Описание
Модуль Incident Manager представляет собой функциональное решение по управлению жизненным циклом инцидентов в области информационной безопасности, ИТ-инфраструктуры, аномального поведения пользователей и ошибок бизнес-процессов.
Основное назначение модуля — фиксация важных событий в виде инцидента, а также организация процесса и предоставление инструментов для управления выявленными инцидентами.
Для кого: операторы центра реагирования и SOC-аналитики, ИТ-эксплуатация, владельцы бизнес-процессов.
Возможности
Шесть инструментов полного цикла работы с инцидентами — от фиксации события до закрытия по workflow.
Консоль управления инцидентами
Централизованная консоль для операторов центра реагирования: сводная информация о выявленных инцидентах и диагностика с использованием набора фильтров.
- Полный цикл работы над инцидентами в одном окне
- Упрощённый поиск по частичному совпадению — по части слова
- Колонка «Рабочий процесс» в таблице инцидентов
- Массовые операции: adhoc-действия и теги сразу для нескольких инцидентов
Карточка, статусы и история
Все важные поля из событий, на основе которых зафиксирован инцидент, добавляются в карточку; статусы, комментарии участников расследования и история изменений — на временной шкале.
- Типы инцидентов: свой набор полей и представления карточки по ролям
- Комментарии с поддержкой Markdown, фильтрация и поиск по истории
- Прикрепление файлов к истории и комментариям
- Связывание инцидентов друг с другом
Workflow
Список статусов, которые может принимать инцидент, логика переходов между ними и ограничение переходов с помощью ролевой модели.
- Неограниченное количество workflow — точечное назначение для корреляционных правил
- Первичные действия выполняются синхронно до смены статуса
- Другие действия — асинхронно после изменения статуса
Агрегации
Объединение инцидентов в группы по конфигурируемым правилам для последующей совместной обработки.
- Конфигурируемые правила группировки
- Синхронизация ключевых полей с инцидентами группы
- Суффикс индекса для распределения результатов агрегаций
Adhoc Action
Активное действие в момент расследования — оператор запускает его на уровне инцидента или агрегации.
- Запуск действия из карточки инцидента
- Массовое применение сразу к нескольким инцидентам или агрегациям
- В действие передаётся полная информация об инциденте
Контроль SLA
Поддержка SLA появилась в Smart Monitor 6.1: сроки обработки инцидента настраиваются по различным сценариям, нарушения отслеживаются автоматически.
- Сроки обработки инцидента по различным сценариям
- Автоматический запуск скриптов на факт нарушения SLA
- Статистика по всем SLA на отдельном дашборде
