Stsenariylar

Javobni qadamlar grafigi sifatida quring, ishga tushishidan oldin nima qilishini ko'ring va har bir qadam haqiqatan ishlaydimi, konnektor kerakmi yoki faqat nima qilishini yozib qo'yadimi — biling.

Stsenariy — kanvasda grafga ulangan qadamlar to’plami. Qadamlar shoxlanishi mumkin, shuning uchun bitta alert bir vaqtda bir nechta chorani boshlashi mumkin. Stsenariy alert ustida ishlaydi — siz ishga tushirganingizda yoki yangi alert uning triggeriga mos kelganda o’zi.

Triggerlar

Avtomatik ishlashga sozlangan stsenariy triggeriga mos keladigan har bir yangi alertda boshlanadi:

Daraja — critical, high, medium, low, info dan bittasi yoki bir nechtasi;
Teglar — sanab o’tilgan teglardan kamida bittasi.

Ikkalasi berilgan bo’lsa, ikkalasi ham mos kelishi kerak — aniqlash dvigateli amal qiladigan qoidaning o’zi. Bo’sh ro’yxat shart hisoblanmaydi.

Har bir qadam aslida nima qiladi

Qadam qanday ishlashi uning amaliga va deploymentingizga nima ulanganiga bog’liq:

Qanday ishlaydi	Ma’nosi	Amallar
Mahalliy	Platformaning o’zi bajaradi	Alertni yangilash, indikatorni boyitish, manzilni bloklash ro’yxatiga qo’shish, platforma sessiyasini bekor qilish, platforma hisobi ma’lumotlarini almashtirish
Konnektor orqali	Konnektor orqali yuboriladi — faqat o’sha konnektor sozlangan bo’lsa	Slack, email (SMTP), PagerDuty, Jira; domenni bloklash (Pi-hole)
Agent orqali	Host uchun tirik agent ro’yxatdan o’tgan bo’lsa, Windows agentga yuboriladi; aks holda sinov (dry run) sifatida yoziladi	Hostni izolyatsiya qilish, jarayonni to’xtatish, faylni karantinga olish, forensika yig’ish
Amalga oshirilmagan	Faqat yoziladi; hech narsa o’zgarmaydi	Zaxira nusxalarni tekshirish, VM snapshot, orqaga qaytarish, zaxiradan tiklash

Muharrirda amalga oshirilmagan qadam shunday deb belgilanadi, har doim tasdiq kutadigan qadamda Tasdiq: har doim, agent orqali o’tadigan qadamda esa Agent: 2-admin yorlig’i bo’ladi. Muharrir ishlay olmaydigan qadamni saqlashni rad etadi.

Tasdiqlash

Tasdiq talab qilinadi deb belgilangan qadam ishga tushirishni to’xtatadi va qadam navbatga qo’yiladi. Uni tasdiqlash qadamni bajaradi va ishga tushirishni o’sha joydan — ishga tushirish boshlangandagi graf bo’ylab — davom ettiradi.

Qadam yuqori paneldagi Tasdiq kutayotganlar bo’limida kutadi. Uni u yerda ishga tushirgan odamdan boshqa kishi — ANALYST yoki undan yuqori — tasdiqlaydi yoki rad etadi. Ishga tushirgan odam nega tasdiqlay olmasligini ko’radi va so’rovni qaytarib olishi mumkin. Rad etilgan qadam bajarilmaydi, undan keyin ulangan qadamlar ham bajarilmaydi, ishga tushirish esa rad etilgan holda tugaydi. Alert stsenariy triggeriga mos kelganda platformaning o’zi boshlagan ishga tushirishda ishga tushirgan odam yo’q, shuning uchun uning qadamlarini istalgan ANALYST tasdiqlashi mumkin.

Ba’zi qadamlar muallif belgilamagan bo’lsa ham tasdiq kutadi: manzil yoki domenni bloklash, sessiyani bekor qilish va ma’lumotlarni almashtirish.

Agent orqali o’tadigan qadamlar bu yerda kutmaydi; ular agentning o’z navbatida kutadi va u yerda agent ularni ko’rishidan oldin so’ragan odamdan boshqa ADMIN tasdiqlashi kerak. Izolyatsiya va jarayonni to’xtatish sahifasiga qarang.

Ishga tushishidan oldin sinang

Sinab ko’rish grafni haqiqiy alert ustida yurib chiqadi va har bir qadam uchun nima bo’lishini va nima uchun ekanini ko’rsatadi — bajariladi, tasdiq uchun navbatga qo’yiladi, dry run, o’tkazib yuboriladi, amalga oshirilmagan yoki yetib borilmaydi — qadam ishlaydigan qiymatlar alertdan to’ldirilgan holda. U hech narsani bajarmaydi, yozmaydi va hech kim bilan bog’lanmaydi.

Tarix va versiyalar

Har bir ishga tushirish har bir qadam natijasi, kim boshlagani va qachon bilan saqlanadi.
Har bir saqlash — versiya. Oldingi versiyalarni ochish va tiklash mumkin.
Shablonlar boshlang’ich nuqta beradi; shablondan foydalanish sizning nusxangizni yaratadi.