Настройка уведомлений
Уведомления являются способом реакции на инцидент, доступные способы уведомлений указаны ниже.
О том, как настроить и включить отправку уведомлений по электронной почте, прочитать можно здесь
О том, как настроить и включить отправку инцидентов по протоколу Syslog в формате CEF, прочитать можно здесь
О том, как работать с системой "Джет Сигнал", прочитать можно здесь
О том, как настроить отправку уведомлений в государственную систему "ГосСОПКА", прочитать можно здесь
Фильтрация уведомлений (cel-filter)
Выражение на языке CEL для фильтрации обновлений по инцидентам, статусам, важности и другим параметрам.
Cel-filter
-
is_update - на почту присылаются только уведомления по измененным инцидентам
-
!is_update - на почту присылаются только уведомления по новым инцидентам, по измененным не приходят
Выражение по умолчанию присылать уведомления по изменённым инцидентам ИЛИ новым инцидентам И статус расследуется И высокой важностью:
`"!is_update || (is_update && status == 'investigating' && severity == 'high')"`
Допустимые значения для статусов (status) : new investigating closed fp
Допустимые значения для важности (severity): baseline low medium high
Доступные поля: is_update, status, severity, incident.AssignedTo, incident.StatusReason
Пример заполнения с уведомлением по ответственному:
В конфиге в блоке notification заполнить поля указанным образом:
notification:
aggregation-window: 1m
cel-filter: "incident.AssignedTo == 'Фамилия Имя Отчество - admin@admin.com' "
drop-histories: true
smtp:
- name: SMTP Service
host: test.test.ru
idle-timeout: 30s
password: pass
port: [port]
username: siem@test.ru
identity: siem@test.ru
start_tls: opportunistic_start_tls
tls:
TrustedCA: /var/lib/echelon/komrad/certs/ca.pem
Cert: /var/lib/echelon/komrad/certs/client.pem
CertKey: /var/lib/echelon/komrad/certs/client-key.pem
ServerName: ""
disable: false
system-pool: true
local_name: ""Ещё примеры:
cel-filter: "severity == 'baseline' "
cel-filter: "incident.StatusReason == 'Причина - это важно' "
cel-filter: "status == 'new' "