Alertowanie (Alerting)Copy Anchor Link

Ekran Alertowania odpowiada na pytanie, na które większość produktów bezpieczeństwa nie umie odpowiedzieć: „Kto dowiaduje się o czym, jak szybko, z jakiej skrzynki - i co właściwie do nas wysłaliście w zeszłym tygodniu?" Detekcja, alertowanie i powiadamianie to tu trzy różne rzeczy, a to jest miejsce, w którym dwie ostatnie konfigurujesz i audytujesz.

Co Możesz OsiągnąćCopy Anchor Link

Trzy Warstwy, Nie Jeden PrzełącznikCopy Anchor Link

• Detekcja działa zawsze. Polityki liczą, detektory uczą się linii bazowych, epizody są zapisywane - ściszenie alertowania nigdy nie traci historii.
• Alertowanie decyduje, czy epizod zasługuje na uwagę: linia alertu dla anomalii, wyzwalacz natychmiastowy albo rytm podsumowania dla polityk, nadpisania per byt.
• Powiadamianie decyduje, kto zostaje poinformowany, kiedy i skąd - odbiorcy, okna schłodzenia, podsumowania zakotwiczone w strefie czasowej, skrzynka nadawcy.

Każda kontrolka na tym ekranie zmienia jedną z dwóch ostatnich warstw i mówi to wprost. Detekcja nigdy nie jest tym, co wyłączasz.

Reguły AlertówCopy Anchor Link

Jeden wiersz na źródło, każdy z tą samą ikoną, której reszta aplikacji używa dla danego ekranu. Źródło mówi, skąd reguła pochodzi - trend, aktywność, detektor anomalii albo automatyzacja. Alertowanie pokazuje wszystkie kanały reguły obok siebie, więc „natychmiast i tygodniowe podsumowanie” to dwa chipy, nie jedna etykieta: ⚡ natychmiast (mail w chwili przekroczenia linii - najedź, by zobaczyć wyzwalacz), 🔔 podsumowanie (rytm raportowania - od godzinnego do tygodniowego, tygodniowy zakotwiczony w dniu i godzinie w strefie czasowej Twojej firmy) albo Bez alertów · wykrywanie działa - to stan, nie usterka: reguła dalej liczy i rysuje trend, po prostu jeszcze nikogo nie mailuje. Chip podsumowania szarzeje i dostaje ostrzeżenie, gdy reguła nie ma do kogo wysłać - cykl działa, każdy przebieg jest wstrzymywany. Detektory anomalii biorą chipy natychmiast/podsumowanie z reguły anomalii tenanta i dodają wyciszone dla N obiektów / dostrojone dla N obiektów z własnych nadpisań; reguły polityk dodają N obserwowanych, gdy obiekty są pod wzmożoną obserwacją, bo te wysyłają mail natychmiast przy każdej regule, do której nowo pasują.

Trafienia teraz to liczba, którą warto przeczytać przed decyzją, czy reguła w ogóle zasługuje na kanał: bieżące dopasowania reguły, liczone leniwie, gdy wiersz pojawia się na ekranie - teraz (policzone na żywo na bieżących danych, 1000+ przy limicie), otwarte epizody (epizody detektora anomalii w warstwie alertowanej - ta sama liczba co na ekranie Anomalie) albo ostatnia ocena, gdy dla danego kształtu reguły liczenie na żywo nie jest możliwe. Jedno zapytanie (getAlertFindingsCount) odpowiada dla każdego źródła.

Dzwonek Powiadamiaj wyłącza (i włącza z powrotem) powiadomienia reguły jednym kliknięciem bez otwierania jej; zaznacz wiersze, by zrobić to hurtowo - Wyłącz powiadomienia, Włącz podsumowanie, Włącz alerty natychmiastowe. Po najechaniu na przycisk zobaczysz, co robi; włączenie jednego kanału nie zmienia drugiego. Wyłączenie powiadomień nigdy nie zatrzymuje wykrywania: cykl dalej ocenia, trend dalej się rysuje, przestaje tylko mail. Chipy szybkich filtrów nad tabelą - Natychmiastowe, Podsumowania, Natychmiastowe + podsumowanie, Bez alertów · tylko wykrywanie, Nie ma do kogo wysłać, Z nadpisaniami, źródła - niosą bieżące liczby i filtrują listę jak na każdym innym ekranie; Wszystkie filtry otwiera pełną szufladę, w tym filtr Zasób (użytkownik, lokalizacja, agent, …). Ekrany Lokalizacje, Trendy i Anomalie mają link Reguły alertów, który otwiera ten spis już odfiltrowany do ich reguł, więc alertowanie ekranu stroisz z ekranu, którego dotyczy.

Odbiorcy to jawne adresy na regule; gdy nie ma żadnych, używani są właściciele polityki i domyślny użytkownik. Kanał natychmiastowy dodatkowo spada na administratorów tenanta; podsumowanie nie - reguła podsumowania bez nikogo do powiadomienia pokazuje Nikt z ostrzeżeniem i jest liczona w kafelku Bez odbiorców, więc nigdy nie zostaje po cichu bez odbiorcy. Akcje i Okres karencji pokazują, co zrobi automatyzacja i jak długo czeka na weryfikację. Ostatnio wysłano i Ostatnio wstrzymano pochodzą wprost z dziennika powiadomień.

Kliknij wiersz polityki, żeby otworzyć ten sam edytor reguły alertu, którego używają ekrany Trendów, Aktywności i Automatyzacji. Jego wyzwalacz natychmiastowy Gdy odbiega od własnej historii to detektor anomalii zastosowany do serii dopasowań samej reguły: skoki oceniane są dokładnie jak na ekranie Anomalie, przy linii alertu ustawionej tam suwakiem Czułość alertów - jedna czułość, widoczna w obu oknach; spadki to zwykły procent poniżej mediany, bo silnik oceny z założenia wykrywa tylko skoki. Gdy liczba dopasowań przekroczy próg to stały próg. Mieszkają w nim dwie ważności, bo to dwa różne stwierdzenia o tej samej polityce: Ważność raportu to ta, którą niesie podsumowanie; Alarmuj jako to ta, którą niesie kanał natychmiastowy, gdy linia zostaje przekroczona. Trend raportujący co tydzień jako info może alarmować jako wysoki - cykliczny raport to tło, skok już nie.

Co Jest Wysyłane E-mailemCopy Anchor Link

Reguły alertów pokazują wszystko, co może alarmować, także reguły, które tylko wykrywają. Co jest wysyłane e-mailem pokazuje to, co faktycznie wysyła: każdy e-mail o alertach wysyłany przez tenant, zapisany jako zdanie - co go wyzwala, kiedy wychodzi i kto go dostaje.

Górny wiersz zawiera fakty wspólne dla wszystkich e-maili: ile wysłano i ile wstrzymano w ostatnich 30 dniach (z linkiem do dziennika), z której skrzynki wychodzą, czy włączone są godziny ciszy oraz w jakiej strefie czasowej pokazywane są godziny.

Alerty natychmiastowe to poczta, która wychodzi w chwili spełnienia warunku:

• Alerty o anomaliach - ustawienie anomalii całego tenanta: od jakiego wyniku, dla jakich rodzajów anomalii, jak często detektor może wysłać e-mail i do kogo. E-maile mogą wysyłać tylko detektory ustawione jako Zarządzany; karta podaje, ile ich jest, i ostrzega, gdy ustawienie jest włączone, a wszystkie detektory są nadal tylko śledzone. Detektory ilościowe (pobrania, udostępnienia, logowania, użycie AI) wysyłają e-mail tylko wtedy, gdy na tym samym użytkowniku lub aplikacji otwarty jest też inny detektor.
• Obserwowane zasoby - zasoby i grupy objęte wzmożoną obserwacją wysyłają e-mail w chwili, gdy zaczną pasować do dowolnej reguły alertu, najwyżej raz dziennie na zasób i regułę.
• Powiadomienia dla właścicieli zasobów - gdy automatyzacja proponuje zmianę, którą musi przejrzeć właściciel, dostaje on jeden e-mail z listą oczekujących zmian.

Podsumowania to cykliczne podsumowania: podsumowanie anomalii, cotygodniowe podsumowanie wydatków AI i Podsumowanie dnia (strona Dzisiaj każdego ranka - podsumowanie bez poziomu ważności, nie alert; Zmień otwiera godzinę i odbiorców), każde z godziną następnej wysyłki.

Reguły alertów, które wysyłają e-maile to lista reguł z włączonym kanałem. Kolumna Kiedy wysyła e-mail opisuje każdy kanał słowami - „Wyślemy e-mail, gdy tylko liczba dopasowań wzrośnie powyżej 50”, „Wysyłamy e-mail z podsumowaniem co tydzień (poniedziałek, godz. 08:00, Europe/Warsaw)” - obok odbiorców, godziny następnego podsumowania, ostatniej wysyłki i liczby e-maili z 30 dni. Kliknij wiersz, by otworzyć ustawienia alertowania reguły.

Każda karta pokazuje, dlaczego coś nie jest wysyłane - wyłączone, nic nie jest obserwowane, brak danych - a gdy powiadomienia były wstrzymywane, ile ich było i jaki był najczęstszy powód. Zobacz przykład otwiera próbkę e-maila tego rodzaju w bieżącym wyglądzie wiadomości.

Okna, w których zmienia się te ustawienia - alertowanie reguły, alertowanie anomalii całego tenanta i nadpisanie - kończą się tymi samymi zdaniami pod nagłówkiem Co się stanie po zapisaniu, aktualizowanymi w trakcie edycji, więc wynik można przeczytać przed zapisaniem.

Zakładka Powiadomienia - Dziennik DecyzjiCopy Anchor Link

Każdy producent powiadomień zapisuje tu wpis w chwili podjęcia decyzji, niezależnie od tego, czy mail wyszedł - zakładka pokazuje decyzje wstrzymane i nieudane obok wysłanych, dlatego nie nazywa się „Wysłane”. Wiersz to jeden z trzech wyników:

• Wysłane - kto otrzymał, jaki nadawca został użyty (Twoja własna skrzynka albo mailer platformy), temat i efektywna ważność.
• Wstrzymane - wraz z dokładnym powodem: wyciszone przez nadpisanie, poziom info, gdy reguła powiadamia tylko o alertowanych, wewnątrz okna schłodzenia, nie jest rekordem względem własnej linii bazowej (powtórka), nie ma czego zgłaszać, brak odbiorców, brak skonfigurowanego nadawcy poczty i kilka innych. Wstrzymania zapisywane są raz na epizod i powód, więc ponownie oceniany epizod nie zalewa listy.
• Nieudane - dostawca poczty odmówił wysyłki; błąd jest na wierszu.

Kliknij dowolny wiersz, by go otworzyć: nagłówek niesie wynik, kanał i czas; przegląd tłumaczy wstrzymany wiersz prostymi słowami i mówi, co by to naprawiło (ze skrótem do edytora alertów reguły), wymienia odbiorców i nadawcę oraz linkuje regułę i obiekt. Druga zakładka zawiera faktyczne elementy stojące za powiadomieniem - dla podsumowania użytkowników, pliki, witryny lub aplikacje z tego skanu jako te same interaktywne listy, których używa reszta aplikacji; dla powiadomienia o anomalii - epizody wykryte na obiekcie.

Chipy szybkich filtrów nad tabelą niosą liczby - wynik, kanał, źródło, powód - a szuflada Wszystkie filtry zawiera pełny zestaw wraz z zakresem dat; ten sam pasek filtrów, którego używa reszta aplikacji. Czasy renderowane są w strefie czasowej firmy. Te same wiersze dostępne są w szufladzie każdego użytkownika, aplikacji i agenta w zakładce Powiadomienia, a dla Twojego SIEM - przez GET /api/v1/notifications z zakresem notifications:read.

Nadpisania - Od Postawy Tenanta w Dół do Jednego BytuCopy Anchor Link

Reguła anomalii tenanta (w nagłówku) to szczyt hierarchii. Poniżej niej nadpisanie to reguła częściowa, ograniczona do:

• jednego typu anomalii - detektora takiego jak Nietypowe pobrania plików per użytkownik, dla każdego bytu;
• jednego zasobu - pojedynczego użytkownika, aplikacji, agenta AI, urządzenia, witryny lub grupy, we wszystkich detektorach albo zawężonego do jednego;
• członków grupy (kohorta) - odchodzącego zespołu, kontraktorów, działu wysokiego ryzyka - rozwiązywanych względem aktualnego członkostwa przy każdym zastosowaniu, więc dołączający i odchodzący są objęci bez edycji nadpisania.

Okno nadpisania najpierw pokazuje ustawienie całego tenanta, które zmieniasz, a potem pyta o trzy rzeczy: kogo to dotyczy, co ma być inaczej oraz dlaczego i do kiedy. Wygrywają tylko te pola, które ustawisz; cała reszta jest dziedziczona. Możesz przesunąć linię alertu dla tego zakresu (ten sam suwak i to samo słownictwo co na ekranie Anomalii), wyciszyć powiadomienia albo zmienić, czy poziom info powiadamia. Każde nadpisanie niesie powód i, domyślnie, wygaśnięcie po 7, 30 lub 90 dniach. Bezterminowe jest dostępne i celowo odradzane.

Kanoniczny przypadek: pracownik złożył wypowiedzenie. Otwórz jego szufladę, kliknij Dostosuj alertowanie, wybierz preset Wzmożona obserwacja - linia schodzi o jeden stopień, epizody poziomu info też powiadamiają, a obserwowane są wszystkie polityki: w chwili, gdy ta osoba na nowo dopasuje się do dowolnej polityki trendu, aktywności lub automatyzacji (udostępnienie na zewnątrz, skok pobrań, nowa rola administratora), wychodzi jeden mail, najwyżej raz na politykę dziennie. Wygasa samo po 30 dniach. Szuflada pokazuje chip Obserwowany tak długo, jak obserwacja trwa, a lista Użytkowników pozwala nałożyć tę samą obserwację na całe zaznaczenie naraz. Nadpisania egzekwowane są w chwili detekcji, w chwili odczytu kolejki, na kanale natychmiastowym i w podsumowaniu, więc ekran, kolejka i mail nigdy nie mogą się nie zgadzać.

Ważność, Którą Da Się WyjaśnićCopy Anchor Link

Ważność na powiadomieniu nie jest etykietą, którą ktoś kiedyś wpisał. Jest obliczana, a powody jadą razem z nią w mailu i w dzienniku powiadomień:

1. Wpisana - własna ważność detektora lub polityki (info, niska, średnia, wysoka, krytyczna).
2. Poziom - epizod anomalii poniżej Twojej linii alertu jest na poziomie info: przechowywany dla kontekstu, nigdy nie wysyłany wyżej niż niska, cokolwiek mówi detektor.
3. Kontekst grafu - to, co 1Security już wie o podmiocie, podnosi alertowany epizod: konto uprzywilejowane, tożsamość gościa, zasięg do plików z informacjami wrażliwymi, treści wystawione przez linki anonimowe, logowanie bez MFA; dla aplikacji i agentów AI - dostęp do plików w całym tenancie, zgoda administratora dla wszystkich użytkowników, niezweryfikowany wydawca, bardzo szeroki zasięg agenta. Jeden powód podnosi o jeden poziom; toksyczna kombinacja - uprzywilejowanie lub dostęp w całym tenancie oraz zasięg wrażliwy - podnosi o dwa, z górną granicą krytyczna.

Ten sam skok pobrań u zwykłego użytkownika i u administratora, który sięga po treści z etykietami, to nie to samo zdarzenie, i mail to mówi: wysoka, ponieważ: detektor wysoki · poziom alertowany · konto uprzywilejowane · sięga po pliki z informacjami wrażliwymi.

Dostarczalność - Poczta z Twojej Własnej DomenyCopy Anchor Link

Alerty wysyłane z tenanta dostawcy wyglądają dla firmowego stosu anty-phishingowego dokładnie jak to, do kwarantannowania czego ten stos istnieje. Karta Dostarczalności prowadzi przez rozwiązanie w trzech krokach, w dowolnej kolejności: wyraź zgodę na aplikację 1Security Alerts w swoim tenancie (ma Mail.Send i nic więcej), wpisz skrzynkę nadawcy (Twój adres albo współdzielony, jak security-alerts@company.com), a potem wyślij alert testowy i potwierdź - ręcznie - że dotarł do skrzynki odbiorczej. Dopiero to potwierdzenie oznacza dostarczanie jako zweryfikowane; przyjęcie wiadomości przez dostawcę nie mówi nic o folderze kwarantanny. Jeśli ścieżka przez tenant kiedykolwiek zawiedzie, poczta wraca do mailera platformy, a samo przełączenie jest zapisywane, bo ciche cofnięcie się do poczty spoza tenanta to dokładnie ten problem, który ta funkcja ma naprawiać.

Wygląd WiadomościCopy Anchor Link

Zakładka E-maile ustawia jeden wygląd dla każdego e-maila z alertem wysyłanego przez tenant: zaplanowanych podsumowań, alertów natychmiastowych, alertów i podsumowań anomalii, dopasowań obserwowanych zasobów oraz powiadomień dla właścicieli zasobów. Zaproszenia i inne e-maile dotyczące konta zachowują standardowy wygląd.

• Nazwa wyświetlana zamiast 1Security - używana w nagłówku, w treści i w temacie.
• Logo - w e-mailu wysyłane jako PNG lub JPEG; inne formaty są konwertowane, a duże obrazy zmniejszane.
• Kolor marki - kolor nagłówka i przycisku.
• Prefiks tematu, Tekst przed wiadomością i Tekst po wiadomości - Twoje własne słowa wokół każdego alertu.
• Link do 1Security - wyłącz, aby usunąć przycisk i linki otwierające panel, gdy odbiorcy nie mają konta 1Security.

Zacznij od szablonu raportu kopiuje nazwę firmy, logo, kolor i tekst stopki z zapisanego szablonu raportu.

Prawa strona pokazuje podgląd trzech rodzajów e-maili - Podsumowanie, Alert natychmiastowy i Anomalia - razem z tematem i odświeża się w trakcie pisania. Wyślij mi ten e-mail wysyła podglądany e-mail na Twój własny adres, w wyglądzie widocznym właśnie na ekranie, jeszcze przed zapisaniem i przez tego samego nadawcę co prawdziwe alerty.

Zapisz stosuje wygląd do e-maili z alertami wysyłanych od tej chwili, w ciągu około minuty. Przywróć domyślny wraca do standardowego wyglądu. Ustawienie jest osobne dla każdego tenanta; tenanty połączone razem dzielą jeden wygląd, a zapis w widoku Wszystkie tenanty obejmuje wszystkich członków. E-maile wstrzymane przez godziny ciszy otrzymują wygląd obowiązujący w chwili ich wysłania.

Kontrola Dostarczania - Godziny Ciszy, Reply-To, Grupy OdbiorcówCopy Anchor Link

• Godziny ciszy wstrzymują zaplanowane podsumowania przypadające w zdefiniowanych oknach (czas zegarowy w Twojej strefie, np. 22:00-07:00 w dni robocze) i wysyłają je w chwili, gdy okno się kończy - nic nie przepada, a do momentu wysyłki widać je na karcie Wysłane jako wstrzymane przez godziny ciszy. Alerty natychmiastowe nigdy nie są wstrzymywane: kanał natychmiastowy istnieje po to, by przerywać, więc wychodzi od razu, o każdej porze.
• Reply-To dla maili wysyłanych z Twojej własnej skrzynki, żeby odpowiedzi trafiały tam, gdzie ktoś je czyta; skrzynka zachowuje też kopię w Elementach wysłanych.
• Odbiorcy to nie tylko adresy: do każdej listy odbiorców dodasz Administratorów tenanta, Właścicieli polityki lub Członków grupy. Rozwiązywani są w chwili wysyłki, więc osoby dołączające i odchodzące są objęte bez edycji reguł.
• Cooldown per detektor: detektor anomalii, który wyzwala się wielokrotnie, odczekuje własne wyciszenie bez uciszania pozostałych detektorów.

Strefy Czasowe i PodsumowaniaCopy Anchor Link

Podsumowania tygodniowe kotwiczą się w dniu i godzinie - domyślnie poniedziałek 08:00 - w strefie czasowej harmonogramu, potem w strefie czasowej firmy ustawionej w nagłówku, potem w UTC. Zmiany czasu letniego i zimowego obsługiwane są po nazwie strefy, nigdy przez stałe przesunięcie. Worker uśpiony w chwili wysyłki nadrabia przy następnym cyklu bez podwójnej wysyłki. Twoja własna strefa czasowa jest wykrywana przy pierwszej wizycie i zapisywana do późniejszego renderowania per osoba.

APICopy Anchor Link

GET /api/v1/notifications (zakres notifications:read) zwraca dziennik z tymi samymi polami, które pokazuje zakładka Wysłane - filtruj po source, kind, decision, reason, policyId, resourceType, resourceId, from, to. Zobacz przewodnik integracji z SIEM.