Перейти к содержанию

Модель

Модель данных Finding

Параметр Тип данных Обязательность Описание
title string Required Наименование типа инцидента
description string Required Общее описание типа инцидента
risk_impact string Required Описание влияния инцидента на уровень риска
solution string Required Рекомендации по устранению инцидента
display_id number Required Идентификатор отображения инцидента, автоматически инкрементируется при добавлении новых
mitigation string Required Описание профилактики данного типа инцидента
synopsis string Required Краткое описание сути инцидентов данного типа
local boolean Required Флаг локальности типа инцидента
type string Required Типов уязвимости, к которому принадлежит тип инцидента. Допустимые значения:
network_anomaly: сетевая аномалия - актив проявляет сетевую активность, которую проявлять не должен;
policy_violation: нарушение политики - это наступление условий, нарушающих политику безопасности эксплуатации актива (задуманную службой безопасности);
vulnerability: уязвимость - у злоумышленника есть возможность получить контроль (полный или частичный) над активом.
identifier object Optional Объект хранящий связанные идентификаторы уязвимостей сторонних сканеров
comment string Optional Комментарий пользователя
fallback_raw_risklevel number Required Цифровое обозначение уровня риска. Допустимые значения от 0 до 10.
new_version boolean Required Допустимые значения: true, false. Значение по умолчанию: true.
client_note string Optional Заметки клиента
internal_note string Optional Внутренние заметки
cpes Array<string>
category_id string uuid Required Идентификатор категории типов инцидентов в формате uuid
customer_created boolean Required Флаг характеризующий тип инцидента как созданный клиентом
software_compliance boolean Required Флаг соответствия программного обеспечения
itsm_last_synced_at string time Required Время последнего изменения статуса в системе
updated_by string uuid Required Идентификатор пользователя обновившего информацию о типе инцидента в формате uuid
created_by_customer string uuid Required Идентификатор пользователя создавшего тип инцидента в формате uuid
edited_by string uuid Required Идентификатор пользователя (в формате uuid) изменившего тип инцидента
is_system boolean Required Флаг помечающий тип инцидента как системный (приходит вместе с эксперт паком)
category object Required Категория типа инцидента
service_asset_findings Array<ServiceAssetFindingNoRelations> Required Связанные инциденты
rules Array<Rule> Required Связанные правила
messages Array<Message> Optional Сообщения связанные с типом инцидента
id string uuid Required Идентификатор
created_at string time Required Дата создания в формате: date-time
updated_at string time Required Дата изменения в формате: date-time
trace_id string Required Идентификатор трассировки действия пользователя для аудита
_relations object<relations> Optional Словарь описывающий связанные модели через идентификаторы

Модель данных ServiceAssetFindingNoRelations

Параметр Тип данных Обязательность Описание
description string Required Подробное описание инцидента
risk_impact string Required Описание последствий, которые могут возникнуть, если угроза была реализована
solution string Required Рекомендации по устранению инцидента
mitigation integer Required Описание профилактики данного типа инцидента
status string Required Cостояние инцидента в зависимости от того какая с ним работа была проведена оператором. Допустимые значения:
- assigned_customer - назначен;
- closed - закрыт;
- feedback_required - запрошена информация;
- invalid - недействительный;
- new - новый;
- risk_accepted - риск принят
- verify_close - ожидает проверки;
- working_customer - в работе.
Подробнее см. раздел Инциденты
risklevel number Required Уровень риска. Допустимые значения от "0" до "10"
service_asset_id string Required Идентификатор актива, на котором обнаружен инцидент
finding_id string Required Идентификатор типа инцидента
analysis_output string Required Результат анализа. Заполняемое поле в правиле корреляции. Например: на активе {{ .event.IP}} произошло…
synopsis string Required Краткое описание сути инцидентов данного типа
title string Required Название инцидента
risk string Required Описание уровня риска инцидента. Допустимые значения:
- none;
- low;
- medium;
- high.
acknowledged_at string Required Дата выявления / обнаружения инцидента
alert_type string Required Политика поведения платформы над инцидентом при "сработке" правила корреляции
client_note string Optional Заметки клиента
internal_note string Optional Внутреннее примечание
external boolean Required Эксплуатируема ли удаленно уязвимость, на основе которой создан инцидент
immediate_action_scor number Required Cрочность инцидента. Результат перемножения уровня риска, которое было присвоено по результату сработки правила корреляции и “значимости актива”. при этом значимость актива из 2х параметров. Значимость и сетевая видимость.
throughput_period string Required Cтатус инцидент в логике оповещений операторов о задержке в обработке. Допустимые значения:
- grace;
- delay;
- unacceptable.
throughput_period_change string format: date-time Required Время изменения поля throughput_period
customer_created boolean Optional Флаг, что создан пользователем, а не автоматически
c_visible_since string Optional Дата и время с которой инцидент виден пользователям
c_visible_since_in_days integer Optional Количество дней, в течение которых инцидент виден пользователям
c_reopened_count integer Optional Количество повторных открытий инцидента
c_last_customer_status_change string Optional Дата и время последнего изменения статуса инцидента пользователем
logmule_identifier string Optional Идентификатор, который можно задать в правиле (текстовое), а потом использовать для фильтрации.
c_remote_exploitable boolean Required Возможность удаленного использования
c_occurrence_count integer Required Количество происшествий в инциденте
с_customer_retention_time integer Required Количество времени удержания клиента
last_occurrence_id string Required Идентификатор последнего происшествия
itsm_last_synced_at string format: date-time Optional Время последнего изменения статуса происшествия, который был отправлен в стороннюю систему
itsm_sync_status string Optional Статус происшествия, отправленного в стороннюю систему. Допустимые значения:
- scheduled;
- aborted;
- synced;
- not_synced;
- waiting_confirmation
external_id string Optional Идентификатор инцидента во внешней клиентской системе
itsm_sync_error string Optional Ошибка синхронизации с внешней клиентской системой
user_id string Optional Идентификатор пользователя назначенного на инцидент
updated_by string Optional Идентификатор пользователя, который последний обновил инцидент
group_id string Optional Группа пользователей назначенных на инцидент
acknowledged_by string Optional Идентификатор пользователя, который подтвердил инцидент
created_by_customer string Optional Идентификатор пользователя, который вручную создал инцидент
edited_by string Optional Идентификатор пользователя, который последний отредактировал инцидент, созданный вручную
incident_group_id string Optional Идентификатор группы инцидентов, в которую входит инцидент
reopened_at string Optional Время когда данный инцидент был открыт заново
display_id integer Required Идентификатор инцидента, созданный по алгоритму, который регулирует последовательность присвоения идентификаторов

Модель данных Rule

Параметр Тип Обязательность Описание
id string Required Идентификатор правила
created_at string time Required Дата создания правила в формате: date-time
updated_at string time Required Дата изменения правила в формате: date-time
trace_id string Required Идентификатор трассировки действия пользователя для аудита
name string Required Название правила
frontend_data Array<FrontendData> Optional Данные визуального конструктора правила
test_data Array<object> Optional Список событий для тестирования правила (логлайны)
settings Array<SettingRule> Required Список настроек правила
active boolean Required Флаг активности правила
reload boolean Required Флаг перезагрузки правила после обновления
finding_id string Required Идентификатор инцидента
description string Required Описание правила
lua string Required Код правила в формате Lua
is_retro boolean Required Флаг: используется ли правило для ретроспективной корреляции
is_system boolean Required Флаг: системное ли правило
stats object Optional Статистика сработок и ошибок правила
stats{result_count} integer Optional Количество срабатываний правила
stats{error_count} integer Optional Количество ошибок правила
is_error integer Required Количество ошибок
running_at string time Required Дата и время запуска в формате date-time
logmule_go_filters Array<LogmuleGoFilters> Required Фильтры потока событий
logmule_go_modules Array<LogmuleGoModules> Required Макросы
finding Array<RuleFinding> Required Связанный тип инцидента
logmule_go_results Array<LogmuleGoResults> Required Результат сработки правила корреляции
rule_sets Array<RuleSets> Optional Набор правил
service_asset_findings Array<ServiceAssetFinding> Optional Список инцидентов (ServiceAssetFinding)
value_stores Array<ValueStores> Optional Табличные списки

FrontendData

Параметр Тип Обязательность Описание
alert Object<Alert> Required Щаблон алерта
grouper Object<Grouper> Required Шаблон группера
actions Array<Actions> Required Действия, по результатам сработки правила
conditions Array<Conditions> Required Конструктор условий. Объекты в массиве могут отличаться в зависимости от типа условия:
1. Сравнение (“CompareCondition”). Структура меняется в зависимости от источника данных.
- LoglineGetExpression - значение из события;
- TableGetExpression, TableCountExpression или TableDefinitionExpression - значение из табличного списка;
- ConstExpression - ручной ввод значения
2. Логическое выражение (“LogicalCondition”)
version integer Required Версия схемы конструктора правил

Alert

Параметр Тип Обязательность Описание
id string Required ID шаблона алерта
trace_id string Optional Идентификатор трассировки действия пользователя для аудита
name string Required Название шаблона алерта
create_incident boolean Required Флаг: cоздавать ли инцидент в результате сработки правила
assign_to_customer boolean Required Флаг: назначить ли инцидент пользователю
risk_level number Required Уровень риска. Допустимые значения от 0 до 10.
asset_ip string Required IP-адрес актива
asset_hostname string Required Hostname актива
asset_fqdn string Required FQDN актива
asset_mac string Required MAC-адрес актива
first_and_last_logs boolean Required Флаг: записывать ли в журнал первое и последнее событие
trim_logs integer Required Количество событий для записи в журнал
template string Required Описание шаблона

Grouper

Параметр Тип Обязательность Описание
id string Required ID шаблона группера
trace_id string Optional Идентификатор трассировки действия пользователя для аудита
name string Required Название шаблона группера
grouped_by Array<string> Required Поля для группировки
aggregated_by Array<string> Required Поля для агрегации
grouped_time_field string Required Время события (название поля)
grouped_time_type string Required Формат времени, одно из:
“RFC3339Nano”, “RFC3339”, “ANSIC”, “UnixDate”, “RubyDate”, “RFC822”, “RFC822Z”, “RFC850”,
“RFC850”, “RFC1123”, “RFC1123Z”, “Stamp”, “StampMilli”, “StampMicro”, “StampNano”, “UnixMilli”, “UnixMicro”
detection_windows integer Required Период группировки
detection_windows_unit string Required Единица измерения периода группировки. Допустимые значения:
- ms
- s
- m
- h
aggregate_count integer Required Порог количества событий для срабатывания
aggregate_unique boolean Required Флаг: активировать ли только уникальные события.

Actions

Параметр Тип Обязательность Описание
TTL string Optional Время жизни события (логлайна) в минутах
key object Optional Ключ для действия
key{default} object Required Объект ключа по умолчанию
key{default}/type string Optional Тип ключа. Допустимые значения:
- ”type” == “value” - Значение
- ”type” == “field” - Поле события
key{default}/value string Optional Значение ключа
type string Optional Тип действия. Допустимые значения:
- ”type” == “store-set” - Установка значения в табличном списке;
- ”type” == “store-remove” - Удаление записи в табличном списке;
- ”type” == “store-truncate” - Очистка табличного списка.
store string Optional Табличный список над которым совершается действие
value string Optional Значение
column string Optional Колонка

Conditions

Любой из:

Сравнение
Параметр Тип Обязательность Описание
type string Required Тип условия
id string Required Идентификатор условия
parentId string Optional Идентификатор родительского условия
negation boolean Required Флаг: включить ли для функции сравнения отрицание
compareFn string Optional Функция сравнения. Допустимые значения:eq, streq, exist, in, substr, search, gt, gte, lt, lte, in_sub, in_pref, in_suf, pref, suf, table_search, table_check_ip, between
expressions Array<Expressions> Required Выражение. Массив может содержать разную структуру объекта, в зависимости от источника данных:
- LoglineGetExpression - значение из события
- TableGetExpression, TableCountExpression или TableDefinitionExpression - значение из табличного списка
- ConstExpression - ручной ввод значения
Expressions

Один из:

LoglineGetExpression
Параметр Тип Обязательность Описание
type string Required Тип выражения
value string Required Значение
TableGetExpression
Параметр Тип Обязательность Описание
type string Required Тип выражения
store string Required Источник данных (табличный список)
column string Required Колонка
key object Required Ключ
key{type} string Required Тип ключа. Допустимые значения: logline-get, const-string
key{value} string Required Значение ключа
TableCountExpression
Параметр Тип Обязательность Описание
type string Required Тип выражения
store string Required Источник данных (табличный список)
TableDefinitionExpression
Параметр Тип Обязательность Описание
type string Required Тип выражения
store string Required Источник данных (табличный список)
column string Required Колонка
ConstExpression
Параметр Тип Обязательность Описание
type string Required Тип выражения. Допустимые значения:const-string, const-integer, const-double, const-boolean, const-ip, const-cidr, const-date, const-null, const-string-array
value string Required Значение. Параметр “value” принимает значения разных типов, в зависимости от значения “type”:
- “type” == “const-string” => “value” == “string"
- "type” == “const-integer” => “value” == “string"
- "type” == “const-double” => “value” == “string"
- "type” == “const-boolean” => “value” == “boolean"
- "type” == “const-ip” => “value” == “string"
- "type” == “const-cidr” => “value” == “string"
- "type” == “const-date” => “value” == “string"
- "type” == “const-null” => “value” == “null"
- "type” == “const-string-array” => “value” == “array of strings”
Логическое выражение
Параметр Тип Обязательность Описание
type string Required Тип условия
id string Required Идентификатор условия
parentId string Optional Идентификатор родительского условия
negation boolean Required Флаг: включить ли для функции сравнения отрицание
operator string Required Оператор. Допустимые значения: and, or

SettingRule

Параметр Тип Обязательность Описание
function_metrics boolean Optional Флаг: собирать ли дополнительные метрики
is_constructor boolean Optional Флаг: создано ли правило с помощью визуального конструктора
max_alerts integer Optional Максимальное количество сработок
max_alerts_per_second integer Optional Максимальное количество сработок в секунду
max_rule_memory_mb integer Optional Ограничение памяти (Мб)

LogmuleGoFilters

Параметр Тип Обязательность Описание
id string Required  Идентификатор фильтра
created_at string time Required Дата создания в формате uuid
updated_at string time Required Дата изменения в формате uuid
trace_id string Required Идентификатор трассировки действия пользователя для аудита
name string Required Название фильтра
config Array<Config> Required Список фильтров по полям
logmule_go_rules Array<object> Optional Список правил, использующих данный фильтр
stat Array<Stats> Optional Статистика потока по данному фильтру
_relations object Optional
 Словарь описывающий связанные модели через идентификаторы
_relations{logmule_go_rules} Array<string> Optional
 Список идентификаторов связанных правил

LogmuleGoFiltersConfig

Параметр Тип Обязательность Описание
compareFn string Required Функция сравнения. Допустимые значения:equal, substr, exist, intersection
expressions object Required Выражения использующиеся в функции сравнения. >= 1 знаков
expressions{type} string Required Тип выражения. Допустимые значения: logline-get, const-string, const-null, const-string-array
expressions{value} object Required Значение
type string Required Тип условия. Допустимые значения: compare-condition
parentId string Optional Идентификатор родительского элемента
ignore_case boolean Optional Флаг: игнорировать ли регистр при сравнении строковых данных
negation boolean Optional Флаг: выполнять ли инверсию по результатам сравнения

LogmuleGoFiltersStats

Параметр Тип Обязательность Описание
hit_count integer Optional
hit_eps integer Optional
check_count integer Optional
check_eps integer Optional
check_time integer Optional

LogmuleGoModules

Параметр Тип Обязательность Описание
id string Required Идентификатор макроса
created_at string time Required Дата создания макроса в формате: date-time
updated_at string time Required Дата изменения макроса в формате: date-time
trace_id string Required Идентификатор трассировки действия пользователя для аудита
name string Required Название макроса
content string Required Код макроса
is_system boolean Required Флаг: является ли макрос системным
logmule_go_rules Array<object> Optional Список правил, использующих данный макрос
rules Array<object> Optional Список объектов связанных правил (загружается всегда через GetByID или по запросу через GenericSearch)
_relations object Optional Словарь описывающий связанные модели через идентификаторы
_relations{rules} Array<string> Optional Список идентификаторов связанных правил

RuleFinding

Параметр Тип Обязательность Описание
id string Required Идентификатор сработки правила
created_at string time Required Дата создания сработки в формате: date-time
updated_at string time Required Дата изменения сработки в формате: date-time
trace_id string Required Идентификатор трассировки действия пользователя для аудита

LogmuleGoResults

Параметр Тип Обязательность Описание
id string Required Идентификатор результата сработки парвила
created_at string time Required Дата создания результата сработки в формате: date-time
updated_at string time Required Дата изменения результата сработки в формате: date-time
trace_id string Required Идентификатор трассировки действия пользователя для аудита
rule_id string Required Идентификатор правила
analysis_output string Required Результат анализа
event object Required Событие строкой
compressed_event string array Required Событие одной строкой в формате byte array
risklevel number float Required Уровень риска в формате float
occurred_at string time Required Дата и время происшествия в формате: date-time
occurrence_id string Required Идентификатор происшествия
error string Required Ошибка
service_asset_id string Required Идентификатор актива
asset_info object<asset> Required Данные актива
incident_identifier string Required Идентификатор инцидента
metadata string map Required Метаданные в формате map
logmule_go_rule object Required Правило, по которому произошла сработка
occurrence object Required Происшествие
service_asset object Required Актив, на котором произошла сработка

LogmuleGoResultsAsset

Параметр Тип Обязательность Описание
ip string Required IP-адрес актива
hostname string Required Хостнейм актива
fqdn string Required FQDN актива
mac string Required MAC-адрес актива

RuleSets

Параметр Тип Обязательность Описание
id string uuid Optional Идентификатор набора правил
created_at string time Optional Дата создания набора правил в формате: date-time
updated_at string time Optional Дата изменения набора правил в формате: date-time
trace_id string Optional Идентификатор трассировки действия пользователя для аудита
name string Optional Название набора правил
create_service_asset_findings boolean Optional Флаг: создавать ли инцидент по результатам сработки набора правил
rule object Optional Правила входящие в набор
service_asset_groups object Optional Связанные группы активов

ValueStores

Параметр Тип Обязательность Описание
id string Required Идентификатор хранилища (RVS, табличный список)
created_at string time Required Дата создания табличного списка в формате: date-time
updated_at string time Required Дата изменения табличного списка в формате: date-time
name string Required Название табличного списка
description string Required Описание табличного списка
values_scheme string Required Схема значений хранилища (Json как строка)
is_large boolean Required Флаг: используется ли хранилище под большой объем данных
mask_values boolean Required Флаг маскировать ли значения в пользовательском интерфейсе (значения не будут показываться пользователю)
type string Required Тип БД хранилища (на данный момент поддерживается только postgresql - “pg”)
version integer Required Версия хранилища (автоматически увеличивается при изменениях в БД)
source string Required Имя сервера БД, путь к файлу или папке (Не используется. По умолчанию - пустое)
scheme string Required Схема БД
db_name string Required Имя БД
user string Required Имя пользователя БД (Не используется. По умолчанию - пустое)
password string Required Пароль пользователя БД (Не используется. По умолчанию - пустое)
store_count integer Required Количество записей в хранилище
content object Required Контент. По умолчанию - null.
tollerId string Optional Идентификатор трассировки

Модель данных Message

Параметр Тип Обязательность Описание
id string Required Идентификатор сообщения пользователя
created_at string Required Дата создания в формате date-time
updated_at string Required Дата изменения в формате date-time
trace_id string Required Идентификатор трассировки действия пользователя для аудита
subject string Optional Тема (Предмет) сообщения
body string Optional Тело сообщения
service_asset_id string Optional Идентификатор связанного актива
service_asset_finding_id string Optional Идентификатор связанного инцидента
service_asset_finding_status_change_id string Optional Идентификатор связанного изменения статуса инцидента
automated boolean Optional Флаг автоматического создания
finding_id string Optional Идентификатор связанного типа инцидента
itsm_sync_status string Optional Статус синхронизации с внешними системами. Допустимые значения:
- not_synced
- scheduled
- aborted
- synced
- waiting_confirmation
itsm_last_synced_at string Optional Время синхронизации с внешними системами
itsm_sync_error string Optional Описание ошибки синхронизации
sender_id string Optional Идентификатор пользователя инициировавшего синхронизацию

Relations

Параметр Тип Обязательность Описание
service_asset_findings Array<string> Массив идентификаторов инцидентов связанных с типом инцидента
rules Array<string> Массив идентификаторов правил связанных с типом инцидента
messages Array<string> Массив идентификаторов сообщений связанных с типом инцидента