Реагирование с помощью Jira

Kaspersky Symphony XDR позволяет синхронизировать инциденты Kaspersky XDR с задачами Atlassian Jira.

Реагирование с помощью интеграции с Jira позволяет:

• Создавать задачи Jira из инцидентов XDR с полной информацией.
• Обновлять существующие задачи Jira при изменении данных инцидентов.
• Получать задачи Jira для диагностических целей.
• Прикреплять вложения с доказательствами к задачам Jira.
• Тестировать интеграцию в режиме пробного запуска без вызовов API.
• Добавлять комментарии к задачам Jira.

Вы можете реагировать с помощью Jira, если вы ранее настроили интеграцию между Kaspersky Symphony XDR и службой запуска скриптов, а также создали плейбук, который запустит скрипт для реагирования.

Для запуска скриптов требуется Python 3.12.

Поддерживается Jira Software Cloud или Jira Data Center версии 8.4 или выше.

Вы можете скачать скрипты для реагирования по следующей ссылке:

Загрузить скрипт

Чтобы использовать скрипт:

1. Установите скрипт одним из следующих способов:
   • С помощью pip, например:

     pip install -r requirements.txt

   • С помощью uv, например:

     uv sync

2. В зависимости от развертывания Jira выполните одно из следующих действий:
   • Для Jira Cloud сгенерируйте токен API.
   • Для Jira Data Center сгенерируйте персональный токен доступа (Personal Access Token, PAT) в своем экземпляре Jira Data Center.
3. Создайте файл .env из файла .env.sample, выполнив следующую команду:

   cp .env.sample .env

4. Измените файл .env и укажите свои учетные данные JIRA, например:

   JIRA_BASE_URL="https://your-company.atlassian.net"

   JIRA_USER_EMAIL="bot@your-company.com"

   JIRA_API_TOKEN="your-api-token-here"

   JIRA_PROJECT_KEY="SEC"

   JIRA_ISSUE_TYPE="Incident"

   JIRA_ATTACHMENT_MAX_MB=10

   JIRA_INSECURE=false

   JIRA_AUTH_TYPE="basic"

   Параметр JIRA_INSECURE=true выключает проверку SSL-сертификата. Рекомендуется включать этот параметр только в тестовых средах, в которых используются самоподписанные сертификаты. Не рекомендуется включать его в производственной среде.

   Значение JIRA_AUTH_TYPE зависит от вашего развертывания Jira: basic для Jira Cloud и bearer для Jira Data Center / Server.

Скрипт настроен и установлен.

Работа с задачами Jira

После настройки скрипта вы можете использовать его для выполнения следующих операций:

• Создавать задачи.

  Для этого выполните следующую команду:

  uv run python -m src.jira --create \

  --incident-id 12345 \

  --name "Suspicious Lateral Movement Detected" \

  --severity high \

  --description "Detected unusual network activity" \

  --deep-link "https://xdr-console/incidents/12345" \

  --asset "host01|10.0.0.5|Windows" \

  --asset "host02|10.0.0.6|Linux" \

  --observable "md5:abcd1234" \

  --observable "url:https://malicious.com" \

  --mitre-technique "T1021" \

  --mitre-technique "T1003"

  Если команда выполнена успешно, вывод будет похож на следующий:

  {

  "status": "created",

  "issue_key": "SEC-123",

  "issue_id": "10001",

  "self": "https://company.atlassian.net/rest/api/2/issue/10001"

  }

• Обновлять задачу.

  Для этого выполните следующую команду:

  uv run python -m src.jira --update \

  --issue-key SEC-123 \

  --incident-id 12345 \

  --severity critical \

  --observable "ip:192.168.1.100" \

  --hash "new-hash-value" \

  --previous-hash "old-hash-value"

  Если команда выполнена успешно, вывод будет похож на следующий:

  {

  "status": "updated",

  "issue_key": "SEC-123"

  }

• Получать задачи Jira для диагностических целей.

  Для этого выполните следующую команду:

  uv run python -m src.jira --get --issue-key SEC-123

  Если команда выполнена успешно, вывод будет похож на следующий:

  {

  "status": "success",

  "issue_key": "SEC-123",

  "fields": {

  "summary": "[XDR] Suspicious Activity - host01",

  "status": "Open",

  "priority": "High",

  "created": "2025-11-28T10:00:00.000+0000",

  "updated": "2025-11-28T10:30:00.000+0000",

  "labels": ["XDR_12345", "TECHNIQUE_T1021"]

  }

  }

• Тестировать интеграцию в режиме пробного запуска.

  Для этого выполните следующую команду:

  uv run python -m src.jira --create \

  --incident-id 12345 \

  --name "Test Incident" \

  --severity high \

  --dry-run

• Прикреплять вложения к задаче.

  Для этого выполните следующую команду:

  uv run python -m src.jira --create \

  --incident-id 12345 \

  --name "Malware Detected" \

  --severity critical \

  --attachment "/path/to/evidence.json" \

  --attachment "/path/to/screenshot.png"

• Добавлять комментарий к задаче.

  Для этого выполните следующую команду:

  uv run python -m src.jira --comment \

  --issue-key SEC-123 \

  --comment-text "Investigation in progress, escalating to L2"

  Если команда выполнена успешно, вывод будет похож на следующий:

  {"status":"commented","issue_key":"SEC-123"}

Реагирование с помощью плейбуков

Для выполнения операций с задачами Jira с помощью плейбуков:

1. В главном меню перейдите в раздел Мониторинг, а затем в разделе Инциденты нажмите на идентификатор нужного инцидента.
2. Нажмите на кнопку Выбрать плейбук и в открывшемся окне выберите плейбук, который вы создали для реагирования с помощью Jira.
3. Нажмите на кнопку Запустить.

   Выбранный плейбук запустит скрипт для реагирования с помощью Jira.

   Если операция завершена успешно, на экране отобразится соответствующее сообщение. Иначе отобразится сообщение об ошибке.

Результат запуска плейбука доступен в деталях инцидента на вкладке История.