Přeskočit obsah

Ticket

Hlavní parametry tiketu

Každý tiket má své unikátní ID a název i další parametry (povinné i volitelné):

ID tiketu

Výchozí nastavení

ID tiketu se skládá ze dvou částí:

  • čtyřpísmenného prefixu
  • šestimístného čísla, tj. 000001

Pokud není nakonfigurován písmenkový prefix, jako prefix se použijí první čtyři písmena tenantu, tj. SYST pro tenant system.

Například první tiket v tenantu system bude mít ID SYST-000001.

Note

Každé ID tiketu má být unikátní.

  • první číselná posloupnost jde od 000001 do 999999,
  • druhý blok posloupnosti je A00001 až A99999 a automaticky se resetuje na B00001,
  • poslední blok posloupnosti končí ID tiketu {letter_prefix}-Z99999.

Hint

Pro pokračování generování unikátních ID tiketů po přidělení posledního čísla poslední posloupnosti nastavte v konfiguraci jiný prefix. Generování ID se vrátí k 1. bloku posloupnosti, tj. {new_letter_prefix}-000001.

Konfigurace ID tiketu

Formát ID lze do jisté míry nakonfigurovat v /Site/model.yaml:

  • délka prefixu (výchozí 4 písmena)
  • délka čísla (výchozí 6 číslic)
  • společný prefix (jeden pro všechny tikety ve všech tenantech)
  • prefix specifický pro tenant (výchozí je zkrácený název tenantu)

Společný prefix

/Site/model.yaml
services:
  lmio-alerts:
    asab:
      config:
        ticket:
          id_prefix: LMIO

V uvedeném příkladu:

  • všechny tikety ve všech tenantech budou mít ID s prefixem LMIO, tj. LMIO-{number}.

Prefix specifický pro tenant

/Site/model.yaml
services:
  lmio-alerts:
    asab:
      config:
        tenant_prefix:
          system: SSTM
          standard: STRD

V uvedeném příkladu:

  • tikety pro tenant system budou mít ID s prefixem SSTM, tj. SSTM-{number};
  • tikety pro tenant standard budou mít ID s prefixem STRD, tj. STRD-{number}.

Délka prefixu

/Site/model.yaml
services:
  lmio-alerts:
    asab:
      config:
        ticket:
          len_prefix: 5

V uvedeném příkladu:

  • všechny tikety ve všech tenantech vyžadují 5písmenný prefix pro ID tiketů;
  • pokud je nakonfigurován kratší prefix, automaticky se doplní nulami;
  • pokud je nakonfigurován delší prefix, automaticky se zkrátí na pět písmen;
  • pokud prefix není nakonfigurován, jako prefix se použijí první pět písmen názvu tenantu.

Délka čísla

/Site/model.yaml
services:
  lmio-alerts:
    asab:
      config:
        ticket:
          len_number: 3

V uvedeném příkladu:

  • všechny tikety budou mít v ID 3místné číslo, tj. {letter_prefix}-001.

Další detaily tiketu

Atributy

Atributy jsou různé indikátory kompromitace, které mohou být relevantní pro vyšetřování daného bezpečnostního incidentu.

Názvy atributů pocházejí ze Schema (např. source.ip, source.port, user.id atd.).

Ve výchozím nastavení zobrazujeme seznam hodnot atributů s počítadlem pro každou. Číslo udává, kolikrát se tato hodnota v souvislosti s tímto tiketem objevila.

Atributy

Obohacení tiketu

Můžete přidat konkrétní atributy a vytvořit flexibilnější obsah tiketu orientovaný na incident.

Jak obohatit tiket o vlastní atributy:

  • uveďte zvolené atributy v sekci additional_attributes příslušného detekčního pravidla, nebo
  • použijte volbu Add new attributes v UI pro obohacení konkrétního tiketu.

Záznam atributů

Některé typy atributů (strings, ips, floats, booleans) se ve výchozím nastavení ukládají automaticky.

Celočíselné atributy se zaznamenávají pouze pokud je ve Schema určena metoda skupinování.

Hint

Pokud v tiketu chybí atribut z detekčního pravidla, zkontrolujte, zda je jeho typ ve výchozím nastavení zaznamenáván, nebo zda ve Schema potřebuje metodu skupinování.

Existují dvě metody skupinování:

  • raw ukládá celočíselnou hodnotu beze změny (např. porty, status kódy).
  • log10 seskupuje neomezené počítadlo velikosti do bucketů (např. bajty, velikosti souborů). Přesná hodnota se nezaznamenává.

Volba format: humanize zobrazí hodnotu v UI v kratší, uživatelsky přívětivé podobě, například 1M místo 1000000.

/Schemas/ECS.yaml
  destination.port:
    type: ui16
    alert:
      grouping:
        method: raw
        description: Stores attribute value as is

  http.response.bytes:
    type: si64
    format: humanize
    alert:
      grouping:
        method: log10
        description: Groups large values into magnitude buckets

Časová osa

Časová osa zaznamenává všechny relevantní změny v tiketu, jako jsou fáze životního cyklu tiketu, změny responderů, relevantní komentáře uživatelů atd.

Je to entita orientovaná na vyšetřování, což znamená, že zobrazuje pouze data aktuálně relevantní k danému problému.

Časová osa

Události

Úplná hierarchie přímo přiřazených událostí a událostí z vnořených tiketů.

Události

Související tikety

Úplná hierarchie přímo přiřazených tiketů a jejich vnořených tiketů.

Související tikety