Funcionamiento de las alertas
Las alertas permiten recibir notificaciones sobre nuevos elementos que coinciden con criterios de búsqueda personalizados. Por ejemplo, es posible recibir una alerta por nuevas vulnerabilidades presentes en activos.
Las alertas funcionan verificando los elementos concernidos por la búsqueda asociada. Si hay elementos que coinciden, la alerta enviara los 500 primeros elementos encontrados.
Las alertas se basan en una ubicación correspondiente al tipo de datos que enviaran en caso de novedades. Las ubicaciones disponibles son:
| Ubicación | Variables disponibles en la integración |
|---|---|
| Inventario | assets |
| Enciclopedia de vulnerabilidades | cves |
| Acciones correctivas | technologies, assets, cves |
| Enciclopedia de defectos de seguridad | security_issues |
| Enciclopedia de reglas de cumplimiento | compliance_rules |
| Activos descubiertos | hosts |
Para enviar los nuevos elementos, las alertas usan las integraciones. Cabe senalar que los datos elegidos en el cuerpo de la solicitud de la integración están fuertemente relacionados con la ubicación de la alerta. Por ejemplo, una alerta en la enciclopedia de vulnerabilidades no podrá completar datos de activos en una integración. Para mas información sobre las integraciones, consulte Integraciones.
Las alertas se ejecutan automáticamente cada hora para encontrar nuevos elementos. Cuando se encuentran nuevos elementos después de superar la frecuencia de la alerta, los elementos se envian.
Cada usuario puede crear sus propias alertas.
Al crear un usuario, Cyberwatch crea automáticamente una alerta estándar indicando las nuevas vulnerabilidades presentes en los activos y publicadas en al menos uno de los catálogos reconocidos por Cyberwatch. Esta alerta estándar se envía mediante una integración SMTP.
Crear una alerta
Una alerta puede crearse directamente desde el inventario o una enciclopedia (Vulnerabilidades, Acciones correctivas, Defectos de seguridad, Reglas de cumplimiento) usando la búsqueda actual mediante el botón Edición en grupo y luego Crear una alerta o desde el menu Alertas > Alertas programadas y haciendo clic en el botón “Añadir”.
Una alerta activa se ejecuta automáticamente en segundo plano al crearse. Si el interruptor “Activar la alerta” está desactivado, la alerta se crea desactivada y no se ejecuta.
Gestionar las alertas
Las planificaciones de alertas se pueden consultar y editar desde el menu Alertas > Alertas programadas. Desde este menu, es posible:
- desactivar una alerta, permite no tener que eliminar una alerta que no se necesita momentaneamente
- ejecutar manualmente una alerta, permite relanzar inmediatamente la alerta sin esperar la proxima ejecución automática
- reinicializar los resultados anteriores de una alerta, permite vaciar los resultados ya descubiertos por la alerta para poder recibir de nuevo los resultados
- editar una alerta
- eliminar una alerta
Historial de envíos
Cada envío de una alerta aparece en el menú Alertas, con su estado “Enviada” o “No enviada”, el mensaje recibido al enviarla y el contenido enviado.
El envío aparece como “No enviada” en los casos siguientes:
- el servidor de la integración HTTP responde con un error o no es accesible
- el envío del correo electrónico falla
- el destinatario fijado en la integración SMTP se ha eliminado o está inactivo
- la integración requiere un proxy pero no hay ningún proxy configurado
Los elementos de un envío fallido no se consideran enviados. Se vuelven a enviar con el envío siguiente, según la frecuencia de la alerta, o inmediatamente con “Ejecutar la alerta ahora”.