事件管理

    最后更新于：

    EventLog Analyzer可帮助您简化安全事件的管理与调查流程。您可通过导航至"告警"选项卡→"事件"来追踪安全事件状态。

    查看与编辑事件

    在事件页面中，您可查看网络中所有事件的列表及关键信息，包括负责人、状态和严重程度。点击任意事件即可查看并编辑事件名称、描述、负责人、状态和严重程度。证据 和注释选项卡显示与事件关联的证据和注释列表。活动日志页面记录并显示事件创建、修改和删除相关的操作记录。

    事件详情页显示事件发生时间、创建者等信息。参与者组件列出与事件相关的用户、实体、服务及流程，协助负责人快速调查并采取补救措施。

    Incident management

    创建事件的步骤

    在EventLog Analyzer中创建事件：导航至"告警"选项卡→"事件"→"+添加事件"。

    • 在事件页面中，请在相应字段中输入事件名称和描述。
    • 从对应下拉菜单中选择事件的负责人、严重程度及状态。
    • 点击创建。

    您可在活动日志窗格中查看事件创建过程的日志记录。

    Incident management

    此外，您还可通过以下方式在EventLog Analyzer中创建事件：

    将告警映射为事件的步骤

    在EventLog Analyzer中，可通过以下步骤将触发的告警映射为事件：

    • 导航至“告警”选项卡。
    • 选择需要创建事件的告警。
    • 点击告警表顶部的“+添加到事件”按钮，然后选择“+添加新事件”选项创建新事件。
    • 输入事件名称及描述。
    • 从对应下拉菜单中选择事件负责人、状态及严重程度。
    • 点击创建。

    您还可将告警作为证据添加至事件：选中告警后点击“+添加至事件”按钮，从显示列表中选择目标事件。该告警将显示在所选事件的“证据”选项卡下。

    Incident management

    将搜索结果映射为事件的步骤

    EventLog Analyzer支持将搜索结果映射为事件，通过以下步骤可追溯攻击源头并进行根本原因分析：

    • 切换至"搜索"选项卡并执行所需查询。
    • 在搜索结果窗格中，点击“事件”按钮。
    • 现在，选择要添加到事件中的搜索结果。
    • 点击“+添加到事件”按钮，选择要添加搜索结果的目标事件。
    • 您也可以通过点击“+添加新事件”链接创建新事件来映射所选搜索结果。
    • 若创建新事件，请输入事件名称及描述。从对应下拉菜单中选择负责人、状态和严重程度。
    • 点击创建。

    您现在可在事件的证据选项卡下查看作为证据添加的搜索结果。

    Steps to map search results as incidents

    报表映射为事件的步骤

    若报表中检测到异常，可将报表中指定的异常事件映射为事件，并指派专职IT安全人员进行深入调查。请按以下步骤操作：

    • 转到“报表”选项卡，点击要添加为事件的报表。
    • 点击“事件”按钮并选择相关事件。
    • 点击“+添加到事件”按钮，选择要添加所选事件的目标事件名称。
    • 您也可以通过点击“+添加新事件”链接创建新事件。
    • 若创建新事件，请输入事件名称及描述。从对应下拉菜单中选择负责人、状态和严重程度。
    • 点击创建。

    您现在可在所选事件的"证据"选项卡下查看报表中的事件列表。

    Steps to map reports as incidents

    配置事件规则

    您可为设备、设备组及告警配置文件设置预定义事件规则，当特定时间段内触发指定数量告警时自动创建事件。

    创建事件规则的步骤
    • 导航至“告警”选项卡 → 事件 → 事件规则 → +添加事件规则。
    • 输入事件规则的名称和描述。
    • 通过选择“分配给”下拉菜单中的姓名，将此规则创建的事件分配给技术人员。
    • 在严重性字段中选择严重级别：注意、严重或故障。
    • 输入触发事件的阈值。当指定时间段内触发告警达到设定数量时，系统将自动创建事件。
    • 在条件字段中，指定需要创建事件的设备、设备组或告警配置文件。您也可通过点击+图标添加多个字段，使用AND/OR逻辑运算符组合创建复合条件。
    • 点击保存。
    Incident management

    点击事件名称可编辑事件名称、描述、负责人、严重程度及状态。您可在此页面查看事件的证据、备注、活动日志和参与者，同时还能查看事件创建者、创建时间及事件时效。

    Incident management

    注意：您可在EventLog Analyzer实例中创建最多10条事件规则。该解决方案支持每条事件规则每日触发最多五十次事件。

    创建事件视图

    通过选择"选择视图"下拉菜单，可按不同类别查看事件，例如：所有事件、活动事件、关键事件以及与第三方工单工具关联的事件。您还可通过配置过滤器创建自定义视图，筛选需要查看的事件类型。

    Steps to map reports as incidents

    应用筛选器后，点击“另存为视图”链接输入视图名称并点击“保存”。自定义视图仅对创建者可见，且仅限创建者查看。您可在“选择视图”下拉菜单中将鼠标悬停于创建的视图上，进行编辑或删除操作。

    Steps to map reports as incidents

    查看和编辑事件规则

    在事件规则页面中，可选择事件进行启用、禁用及删除操作。

    Steps to map reports as incidents

    按需工作流

    要为事件运行工作流，

    • 导航至"事件"页面并选择目标事件。
    • 在证据选项卡下，点击特定证据对应的“运行工作流”按钮。
      OnDemand Workflows
    • 从下拉菜单中选择工作流并点击运行。
      • OnDemand Workflows
    • 点击活动日志查看工作流历史记录。
      • OnDemand Workflows

    工作流状态将显示在右上角的"已采取的补救措施"区域，该记录也将同步至导出报表。

    注意：用户也可针对单个告警或事件运行多个工作流。

    为事件创建工单

    为事件创建工单时，

    • 导航至"事件"部分并选择所需事件。
    • 在"工单状态"选项卡下点击"创建工单"按钮，即可在配置的工单系统中创建工单；工单详情将立即显示。
      • Creating Tickets for Incidents
    • 创建的工单优先级将根据当前事件严重性自动设定。
      • Creating Tickets for Incidents
    • 事件状态或严重性发生任何变更时，工单工具中的工单状态和严重性将根据映射值自动更新。
    • 状态/严重性映射详情请参阅此链接。
    注意：双向同步功能仅在工单工具中安装了EventLog Analyzer应用时可用。若尚未安装，请按此链接中的步骤安装EventLog Analyzer应用。

    事件管理状态/严重性与工单工具的映射关系

    理解事件日志分析器中的事件状态和严重性与各类工单工具的对应关系，对于实现无缝集成和高效事件管理至关重要。

    默认状态映射

    下表概述了EventLog Analyzer事件状态与不同工单工具对应状态的映射关系：

    工具 事件日志分析器 - 事件状态 工单工具 - 工单状态
    Kayako
    1. 开放
    2. 进行中
    3. 关闭
    1. 开放
    2. 待处理
    3. 已关闭
    Zendesk
    1. 开放
    2. 进行中
    3. 已关闭
    1. 开放
    2. 待处理
    3. 已解决
    ServiceNow
    1. 已开启
    2. 进行中
    1. 已关闭
    1. 新
    2. 进行中/活跃
    3. 已关闭
    Freshservice
    1. 已开启
    2. 进行中
    3. 已关闭
    1. 开放
    2. 待处理
    3. 已关闭
    Jira Cloud
    1. 开放
    2. 进行中
    3. 已关闭
    1. 开放
    2. 正在处理
    3. 完成
    Jira Service Desk
    1. 开放
    2. 进行中
    3. 已关闭
    1. 已打开
    2. 进行中
    3. 完成
    ServiceDesk Plus 云
    1. 开放
    2. 进行中
    1. 已关闭
    1. 打开
    2. 打开
    3. 关闭
    ServiceDesk Plus
    1. 开放
    2. 进行中
    3. 关闭
    1. 打开
    2. 进行中
    3. 关闭
    ServiceDesk Plus MSP
    1. 开放
    2. 进行中
    3. 关闭
    1. 开放
    2. 进行中
    3. 关闭

    默认严重性映射

    下表展示了事件严重性在EventLog Analyzer与各类工单工具间的映射关系：

    工具 事件日志分析器 - 事件严重性 票务工具 - 票务严重性
    Kayako
    1. 严重
    2. 故障
    3. 注意
    		 影响：
    1. 紧急
    2. 高
    3. 正常
    Zendesk
    1. 严重
    2. 故障
    3. 注意
    		 优先级：
    1. 紧急
    2. 高
    3. 正常
    ServiceNow
    1. 关键
    2. 故障
    3. 注意
    		 优先级：
    1. 1- 关键
    2. 2 - 高
    3. 3 - 中等
    Jira Cloud
    1. 危急
    2. 故障
    3. 注意
    		 优先级：
    1. 最高
    2. 中等
    3. 低
    Freshservice
    1. 危急
    2. 故障
    3. 注意
    		 优先级：
    1. 紧急
    2. 高
    3. 低
    Jira服务台
    1. 危急
    2. 故障
    3. 注意
    		 优先级：
    1. 高
    2. 中等
    3. 低
    ServiceDesk Plus 云
    1. 危急
    2. 故障
    3. 注意
    		 优先级：
    1. 高
    2. 中等
    3. 正常
    ServiceDesk Plus
    1. 危急
    2. 故障
    3. 注意
    		 优先级：
    1. 高
    2. 中等
    3. 正常
    ServiceDesk Plus MSP
    1. 危急
    2. 故障
    3. 注意
    		 优先级：
    1. 高
    2. 中等
    3. 正常
    告警系统
    1. 危急
    2. 故障
    3. 注意
    		 优先级：
    1. 关键
    2. 重大
    3. 信息

    通过统一事件日志分析器与工单工具间的事件状态及严重性，可确保跨平台沟通一致性与高效事件解决。