Реагирование с помощью Zendesk

Kaspersky Symphony XDR позволяет создавать обращения Zendesk Support на основе данных инцидентов Kaspersky Symphony XDR и выполнять дальнейшие действия с этими обращениями.

Реагирование с помощью интеграции с Zendesk позволяет:

• Создавать обращения со следующими данными инцидента: именем, уровнем важности, затронутыми активами, наблюдаемыми объектами, техниками и тактиками MITRE ATT&CK.
• Обновлять существующие обращения при изменении данных инцидента.
• Получать сведения об обращениях, включая статус, название, описание, время создания и изменения, исполнителя, создателя, заявителя и группу поддержки.
• Прикреплять вложения к обращениям.
• Добавлять внутренние комментарии к обращениям.
• Тестировать интеграцию в режиме пробного запуска без вызовов Zendesk API.

Вы можете реагировать с помощью Zendesk, если вы ранее настроили интеграцию между Kaspersky Symphony XDR и службой запуска скриптов, а также создали плейбук, который запустит скрипт для реагирования.

Для запуска скриптов требуется Python 3.12.
Для работы вам потребуется аккаунт Zendesk Support и OAuth токен.

Вы можете скачать скрипты для реагирования по следующей ссылке:

Загрузить скрипт

Чтобы использовать скрипт:

1. Перейдите в Центр администрирования Zendesk:

   https://your-subdomain.zendesk.com/admin

   где вместо your-subdomain укажите свой поддомен, например, https://kaspersky-12345.zendesk.com

2. Сгенерируйте OAuth токен.
3. Скоприруйте и сохраните удобным способом значения Client ID and Client Secret.
4. Установите скрипт. Для этого:
   1. Поместите архив kaspersky_xdr_zendesk_integration-1.0.0.zip на устройство со службой запуска сриптов.
   2. Запустите команду:

      if ! command -v uv >/dev/null 2>&1; then

      curl -LsSf https://astral.sh/uv/install.sh | sh

      . "$HOME/.local/bin/env"

      fi

      uv --version

      unzip kaspersky_xdr_zendesk_integration-1.0.0.zip -d /opt

      cd /opt/kaspersky_xdr_zendesk_integration-1.0.0

      uv sync --python 3.12 --no-dev --locked

      .venv/bin/python -m kaspersky_xdr_zendesk.main --help

   Архив распакован, виртуальное окружение Python создано, зависимости, необходимые для работы скрипта, установлены.

5. Создайте файл .env из файла .env.sample, выполнив следующую команду:

   cp .env.example .env

   chmod 600 .env

6. Измените файл .env и укажите свои параметры подключения к Zendesk, например:

   ZENDESK_BASE_URL=https://your-subdomain.zendesk.com

   ZENDESK_CLIENT_ID=kaspersky_xdr

   ZENDESK_CLIENT_SECRET=your-client-secret

   ZENDESK_OAUTH_SCOPE="read write"

   ZENDESK_REQUESTER_ID=

   ZENDESK_GROUP_ID=

   ZENDESK_ATTACHMENT_MAX_MB=10

   ZENDESK_INSECURE=false

   Параметр ZENDESK_INSECURE=true выключает проверку TLS-сертификата. Рекомендуется включать этот параметр только в тестовых средах, в которых используются самоподписанные сертификаты. Не рекомендуется включать его в производственной среде.

7. Если для доступа к Zendesk требуется прокси, добавьте его настройки в файл .env , выполнив команду:

   HTTP_PROXY=http://your-proxy.example:8888

   HTTPS_PROXY=http://your-proxy.example:8888

Скрипт настроен и установлен.

Работа с обращениями Zendesk

После настройки скрипта вы можете использовать его для выполнения следующих операций:

• Создавать обращения.

  Для этого выполните следующую команду:

  .venv/bin/python -m kaspersky_xdr_zendesk.main --create \

  --incident-id 12345 \

  --name "Suspicious Lateral Movement Detected" \

  --severity high \

  --description "Detected unusual network activity" \

  --deep-link "https://xdr-console/incidents/12345" \

  --asset "host01|192.0.2.5|Windows" \

  --asset "host02|192.0.2.6|Linux" \

  --observable "ip:198.51.100.10" \

  --observable "domain:example.test" \

  --mitre-technique T1021.001 \

  --mitre-tactic TA0008

  Если команда выполнена успешно, вывод будет похож на следующий:

  {

  "status": "created",

  "ticket_id": "42",

  "self": "https://your-subdomain.zendesk.com/api/v2/tickets/42.json"

  }

  Рекомендуется сохранить значение параметра ticket_id для последующих операций.

• Обновлять обращения.

  Для этого выполните следующую команду:

  .venv/bin/python -m kaspersky_xdr_zendesk.main --update \

  --ticket-id 42 \

  --incident-id 12345 \

  --severity critical \

  --description "New investigation details" \

  --observable "ip:198.51.100.20" \

  --hash "new-hash-value" \

  --previous-hash "old-hash-value"

  Если команда выполнена успешно, вывод будет похож на следующий:

  {"status":"updated","ticket_id":"42"}

• Получать сведения об обращении.

  Для этого выполните следующую команду:

  .venv/bin/python -m kaspersky_xdr_zendesk.main --get --ticket-id 42

  Если команда выполнена успешно, вывод будет похож на следующий:

  {

  "status": "success",

  "ticket_id": "42",

  "fields": {

  "summary": "[XDR] Подозрительная активность",

  "status": "open",

  "priority": "high",

  "created": "2026-11-06T10:00:00Z",

  "updated": "2026-11-06T10:15:00Z",

  "labels": ["xdr_123", "tactic_ta0007", "technique_t1654"],

  "description": "Обнаружена подозрительная активность на узле test-host.",

  "assignee": {

  "id": 101,

  "name": "Иван Иванов"

  },

  "creator": {

  "id": 102,

  "name": "Пользователь интеграции"

  },

  "requester": {

  "id": 102,

  "name": "Пользователь интеграции"

  },

  "group": {

  "id": 201,

  "name": "Группа реагирования"

  }

  }

  }

• Добавлять вложения к обращениям.

  Файлы, которые вы хотите добавить в качестве вложений, должны находиться на устройстве, на котором вы выполняете скрипт. Размер каждого файла устанавливается в значении ZENDESK_ATTACHMENT_MAX_MB.

  Если вы хотите создать обращение с вложениями, выполните следующую команду:

  .venv/bin/python -m kaspersky_xdr_zendesk.main --create \

  --incident-id 12346 \

  --name "Malware Detected" \

  --severity critical \

  --attachment "/path/to/evidence.json" \

  --attachment "/path/to/screenshot.png"

  Если вы хотите создать добавить вложение к существующему обращению, выполните следующую команду:

  .venv/bin/python -m kaspersky_xdr_zendesk.main --update \

  --ticket-id 42 \

  --attachment "/path/to/evidence.json"

• Добавлять комментарии к обращениям.

  Для этого выполните следующую команду:

  .venv/bin/python -m kaspersky_xdr_zendesk.main --comment \

  --ticket-id 42 \

  --comment-text "Investigation in progress, escalating to L2"

  Если команда выполнена успешно, вывод будет похож на следующий:

  {"status":"commented","ticket_id":"42"}

  Комментарий сохраняется как внутренняя заметка Zendesk, а не как публичный ответ заявителю.

• Тестировать интеграцию в режиме пробного запуска.

  Для этого выполните следующую команду:

  .venv/bin/python -m kaspersky_xdr_zendesk.main --create \

  --incident-id 12345 \

  --name "Test Incident" \

  --severity high \

  --dry-run

Реагирование с помощью плейбуков

Для выполнения операций с задачами Zendesk с помощью плейбуков:

1. В главном меню перейдите в раздел Мониторинг, а затем в разделе Инциденты нажмите на идентификатор нужного инцидента.
2. Нажмите на кнопку Выбрать плейбук и в открывшемся окне выберите плейбук, который вы создали для реагирования с помощью Zendesk.
3. Нажмите на кнопку Запустить.

   Выбранный плейбук запустит скрипт для реагирования с помощью Zendesk.

   Если операция завершена успешно, на экране отобразится соответствующее сообщение. Иначе отобразится сообщение об ошибке.

Результат запуска плейбука доступен в деталях инцидента на вкладке История и в главном меню в разделе История реагирований.