https://doc.ruscomtech.ru/index.php?action=history&feed=atom&title=%D0%90%D0%B2%D1%82%D0%BE%D0%BC%D0%B0%D1%82%D0%B8%D0%B7%D0%B8%D1%80%D0%BE%D0%B2%D0%B0%D0%BD%D0%BD%D0%B0%D1%8F_%D1%81%D0%BE%D1%80%D1%82%D0%B8%D1%80%D0%BE%D0%B2%D0%BA%D0%B0_%D0%BE%D0%BF%D0%BE%D0%B2%D0%B5%D1%89%D0%B5%D0%BD%D0%B8%D0%B9_%D0%BE%D0%B1_%D1%83%D0%B3%D1%80%D0%BE%D0%B7%D0%B0%D1%85Автоматизированная сортировка оповещений об угрозах - История изменений2026-10-06T18:02:24ZИстория изменений этой страницы в викиMediaWiki 1.43.9https://doc.ruscomtech.ru/index.php?title=%D0%90%D0%B2%D1%82%D0%BE%D0%BC%D0%B0%D1%82%D0%B8%D0%B7%D0%B8%D1%80%D0%BE%D0%B2%D0%B0%D0%BD%D0%BD%D0%B0%D1%8F_%D1%81%D0%BE%D1%80%D1%82%D0%B8%D1%80%D0%BE%D0%B2%D0%BA%D0%B0_%D0%BE%D0%BF%D0%BE%D0%B2%D0%B5%D1%89%D0%B5%D0%BD%D0%B8%D0%B9_%D0%BE%D0%B1_%D1%83%D0%B3%D1%80%D0%BE%D0%B7%D0%B0%D1%85&diff=6839&oldid=prevIKuznetsov: Новая страница: « = Автоматизированная сортировка оповещений об угрозах = '''Руководство''' Команды безопасности сталкиваются с проблемой обработки огромных объёмов данных безопасности для выявления и реагирования на потенциальные угрозы, приоритизации оповещений и...»2026-09-24T18:28:19Z<p>Новая страница: « = Автоматизированная сортировка оповещений об угрозах = '''Руководство''' Команды безопасности сталкиваются с проблемой обработки огромных объёмов данных безопасности для выявления и реагирования на потенциальные угрозы, приоритизации оповещений и...»</p>
<p><b>Новая страница</b></p><div><br />
= Автоматизированная сортировка оповещений об угрозах =<br />
'''Руководство'''<br />
<br />
Команды безопасности сталкиваются с проблемой обработки огромных объёмов данных безопасности для выявления и реагирования на потенциальные угрозы, приоритизации оповещений и оценки серьёзности событий. При отсутствии контекста аналитики тратят ценное время на разбор шума, переключение между инструментами и риск упустить важную информацию, что приводит к задержкам в реагировании и неэффективности операций безопасности.<br />
<br />
Платформа Ключ-АСТРОМ решает эту проблему, предоставляя возможности контекстуализации безопасности, такие как обогащение данными об угрозах. Различные обнаружения безопасности на платформе Ключ-АСТРОМ содержат наблюдаемые объекты, например IP-адреса. Эти наблюдаемые объекты теперь можно обогащать данными о репутации и другим контекстом угроз, что позволяет:<br />
<br />
* Классифицировать и приоритизировать оповещения<br />
* Снижать шум<br />
* Быстро реагировать на оповещения об угрозах<br />
<br />
== Целевая аудитория ==<br />
Эта статья предназначена для команд реагирования на инциденты, которые хотят автоматизировать сортировку новых обнаружений с поддержкой данных об угрозах.<br />
<br />
== Сценарий ==<br />
Новое обнаружение безопасности из '''Amazon GuardDuty''' загружается на платформу Ключ-АСТРОМ.<br />
<br />
Команда безопасности хочет получать уведомления в '''Slack''' только о новых критических обнаружениях от действующего лица, чей IP-адрес классифицирован как вредоносный внешним источником данных об угрозах.<br />
<br />
== Предварительные требования ==<br />
<br />
* Установите и настройте интеграцию '''Amazon GuardDuty''' (или любую другую поддерживаемую интеграцию приёма данных).<br />
* Настройте подключение обогащения (например, '''AbuseIPDB''', '''VirusTotal''' или любой пользовательский '''HTTP'''-'''API''' данных об угрозах).<br />
* Пользователи должны иметь разрешение <code>security-intelligence:enrichments:run</code> для запуска обогащений.<br />
<br />
== Начало работы ==<br />
<br />
==== Шаг 1. Импортируйте рабочий процесс ====<br />
Импортируйте пример рабочего процесса, предоставленный для этого сценария.<br />
<br />
# В Ключ-АСТРОМ откройте '''Рабочие процессы''' и выберите '''Создать рабочий процесс'''.<br />
# Выберите действие '''Security Enrichment''' и настройте его, используя ваше подключение обогащения.<br />
<br />
==== Шаг 2. Включите обогащение ====<br />
Чтобы запустить действие рабочего процесса обогащения, вам нужно включить разрешение <code>security-intelligence:enrichments:run</code>.<br />
<br />
# Перейдите в меню настроек в правом верхнем углу '''Рабочих процессов''' и выберите '''Настройки авторизации'''.<br />
# В разделе '''Дополнительные разрешения''' найдите и выберите разрешение <code>security-intelligence:enrichments:run</code>.<br />
# Выберите '''Сохранить'''.<br />
<br />
==== Шаг 3. Настройте рабочий процесс ====<br />
Настройте действие запроса '''DQL''' или сообщение уведомления '''Slack''' под свои нужды.<br />
<br />
==== Шаг 4. Протестируйте рабочий процесс ====<br />
Запустите рабочий процесс, чтобы протестировать его.<br />
<br />
Пример уведомления:<br />
<br />
==== Шаг 5. Сохраните рабочий процесс ====<br />
Запланируйте и сохраните рабочий процесс для автоматического запуска.</div>IKuznetsov