Как объект, обнаружение имеет статус, который показывает текущий статус обнаружения в его жизненном цикле.
Вы можете изменять статусы обнаружений для своих обнаружений или обнаружений других аналитиков, только если у вас есть право доступа для чтения и изменения обнаружений и инцидентов.
Если статус обнаружения изменен вручную, плейбуки не будут запускаться автоматически. Вы можете запустить плейбук для такого обнаружения вручную.
Обнаружение может иметь один из следующих статусов:
Когда Kaspersky Single Management Platform регистрирует новое обнаружение, оно имеет статус Новое. Вы можете изменить статус обновления на В обработке или Закрыто. Когда вы меняете статус Новое на В обработке, обнаружение назначается вам автоматически. Когда вы меняете статус Новое на Закрыто и у обнаружения нет исполнителя, оно автоматически назначается вам.
Этот статус означает, что аналитик начал работу над обнаружением. Когда вы устанавливаете статус В обработке, обнаружение назначается вам автоматически. Вы можете изменить статус В обработке на Новое или Закрыто.
Истинно положительные обнаружения должны быть связаны с инцидентами и расследоваться в рамках инцидентов. Когда вы закрываете инцидент, связанные обнаружения также переходят в статус Закрыто. Вы закрываете несвязанное обнаружение только как ложное срабатывание или как обнаружение с низким приоритетом. Когда вы закрываете обнаружение, вам нужно выбрать разрешение и дать короткий комментарий.
Статус Закрыто можно изменить только на статус Новое. Если вы хотите вернуть закрытое обнаружение в работу, измените его статус следующим образом: Закрыто→Новое→В обработке.
Когда вы закрываете обнаружение, связанное с инцидентом, автоматически удаляется связь с инцидентом. Если обнаружение, которое вы собираетесь закрыть, никому не назначено, оно автоматически назначается аналитику, который закрывает обнаружение.
Обнаружения получают этот статус, когда они связаны с инцидентом. Вы не можете установить этот статус вручную. Вы можете установить статус Закрыто только для связанного обнаружения. Чтобы установить статус Новое или В обработке, сначала необходимо удалить связь между обнаружением и инцидентом.
Чтобы изменить статус одного или нескольких обнаружений:
В главном окне программы перейдите в раздел Мониторинг и отчеты→Обнаружения.
Выполните одно из следующих действий:
Установите флажки напротив обнаружений, статус которых вы хотите изменить.
Перейдите по ссылке с идентификатором обнаружения, статус которого вы хотите изменить.
Откроется окно Информация об обнаружении.
Нажмите на кнопку Изменить статус.
В панели Изменить статус выберите статус, который нужно установить.
Если вы выберете статус Закрыт, вам нужно выбрать решение и написать короткий комментарий.
Если вы измените статус обнаружения на Закрыто и это обнаружения содержит незавершенные плейбуки или действия по реагированию, все связанные плейбуки и действия по реагированию будут прекращены.