---
title: Alertowanie
description: Każde źródło powiadomień na jednym ekranie - trendy, aktywności, anomalie i automatyzacje - z dziennikiem tego, co naprawdę wysłano, do kogo i dlaczego coś wstrzymano, nadpisaniami aż do pojedynczego użytkownika oraz pocztą wychodzącą z Twojej własnej domeny.
icon: BellRing
---

# Alertowanie (Alerting)

Ekran Alertowania odpowiada na pytanie, na które większość produktów bezpieczeństwa nie umie odpowiedzieć: **„Kto dowiaduje się o czym, jak szybko, z jakiej skrzynki - i co właściwie do nas wysłaliście w zeszłym tygodniu?"** Detekcja, alertowanie i powiadamianie to tu trzy różne rzeczy, a to jest miejsce, w którym dwie ostatnie konfigurujesz i audytujesz.

## Co Możesz Osiągnąć

<Cards>
  <Card
    title="Zobacz każde źródło alertów w jednym miejscu"
    description="Polityki trendów, reguły aktywności, detektory anomalii i automatyzacje miały dotąd własne ustawienia alertów, każde na swoim ekranie. Zakładka Reguły alertów wypisuje je wszystkie razem z kanałem (natychmiastowy, podsumowanie albo tylko wykrywanie), odbiorcami, dołączonymi akcjami, oknem weryfikacji oraz momentem, w którym każde z nich ostatnio wysłało lub ostatnio wstrzymało powiadomienie."
  />
  <Card
    title="Udowodnij, co zostało wysłane"
    description="Zakładka Wysłane to dziennik decyzji, nie surowy log zdarzeń: jeden wiersz na decyzję - wysłano, wstrzymano z podaniem powodu albo nieudane - z odbiorcami, użytym nadawcą i efektywną ważnością. „Dlaczego nie dostaliśmy maila o X” ma odpowiedź, którą można przeczytać, a nie zgłoszenie do supportu."
  />
  <Card
    title="Zaostrz kontrolę nad jedną osobą, zanim odejdzie"
    description="Nadpisania wkładają częściową regułę między ustawienia anomalii całego tenanta a pojedynczego użytkownika, aplikację, agenta AI, urządzenie, witrynę lub grupę: obniż linię alertu, wycisz albo zmień poziom dla tego jednego bytu, z powodem i datą wygaśnięcia - żeby zaostrzona kontrola wygasała, zamiast się kumulować."
  />
  <Card
    title="Trafiaj do skrzynki odbiorczej, nie do kwarantanny"
    description="Firmowe systemy anty-phishingowe kwarantannują pocztę spoza tenanta. Wyraź zgodę na dedykowaną aplikację Alerts (wyłącznie Mail.Send), wskaż skrzynkę w swojej domenie, wyślij test i potwierdź, że dotarł - a każdy alert wychodzi jako poczta pierwszej strony, od Ciebie."
  />
</Cards>

## Trzy Warstwy, Nie Jeden Przełącznik

- **Detekcja** działa zawsze. Polityki liczą, detektory uczą się linii bazowych, epizody są zapisywane - ściszenie alertowania nigdy nie traci historii.
- **Alertowanie** decyduje, czy epizod zasługuje na uwagę: linia alertu dla anomalii, wyzwalacz natychmiastowy albo rytm podsumowania dla polityk, nadpisania per byt.
- **Powiadamianie** decyduje, kto zostaje poinformowany, kiedy i skąd - odbiorcy, okna schłodzenia, podsumowania zakotwiczone w strefie czasowej, skrzynka nadawcy.

Każda kontrolka na tym ekranie zmienia jedną z dwóch ostatnich warstw i mówi to wprost. Detekcja nigdy nie jest tym, co wyłączasz.

## Reguły Alertów

Jeden wiersz na źródło, każdy z tą samą ikoną, której reszta aplikacji używa dla danego ekranu. **Źródło** mówi, skąd reguła pochodzi - trend, aktywność, detektor anomalii albo automatyzacja. **Alertowanie** pokazuje wszystkie kanały reguły obok siebie, więc „natychmiast *i* tygodniowe podsumowanie” to dwa chipy, nie jedna etykieta: ⚡ natychmiast (mail w chwili przekroczenia linii - najedź, by zobaczyć wyzwalacz), 🔔 podsumowanie (rytm raportowania - od godzinnego do tygodniowego, tygodniowy zakotwiczony w dniu i godzinie w strefie czasowej Twojej firmy) albo *Bez alertów · wykrywanie działa* - to stan, nie usterka: reguła dalej liczy i rysuje trend, po prostu jeszcze nikogo nie mailuje. Chip podsumowania szarzeje i dostaje ostrzeżenie, gdy reguła nie ma do kogo wysłać - cykl działa, każdy przebieg jest wstrzymywany. Detektory anomalii biorą chipy natychmiast/podsumowanie z reguły anomalii tenanta i dodają *wyciszone dla N obiektów* / *dostrojone dla N obiektów* z własnych nadpisań; reguły polityk dodają *N obserwowanych*, gdy obiekty są pod wzmożoną obserwacją, bo te wysyłają mail natychmiast przy każdej regule, do której nowo pasują.

**Trafienia teraz** to liczba, którą warto przeczytać przed decyzją, czy reguła w ogóle zasługuje na kanał: bieżące dopasowania reguły, liczone leniwie, gdy wiersz pojawia się na ekranie - *teraz* (policzone na żywo na bieżących danych, `1000+` przy limicie), *otwarte epizody* (epizody detektora anomalii w warstwie alertowanej - ta sama liczba co na ekranie Anomalie) albo *ostatnia ocena*, gdy dla danego kształtu reguły liczenie na żywo nie jest możliwe. Jedno zapytanie (`getAlertFindingsCount`) odpowiada dla każdego źródła.

Dzwonek **Powiadamiaj** wyłącza (i włącza z powrotem) powiadomienia reguły jednym kliknięciem bez otwierania jej; zaznacz wiersze, by zrobić to hurtowo - *Wyłącz powiadomienia*, *Włącz podsumowanie*, *Włącz alerty natychmiastowe*. Po najechaniu na przycisk zobaczysz, co robi; włączenie jednego kanału nie zmienia drugiego. Wyłączenie powiadomień nigdy nie zatrzymuje wykrywania: cykl dalej ocenia, trend dalej się rysuje, przestaje tylko mail. Chipy szybkich filtrów nad tabelą - *Natychmiastowe*, *Podsumowania*, *Natychmiastowe + podsumowanie*, *Bez alertów · tylko wykrywanie*, *Nie ma do kogo wysłać*, *Z nadpisaniami*, źródła - niosą bieżące liczby i filtrują listę jak na każdym innym ekranie; *Wszystkie filtry* otwiera pełną szufladę, w tym filtr **Zasób** (użytkownik, lokalizacja, agent, …). Ekrany Lokalizacje, Trendy i Anomalie mają link **Reguły alertów**, który otwiera ten spis już odfiltrowany do ich reguł, więc alertowanie ekranu stroisz z ekranu, którego dotyczy.

**Odbiorcy** to jawne adresy na regule; gdy nie ma żadnych, używani są właściciele polityki i domyślny użytkownik. Kanał natychmiastowy dodatkowo spada na administratorów tenanta; podsumowanie nie - reguła podsumowania bez nikogo do powiadomienia pokazuje *Nikt* z ostrzeżeniem i jest liczona w kafelku *Bez odbiorców*, więc nigdy nie zostaje po cichu bez odbiorcy. **Akcje** i **Okres karencji** pokazują, co zrobi automatyzacja i jak długo czeka na weryfikację. **Ostatnio wysłano** i **Ostatnio wstrzymano** pochodzą wprost z dziennika powiadomień.

Kliknij wiersz polityki, żeby otworzyć ten sam edytor reguły alertu, którego używają ekrany Trendów, Aktywności i Automatyzacji. Jego wyzwalacz natychmiastowy *Gdy odbiega od własnej historii* to detektor anomalii zastosowany do serii dopasowań samej reguły: skoki oceniane są dokładnie jak na ekranie Anomalie, przy linii alertu ustawionej tam suwakiem **Czułość alertów** - jedna czułość, widoczna w obu oknach; spadki to zwykły procent poniżej mediany, bo silnik oceny z założenia wykrywa tylko skoki. *Gdy liczba dopasowań przekroczy próg* to stały próg. Mieszkają w nim dwie ważności, bo to dwa różne stwierdzenia o tej samej polityce: **Ważność raportu** to ta, którą niesie podsumowanie; **Alarmuj jako** to ta, którą niesie kanał natychmiastowy, gdy linia zostaje przekroczona. Trend raportujący co tydzień jako *info* może alarmować jako *wysoki* - cykliczny raport to tło, skok już nie.

## Co Jest Wysyłane E-mailem

**Reguły alertów** pokazują wszystko, co *może* alarmować, także reguły, które tylko wykrywają. **Co jest wysyłane e-mailem** pokazuje to, co *faktycznie* wysyła: każdy e-mail o alertach wysyłany przez tenant, zapisany jako zdanie - co go wyzwala, kiedy wychodzi i kto go dostaje.

Górny wiersz zawiera fakty wspólne dla wszystkich e-maili: ile wysłano i ile wstrzymano w ostatnich 30 dniach (z linkiem do dziennika), z której skrzynki wychodzą, czy włączone są godziny ciszy oraz w jakiej strefie czasowej pokazywane są godziny.

**Alerty natychmiastowe** to poczta, która wychodzi w chwili spełnienia warunku:

- **Alerty o anomaliach** - ustawienie anomalii całego tenanta: od jakiego wyniku, dla jakich rodzajów anomalii, jak często detektor może wysłać e-mail i do kogo. E-maile mogą wysyłać tylko detektory ustawione jako *Zarządzany*; karta podaje, ile ich jest, i ostrzega, gdy ustawienie jest włączone, a wszystkie detektory są nadal tylko śledzone. Detektory ilościowe (pobrania, udostępnienia, logowania, użycie AI) wysyłają e-mail tylko wtedy, gdy na tym samym użytkowniku lub aplikacji otwarty jest też inny detektor.
- **Obserwowane zasoby** - zasoby i grupy objęte wzmożoną obserwacją wysyłają e-mail w chwili, gdy zaczną pasować do dowolnej reguły alertu, najwyżej raz dziennie na zasób i regułę.
- **Powiadomienia dla właścicieli zasobów** - gdy automatyzacja proponuje zmianę, którą musi przejrzeć właściciel, dostaje on jeden e-mail z listą oczekujących zmian.

**Podsumowania** to cykliczne podsumowania: **podsumowanie anomalii**, cotygodniowe **podsumowanie wydatków AI** i **Podsumowanie dnia** (strona [Dzisiaj](/pl/docs/screens/dashboard) każdego ranka - podsumowanie bez poziomu ważności, nie alert; *Zmień* otwiera godzinę i odbiorców), każde z godziną następnej wysyłki.

**Reguły alertów, które wysyłają e-maile** to lista reguł z włączonym kanałem. Kolumna *Kiedy wysyła e-mail* opisuje każdy kanał słowami - „Wyślemy e-mail, gdy tylko liczba dopasowań wzrośnie powyżej 50”, „Wysyłamy e-mail z podsumowaniem co tydzień (poniedziałek, godz. 08:00, Europe/Warsaw)” - obok odbiorców, godziny następnego podsumowania, ostatniej wysyłki i liczby e-maili z 30 dni. Kliknij wiersz, by otworzyć ustawienia alertowania reguły.

Każda karta pokazuje, dlaczego coś nie jest wysyłane - *wyłączone*, *nic nie jest obserwowane*, *brak danych* - a gdy powiadomienia były wstrzymywane, ile ich było i jaki był najczęstszy powód. **Zobacz przykład** otwiera próbkę e-maila tego rodzaju w bieżącym wyglądzie wiadomości.

Okna, w których zmienia się te ustawienia - alertowanie reguły, alertowanie anomalii całego tenanta i nadpisanie - kończą się tymi samymi zdaniami pod nagłówkiem **Co się stanie po zapisaniu**, aktualizowanymi w trakcie edycji, więc wynik można przeczytać przed zapisaniem.

## Zakładka Powiadomienia - Dziennik Decyzji

Każdy producent powiadomień zapisuje tu wpis w chwili podjęcia decyzji, niezależnie od tego, czy mail wyszedł - zakładka pokazuje decyzje wstrzymane i nieudane obok wysłanych, dlatego nie nazywa się „Wysłane”. Wiersz to jeden z trzech wyników:

- **Wysłane** - kto otrzymał, jaki nadawca został użyty (Twoja własna skrzynka albo mailer platformy), temat i efektywna ważność.
- **Wstrzymane** - wraz z dokładnym powodem: *wyciszone przez nadpisanie*, *poziom info, gdy reguła powiadamia tylko o alertowanych*, *wewnątrz okna schłodzenia*, *nie jest rekordem względem własnej linii bazowej (powtórka)*, *nie ma czego zgłaszać*, *brak odbiorców*, *brak skonfigurowanego nadawcy poczty* i kilka innych. Wstrzymania zapisywane są raz na epizod i powód, więc ponownie oceniany epizod nie zalewa listy.
- **Nieudane** - dostawca poczty odmówił wysyłki; błąd jest na wierszu.

Kliknij dowolny wiersz, by go otworzyć: nagłówek niesie wynik, kanał i czas; przegląd tłumaczy wstrzymany wiersz prostymi słowami i mówi, co by to naprawiło (ze skrótem do edytora alertów reguły), wymienia odbiorców i nadawcę oraz linkuje regułę i obiekt. Druga zakładka zawiera faktyczne elementy stojące za powiadomieniem - dla podsumowania użytkowników, pliki, witryny lub aplikacje z tego skanu jako te same interaktywne listy, których używa reszta aplikacji; dla powiadomienia o anomalii - epizody wykryte na obiekcie.

Chipy szybkich filtrów nad tabelą niosą liczby - wynik, kanał, źródło, powód - a szuflada *Wszystkie filtry* zawiera pełny zestaw wraz z zakresem dat; ten sam pasek filtrów, którego używa reszta aplikacji. Czasy renderowane są w strefie czasowej firmy. Te same wiersze dostępne są w szufladzie każdego użytkownika, aplikacji i agenta w zakładce **Powiadomienia**, a dla Twojego SIEM - przez `GET /api/v1/notifications` z zakresem `notifications:read`.

<Callout type="info">
  Dziennik jest przechowywany tak długo, jak historia aktywności - **do trzech
  lat** - bo to dowód zgodności: co platforma komu przekazała i kiedy. Jest
  zapisywany nawet wtedy, gdy wysyłka dla danego kanału jest wyłączona - możesz
  zobaczyć, co *zostałoby* wysłane i do kogo, zanim włączysz kanał.
</Callout>

## Nadpisania - Od Postawy Tenanta w Dół do Jednego Bytu

Reguła anomalii tenanta (w nagłówku) to szczyt hierarchii. Poniżej niej nadpisanie to reguła *częściowa*, ograniczona do:

- jednego **typu anomalii** - detektora takiego jak *Nietypowe pobrania plików per użytkownik*, dla każdego bytu;
- jednego **zasobu** - pojedynczego użytkownika, aplikacji, agenta AI, urządzenia, witryny lub grupy, we wszystkich detektorach albo zawężonego do jednego;
- **członków grupy** (kohorta) - odchodzącego zespołu, kontraktorów, działu wysokiego ryzyka - rozwiązywanych względem aktualnego członkostwa przy każdym zastosowaniu, więc dołączający i odchodzący są objęci bez edycji nadpisania.

Okno nadpisania najpierw pokazuje ustawienie całego tenanta, które zmieniasz, a potem pyta o trzy rzeczy: kogo to dotyczy, co ma być inaczej oraz dlaczego i do kiedy. Wygrywają tylko te pola, które ustawisz; cała reszta jest dziedziczona. Możesz przesunąć **linię alertu** dla tego zakresu (ten sam suwak i to samo słownictwo co na ekranie Anomalii), **wyciszyć** powiadomienia albo zmienić, czy **poziom info** powiadamia. Każde nadpisanie niesie **powód** i, domyślnie, **wygaśnięcie** po 7, 30 lub 90 dniach. Bezterminowe jest dostępne i celowo odradzane.

Kanoniczny przypadek: pracownik złożył wypowiedzenie. Otwórz jego szufladę, kliknij **Dostosuj alertowanie**, wybierz preset **Wzmożona obserwacja** - linia schodzi o jeden stopień, epizody poziomu info też powiadamiają, a **obserwowane są wszystkie polityki**: w chwili, gdy ta osoba na nowo dopasuje się do *dowolnej* polityki trendu, aktywności lub automatyzacji (udostępnienie na zewnątrz, skok pobrań, nowa rola administratora), wychodzi jeden mail, najwyżej raz na politykę dziennie. Wygasa samo po 30 dniach. Szuflada pokazuje chip *Obserwowany* tak długo, jak obserwacja trwa, a lista Użytkowników pozwala nałożyć tę samą obserwację na całe zaznaczenie naraz. Nadpisania egzekwowane są w chwili detekcji, w chwili odczytu kolejki, na kanale natychmiastowym i w podsumowaniu, więc ekran, kolejka i mail nigdy nie mogą się nie zgadzać.

## Ważność, Którą Da Się Wyjaśnić

Ważność na powiadomieniu nie jest etykietą, którą ktoś kiedyś wpisał. Jest obliczana, a powody jadą razem z nią w mailu i w dzienniku powiadomień:

1. **Wpisana** - własna ważność detektora lub polityki (*info, niska, średnia, wysoka, krytyczna*).
2. **Poziom** - epizod anomalii poniżej Twojej linii alertu jest na *poziomie info*: przechowywany dla kontekstu, nigdy nie wysyłany wyżej niż *niska*, cokolwiek mówi detektor.
3. **Kontekst grafu** - to, co 1Security już wie o podmiocie, podnosi alertowany epizod: konto uprzywilejowane, tożsamość gościa, zasięg do plików z informacjami wrażliwymi, treści wystawione przez linki anonimowe, logowanie bez MFA; dla aplikacji i agentów AI - dostęp do plików w całym tenancie, zgoda administratora dla wszystkich użytkowników, niezweryfikowany wydawca, bardzo szeroki zasięg agenta. Jeden powód podnosi o jeden poziom; toksyczna kombinacja - uprzywilejowanie lub dostęp w całym tenancie **oraz** zasięg wrażliwy - podnosi o dwa, z górną granicą krytyczna.

Ten sam skok pobrań u zwykłego użytkownika i u administratora, który sięga po treści z etykietami, to nie to samo zdarzenie, i mail to mówi: *wysoka, ponieważ: detektor wysoki · poziom alertowany · konto uprzywilejowane · sięga po pliki z informacjami wrażliwymi.*

## Dostarczalność - Poczta z Twojej Własnej Domeny

Alerty wysyłane z tenanta dostawcy wyglądają dla firmowego stosu anty-phishingowego dokładnie jak to, do kwarantannowania czego ten stos istnieje. Karta Dostarczalności prowadzi przez rozwiązanie w trzech krokach, w dowolnej kolejności: wyraź zgodę na aplikację **1Security Alerts** w swoim tenancie (ma `Mail.Send` i nic więcej), wpisz skrzynkę nadawcy (Twój adres albo współdzielony, jak `security-alerts@company.com`), a potem wyślij alert testowy i potwierdź - ręcznie - że dotarł do skrzynki odbiorczej. Dopiero to potwierdzenie oznacza dostarczanie jako zweryfikowane; przyjęcie wiadomości przez dostawcę nie mówi nic o folderze kwarantanny. Jeśli ścieżka przez tenant kiedykolwiek zawiedzie, poczta wraca do mailera platformy, a samo przełączenie jest zapisywane, bo ciche cofnięcie się do poczty spoza tenanta to dokładnie ten problem, który ta funkcja ma naprawiać.

## Wygląd Wiadomości

Zakładka **E-maile** ustawia jeden wygląd dla każdego e-maila z alertem wysyłanego przez tenant: zaplanowanych podsumowań, alertów natychmiastowych, alertów i podsumowań anomalii, dopasowań obserwowanych zasobów oraz powiadomień dla właścicieli zasobów. Zaproszenia i inne e-maile dotyczące konta zachowują standardowy wygląd.

- **Nazwa wyświetlana zamiast 1Security** - używana w nagłówku, w treści i w temacie.
- **Logo** - w e-mailu wysyłane jako PNG lub JPEG; inne formaty są konwertowane, a duże obrazy zmniejszane.
- **Kolor marki** - kolor nagłówka i przycisku.
- **Prefiks tematu**, **Tekst przed wiadomością** i **Tekst po wiadomości** - Twoje własne słowa wokół każdego alertu.
- **Link do 1Security** - wyłącz, aby usunąć przycisk i linki otwierające panel, gdy odbiorcy nie mają konta 1Security.

**Zacznij od szablonu raportu** kopiuje nazwę firmy, logo, kolor i tekst stopki z zapisanego [szablonu raportu](/pl/docs/screens/reports).

Prawa strona pokazuje podgląd trzech rodzajów e-maili - *Podsumowanie*, *Alert natychmiastowy* i *Anomalia* - razem z tematem i odświeża się w trakcie pisania. **Wyślij mi ten e-mail** wysyła podglądany e-mail na Twój własny adres, w wyglądzie widocznym właśnie na ekranie, jeszcze przed zapisaniem i przez tego samego nadawcę co prawdziwe alerty.

**Zapisz** stosuje wygląd do e-maili z alertami wysyłanych od tej chwili, w ciągu około minuty. **Przywróć domyślny** wraca do standardowego wyglądu. Ustawienie jest osobne dla każdego tenanta; tenanty połączone razem dzielą jeden wygląd, a zapis w widoku Wszystkie tenanty obejmuje wszystkich członków. E-maile wstrzymane przez godziny ciszy otrzymują wygląd obowiązujący w chwili ich wysłania.

## Kontrola Dostarczania - Godziny Ciszy, Reply-To, Grupy Odbiorców

- **Godziny ciszy** wstrzymują zaplanowane podsumowania przypadające w zdefiniowanych oknach (czas zegarowy w Twojej strefie, np. 22:00-07:00 w dni robocze) i wysyłają je w chwili, gdy okno się kończy - nic nie przepada, a do momentu wysyłki widać je na karcie Wysłane jako *wstrzymane przez godziny ciszy*. Alerty natychmiastowe nigdy nie są wstrzymywane: kanał natychmiastowy istnieje po to, by przerywać, więc wychodzi od razu, o każdej porze.
- **Reply-To** dla maili wysyłanych z Twojej własnej skrzynki, żeby odpowiedzi trafiały tam, gdzie ktoś je czyta; skrzynka zachowuje też kopię w Elementach wysłanych.
- **Odbiorcy** to nie tylko adresy: do każdej listy odbiorców dodasz *Administratorów tenanta*, *Właścicieli polityki* lub *Członków grupy*. Rozwiązywani są w chwili wysyłki, więc osoby dołączające i odchodzące są objęte bez edycji reguł.
- **Cooldown per detektor**: detektor anomalii, który wyzwala się wielokrotnie, odczekuje własne wyciszenie bez uciszania pozostałych detektorów.

## Strefy Czasowe i Podsumowania

Podsumowania tygodniowe kotwiczą się w dniu i godzinie - domyślnie poniedziałek 08:00 - w strefie czasowej harmonogramu, potem w **strefie czasowej firmy** ustawionej w nagłówku, potem w UTC. Zmiany czasu letniego i zimowego obsługiwane są po nazwie strefy, nigdy przez stałe przesunięcie. Worker uśpiony w chwili wysyłki nadrabia przy następnym cyklu bez podwójnej wysyłki. Twoja własna strefa czasowa jest wykrywana przy pierwszej wizycie i zapisywana do późniejszego renderowania per osoba.

## API

`GET /api/v1/notifications` (zakres `notifications:read`) zwraca dziennik z tymi samymi polami, które pokazuje zakładka Wysłane - filtruj po `source`, `kind`, `decision`, `reason`, `policyId`, `resourceType`, `resourceId`, `from`, `to`. Zobacz [przewodnik integracji z SIEM](/pl/docs/guides/siem-integration).