме плейбука для изменения свойств инцидента.

• Назначение инцидента пользователю.

  {

  "dslSpecVersion": "1.1.0",

  "version": "1",

  "actionsSpecVersion": "1",

  "executionFlow": [

  {

  "action": {

  "function": {

  "type": "assignIncidentToUser",

  "params": {

  "assignee": {

  "id": "user_ID"

  }

  }

  }

  }

  }

  ]

  }

• Unassigning an incident from a user

  {

  "dslSpecVersion": "1.1.0",

  "version": "1",

  "actionsSpecVersion": "1",

  "executionFlow": [

  {

  "action": {

  "function": {

  "type": "assignIncidentToUser",

  "params": {

  "assignee": {

  "id": "nobody"

  }

  }

  }

  }

  }

  ]

  }

• Изменение статуса рабочего процесса инцидента.

  Чтобы изменить статус рабочего процесса инцидента на Открыт:

  {

  "dslSpecVersion": "1.1.0",

  "version": "1",

  "actionsSpecVersion": "1",

  "executionFlow": [

  {

  "action": {

  "function": {

  "type": "setIncidentStatus",

  "params": {

  "statusId": "INCIDENT_STATUS_ID"

  }

  }

  }

  }

  ]

  }

  Чтобы изменить статус рабочего процесса инцидента на Закрыт:

  {

  "dslSpecVersion": "1.1.0",

  "version": "1",

  "actionsSpecVersion": "1",

  "executionFlow": [

  {

  "action": {

  "function": {

  "type": "setIncidentStatus",

  "params": {

  "statusId": "INCIDENT_STATUS_ID",

  "statusResolution": "truePositive"

  }

  }

  }

  }

  ]

  }

  Вы также можете указать следующие значения для параметра statusResolution: falsePositive и lowPriority.

  Чтобы изменить статус рабочего процесса инцидента на пользовательский статус:

  {

  "dslSpecVersion": "1.1.0",

  "version": "1",

  "actionsSpecVersion": "1",

  "executionFlow": [

  {

  "action": {

  "function": {

  "type": "setIncidentStatus",

  "params": {

  "typeId": "22222222-2222-2222-2222-222222222222",

  "statusId": "11111111-1111-1111-1111-111111111111"

  }

  }

  }

  }

  ]

  }

• Изменение типа инцидента.

  {

  "dslSpecVersion": "1.1.0",

  "version": "1",

  "actionsSpecVersion": "1",

  "executionFlow": [

  {

  "action": {

  "function": {

  "type": "setIncidentType",

  "params": {

  "id": "INCIDENT_TYPE_UUID"

  }

  }

  }

  }

  ]

  }

• Добавление комментария к инциденту.

  {

  "dslSpecVersion": "1.1.0",

  "version": "1",

  "actionsSpecVersion": "1",

  "executionFlow": [

  {

  "action": {

  "function": {

  "type": "addCommentToIncident",

  "params": {

  "text": "${ \"Новый комментарий к инциденту с идентификатором: \\(incident.ID)\" }"

  }

  }

  }

  }

  ]

  }

• Изменение описания инцидента.

  {

  "dslSpecVersion": "1.1.0",

  "version": "1",

  "actionsSpecVersion": "1",

  "executionFlow": [

  {

  "action": {

  "function": {

  "type": "setIncidentDescription",

  "params": {

  "description": "${ \"Новое описание для инцидента с идентификатором: \\(incident.ID)\" }",

  "mode": "replace"

  }

  }

  }

  }

  ]

  }

  Чтобы дополнить существующее описание, укажите значение append для параметра mode.

• Изменение приоритета инцидента.

  {

  "dslSpecVersion": "1.1.0",

  "version": "1",

  "actionsSpecVersion": "1",

  "executionFlow": [

  {

  "action": {

  "function": {

  "type": "setIncidentPriority",

  "params": {

  "priority": "critical"

  }

  }

  }

  }

  ]

  }

  Вы также можете указать следующие значения для параметра priority: high, medium, low.

• Изменение атрибута ExternalReference.

  {

  "dslSpecVersion": "1.1.0",

  "version": "1",

  "actionsSpecVersion": "1",

  "executionFlow": [

  {

  "action": {

  "function": {

  "type": "setIncidentExternalRef",

  "params": {

  "externalRef": "${ \"новое значение extReference\" }",

  "mode": "replace"

  }

  }

  }

  }

  ]

  }

  Чтобы дополнить атрибут ExternalReference, укажите значение append для параметра mode.

• Изменение Дополнительного атрибута данных.

  {

  "dslSpecVersion": "1.1.0",

  "version": "1",

  "actionsSpecVersion": "1",

  "executionFlow": [

  {

  "action": {

  "function": {

  "type": "addIncidentAdditionalData",

  "params": {

  "data": "${ {\"customKey\": \"customValue\"} }",

  "mode": "replace"

  }

  }

  }

  }

  ]

  }

  Чтобы дополнить Дополнительный атрибут данных, укажите значение append для параметра mode.