После того как интеграция KUMA и R-Vision SOAR настроена, данные об обнаружениях KUMA поступают в R-Vision SOAR. Изменение параметров обнаружений в KUMA отражается в R-Vision SOAR. Изменение статусов обнаружений в KUMA или R-Vision SOAR, кроме закрытия, также отражается в другой системе.
Если настроена интеграция KUMA и R-Vision SOAR, вы можете выполнять следующее:
Из KUMA в R-Vision SOAR автоматически передаются сведения об обнаруженных обнаружениях. При этом в R-Vision SOAR создается инцидент.
В R-Vision SOAR передаются следующие сведения об обнаружении KUMA:
Первоначальная обработка обнаружения производится в KUMA. Специалист по безопасности может уточнять и менять любые параметры обнаружения, кроме идентификатора и названия. Внесенные изменения отражаются в карточке инцидента R-Vision SOAR.
Если киберугроза признается ложной и обнаружение закрывается в KUMA, соответствующий ему инцидент R-Vision SOAR также автоматически закрывается.
После необходимых работ по инциденту и фиксации хода расследования в R-Vision SOAR инцидент закрывается. Соответствующее обнаружение KUMA также автоматически закрывается.
Если в процессе мониторинга обнаруживается, что инцидент не был решен полностью или обнаруживаются дополнительные сведения, такой инцидент снова открывается в R-Vision SOAR. При этом в KUMA обнаружение остается закрытым.
Специалист по безопасности с помощью ссылки может перейти из инцидента R-Vision SOAR в соответствующее обнаружение в KUMA и изменить его параметры, кроме идентификатора, названия и статуса. Внесенные изменения отражаются в карточке инцидента R-Vision SOAR.
Дальнейший анализ происходит в R-Vision SOAR. Когда расследование завершено и инцидент в R-Vision SOAR снова закрыт, статус соответствующего обнаружения в KUMA не меняется: обнаружение остается закрытым.
Если в процессе анализа в R-Vision SOAR возникает необходимость получить дополнительные сведения из KUMA, в R-Vision SOAR можно сформировать требуемый поисковый запрос (например, запрос телеметрии, репутации, сведений о хосте) к KUMA. Запрос передается с помощью REST API KUMA, ответ фиксируется в карточке инцидента R-Vision SOAR для дальнейшего анализа и вывода в отчет.
Действия выполняются в такой же последовательности на этапе автоматической обработки, если нет возможности сразу сохранить всю информацию по инциденту при импорте.