Версия: v2.7.x

Управление внешними каналами оповещений

В данной статье описано взаимодействие с внешними каналами и запросами для оповещений в Системе: как их добавить, просмотреть, найти, отредактировать, копировать и удалить.

Общие сведения

Система позволяет отправлять оповещения об определенных событиях во внешние системы, такие как Zabbix, Jira, Telegram и т.д.

Для управления внешними каналами и запросами необходимо перейти на вкладку Мониторинг → Внешние запросы.

На вкладке Внешние запросы расположена таблица со списком всех существующих внешних каналов оповещений и запросов. Вся информация представлена в виде древа с двумя уровнями вложенности: первый уровень отвечает за каналы оповещений, второй уровень отвечает за HTTP-запросы, с помощью которых оповещения отправляются в данные каналы.

Добавление канала для оповещений

Для того чтобы добавить новый канал для оповещений, нажмите кнопку + в левой части таблицы и в выпадающем списке выберите Создать канал. После этого откроется модальное окно для конфигурации канала оповещений.

В данном окне вам доступны следующие параметры для конфигурации:

Название — название канала, которое будет отображаться в списке каналов и запросов;
Описание — описание канала, которое будет отображаться в подробной информации о канале;
URL — адрес для доступа к API внешнего канала для оповещений;
Метод аутентификации — метод, который будет использоваться для аутентификации в данном канале:
- No Auth — доступ без аутентификации;
- Bearer Token — аутентификация с помощью токена в заголовке Authorization;
- Basic Auth — аутентификация с помощью имени пользователя и пароля;
- Custom Headers — аутентификация с помощью произвольных HTTP-заголовков;
- Cookies — аутентификация с помощью куков.
Аутентификационные данные — данные поля используются для ввода аутентификационных данных и различаются для каждого из методов аутентификации:
- No Auth — для данного метода аутентификации поля отсутствуют;
- Bearer Token:
  - Токен — поле для ввода токена аутентификации (пример значения: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzd...36POk6yJV_adQssw5c).
- Basic Auth:
  - Логин — поле для ввода имени пользователя для аутентификации (пример значения: username);
  - Пароль — поле для ввода пароля для аутентификации (пример значения:$00perPa$$wd).
- Custom Headers:
  - Ключ — поле для ввода параметра, который будет использоваться для аутентификации (пример значения: X-API-Key);
  - Значение — поле для ввода значения параметра (пример значения: apicnnctsuppwd).
- Cookies:
  - Значение — поле для ввода параметра и его значения для аутентификации (пример значения: PHPSESSID:n1goi0vnc9man9vcu01rvgdfr4).
Ограничение запросов — максимальное количество запросов, которые должны отправляться по данному каналу в указанное количество минут/часов/дней;
Проверка TLS — с помощью данного параметра вы можете отключить принудительную проверку SSL-сертификата при использовании протокола HTTPS.

Чтобы сохранить изменения, нажмите кнопку Сохранить в правом нижнем углу страницы. После этого вы будете автоматически перенаправлены на страницу со списком всех добавленных каналов и запросов. Нажмите кнопку Отменить, чтобы сбросить все внесенные изменения.

Добавление запроса

Для того чтобы добавить новый HTTP-запрос, нажмите кнопку + в левой части таблицы и в выпадающем списке выберите Создать запрос. Вы также можете нажать кнопку + справа от имени канала в списке, чтобы автоматически выбрать канал для запроса. После этого откроется модальное окно для конфигурации запроса.

В данном окне вам доступны следующие параметры для конфигурации:

Название — название запроса, которое будет отображаться в списке каналов и запросов;
Описание — описание запроса, которое будет отображаться в подробной информации о запросе;
Канал — канал, в который будет отправляться данный запрос;
URL — путь для отправки запроса;
Таймаут — время в секундах до завершения запроса при отсутствии ответа;
Повторять при ошибке — количество повторных отправок запроса при ошибке;
Тип контента — тип содержимого тела запроса. Возможные значения:
- application/json;
- text/plain.
Тело запроса — поле для ввода HTTP-запроса.

Для того чтобы проверить работу написанного вами запроса, нажмите Тест запроса. Чтобы сохранить изменения, нажмите кнопку Сохранить в правом нижнем углу страницы. После этого вы будете автоматически перенаправлены на страницу со списком всех добавленных каналов и запросов. Нажмите кнопку Отменить, чтобы сбросить все внесенные изменения.

Переменные для запросов

При формировании HTTP-запросов вы можете использовать следующие переменные, разделенные на три группы:

Правило — переменные, связанные с правилами оповещений:
- name;
- description;
- labels;
- tenants;
- executionCondition;
- closingCondition.
Проблема — переменные, связанные с проблемами, по которым отправляются оповещения:
- status;
- level;
- executedAt;
- closedAt;
- link;
- interval.from;
- interval.to.
События — переменные, связанные с событиями, по которым заводятся проблемы:

События

events.timestamp;
events.uuid;
events.event_type;
events.action_id;
events.action_name;
events.key;
events.message;
events.registered_process;
events.msgid;
events.id;
events.category_generic;
events.category_high;
events.category_low;
events.assigned_src_host;
events.assigned_src_ip;
events.assigned_src_port;
events.src_asset;
events.src_fqdn;
events.src_geo_asn;
events.src_geo_city;
events.src_geo_country;
events.src_geo_org;
events.src_host;
events.src_hostname;
events.src_ip;
events.src_mac;
events.src_port;
events.event_src_category;
events.event_src_fqdn;
events.event_src_host;
events.event_src_hostname;
events.event_src_id;
events.event_src_ip;
events.event_src_rule;
events.event_src_subsys;
events.event_src_title;
events.event_src_vendor;
events.assigned_dst_host;
events.assigned_dst_ip;
events.assigned_dst_port;
events.dst_asset;
events.dst_fqdn;
events.dst_geo_asn;
events.dst_geo_city;
events.dst_geo_country;
events.dst_geo_org;
events.dst_host;
events.dst_hostname;
events.dst_ip;
events.dst_mac;
events.dst_port;
events.action;
events.chain_id;
events.direction;
events.duration;
events.importance;
events.logon_auth_method;
events.logon_service;
events.logon_type;
events.protocol;
events.protocol_layer7;
events.reason;
events.start_time;
events.status;
events.subject;
events.subject_account_contact;
events.subject_account_dn;
events.subject_account_domain;
events.subject_account_fullname;
events.subject_account_group;
events.subject_account_id;
events.subject_account_name;
events.subject_account_privileges;
events.subject_account_session_id;
events.subject_domain;
events.subject_group;
events.subject_id;
events.subject_name;
events.subject_privileges;
events.subject_process_cmdline;
events.subject_process_cwd;
events.subject_process_fullpath;
events.subject_process_guid;
events.subject_process_hash;
events.subject_process_id;
events.subject_process_meta;
events.subject_process_name;
events.subject_process_original_name;
events.subject_process_parent_cmdline;
events.subject_process_parent_fullpath;
events.subject_process_parent_guid;
events.subject_process_parent_hash;
events.subject_process_parent_id;
events.subject_process_parent_name;
events.subject_process_parent_path;
events.subject_process_path;
events.subject_process_version;
events.subject_state;
events.subject_type;
events.subject_version;
events.object;
events.object_account_contact;
events.object_account_dn;
events.object_account_domain;
events.object_account_fullname;
events.object_account_group;
events.object_account_id;
events.object_account_name;
events.object_account_privileges;
events.object_account_session_id;
events.object_domain;
events.object_fullpath;
events.object_group;
events.object_hash;
events.object_id;
events.object_name;
events.object_new_value;
events.object_num_value;
events.object_path;
events.object_process_cmdline;
events.object_process_cwd;
events.object_process_fullpath;
events.object_process_guid;
events.object_process_hash;
events.object_process_id;
events.object_process_meta;
events.object_process_name;
events.object_process_original_name;
events.object_process_parent_cmdline;
events.object_process_parent_fullpath;
events.object_process_parent_guid;
events.object_process_parent_hash;
events.object_process_parent_id;
events.object_process_parent_name;
events.object_process_parent_path;
events.object_process_path;
events.object_process_version;
events.object_property;
events.object_query;
events.object_state;
events.object_storage_fullpath;
events.object_storage_id;
events.object_storage_name;
events.object_storage_path;
events.object_type;
events.object_value;
events.object_vendor;
events.object_version;
events.recv_host;
events.recv_ipv4;
events.recv_ipv6;
events.recv_time;
events.count;
events.count_bytes;
events.count_bytes_in;
events.count_bytes_out;
events.count_packets;
events.count_packets_in;
events.count_packets_out;
events.datafield1;
events.datafield2;
events.datafield3;
events.datafield4;
events.datafield5;
events.datafield6;
events.datafield7;
events.datafield8;
events.datafield9;
events.datafield10;
events.external_link;
events.interface;
events.nas_fqdn;
events.numfield1;
events.numfield2;
events.numfield3;
events.numfield4;
events.numfield5;
events.nas_ip;
events.tcp_flag;
events.tags;
events.mime;
events.correlation_rule;
events.original_time;
events.generator;
events.datafield11;
events.datafield12;
events.datafield13;
events.datafield14;
events.datafield15;
events.datafield16;
events.datafield17;
events.datafield18;
events.datafield19;
events.datafield20;
events.src_mac_vendor;
events.dst_mac_vendor;
events.event_src_mac_vendor;
events.event_src_mac;
events.external_dst_fqdn;
events.external_dst_geo_asn;
events.external_dst_geo_city;
events.external_dst_geo_country;
events.external_dst_geo_org;
events.external_dst_host;
events.external_dst_hostname;
events.external_dst_ip;
events.external_dst_mac_vendor;
events.external_dst_mac;
events.external_src_fqdn;
events.external_src_geo_asn;
events.external_src_geo_city;
events.external_src_geo_country;
events.external_src_geo_org;
events.external_src_host;
events.external_src_hostname;
events.external_src_ip;
events.external_src_mac_vendor;
events.external_src_mac;
events.object_account_company;
events.object_account_departament;
events.object_account_provider;
events.object_account_title;
events.object_application_account_domain;
events.object_application_account_id;
events.object_application_account_name;
events.object_application_account_privileges;
events.object_application_account_session_id;
events.object_application_name;
events.object_hash_imphash;
events.object_hash_md5;
events.object_hash_sha1;
events.object_hash_sha256;
events.object_process_chain_info;
events.object_process_chain;
events.object_process_decoded_data;
events.object_process_hash_imphash;
events.object_process_hash_md5;
events.object_process_hash_sha1;
events.object_process_hash_sha256;
events.object_process_parent_decoded_data;
events.object_process_parent_hash_imphash;
events.object_process_parent_hash_md5;
events.object_process_parent_hash_sha1;
events.object_process_parent_hash_sha256;
events.subject_account_company;
events.subject_account_departament;
events.subject_account_provider;
events.subject_account_title;
events.subject_application_account_domain;
events.subject_application_account_id;
events.subject_application_account_name;
events.subject_application_account_privileges;
events.subject_application_account_session_id;
events.subject_application_name;
events.subject_process_chain_info;
events.subject_process_chain;
events.subject_process_decoded_data;
events.subject_process_hash_imphash;
events.subject_process_hash_md5;
events.subject_process_hash_sha1;
events.subject_process_hash_sha256;
events.subject_process_parent_decoded_data;
events.subject_process_parent_hash_imphash;
events.subject_process_parent_hash_md5;
events.subject_process_parent_hash_sha1;
events.subject_process_parent_hash_sha256.

к сведению

По умолчанию максимальное количество элементов в списке — 10. При необходимости данное количество может быть увеличено с помощью конфигурационного файла.

Поиск каналов и запросов

Для того чтобы найти определенный канал или запрос в списке, нажмите на форму поиска в левом верхнем углу таблицы и введите ключевое слово, после чего нажмите Enter.

В качестве ключевых слов для поиска могут быть использованы названия каналов и запросов.

Просмотр каналов и запросов

Для того чтобы просмотреть подробную информацию о параметрах канала или запроса, нажмите на него в списке и в правой части страницы отобразятся подробные данные.

При просмотре канала все доступные данные будут отображены на одной вкладке. При просмотре HTTP-запроса на основной вкладке будут отображены основные параметры запроса, а его тело будет отображено на вкладке Запрос. В режиме просмотра вы также можете протестировать написанный вами запрос.

Редактирование канала и запроса

Для того чтобы отредактировать ранее добавленный канал или запрос:

Нажмите на канал или запрос в списке, после чего нажмите кнопку Изменить в левом нижнем углу:

Нажмите на три точки справа от канала или запроса в списке, после чего в выпадающем списке выберите Изменить:

При нажатии будет открыто окно редактирования канала или запроса.

Копирование запроса

Копирование позволяет создать дубликат запроса для последующего редактирования. Для того чтобы скопировать запрос, нажмите на три точки справа от его имени в списке, после чего выберите в выпадающем списке Создать копию.

После этого откроется страница редактирования скопированного запроса. Для сохранения копии нажмите Сохранить после внесения всех изменений.

Удаление канала и запроса

Для того чтобы удалить канал или запрос, нажмите на три точки справа от его имени в списке, после чего выберите в выпадающем списке Удалить.

После этого, во всплывающем окне нажмите кнопку Да, удалить для подтверждения удаления. Если вы передумали удалять канал или запрос, нажмите кнопку Отменить.

Общие сведения​

Добавление канала для оповещений​

Добавление запроса​

Переменные для запросов​

Поиск каналов и запросов​

Просмотр каналов и запросов​

Редактирование канала и запроса​

Копирование запроса​

Удаление канала и запроса​