Участник

Сообщение об инциденте

Dispatch старается сделать так, чтобы сообщить об инциденте было как можно проще. Для этого есть отдельная форма сообщения об инциденте: любой сотрудник организации может заполнить её и подключить ресурсы для работы с инцидентом.

Адрес формы: https://<your-dispatch-domain>/default/incidents/report

После отправки пользователь видит все ресурсы инцидента, которые нужны, чтобы начать им управлять.

Во время инцидента

После создания инцидента Dispatch автоматически подключает новых участников. Кого именно подключать, определяют правила, заданные в интерфейсе администратора Dispatch.

Каждый новый участник получает приветственное сообщение (по электронной почте и в Slack) с ресурсами и сведениями, которые помогут ему сориентироваться в этом инциденте.

На протяжении всего инцидента Dispatch управляет ресурсами, необходимыми для расследования, а также присылает напоминания и уведомления.

После инцидента

После того как инцидент помечен как стабильный, Dispatch продолжает помогать в управлении им и создаёт дополнительные ресурсы, например документы постинцидентного разбора (Post Incident Review, PIR).

Уведомления

Помимо подключения людей, которые будут напрямую отвечать за управление инцидентом, Dispatch рассылает уведомления, чтобы организация в целом была в курсе происходящего.

к сведению

Если в проекте включено самостоятельное присоединение (Self-Join), в уведомлении о новом инциденте есть кнопка «Присоединиться» (Join): с её помощью можно добавить себя в инцидент (и получить доступ к его ресурсам) без участия командира инцидента.

Самостоятельное подключение

Часто участники хотят «подписаться» на инциденты по определённому набору параметров. Dispatch позволяет подключать людей к инцидентам автоматически по таким параметрам.

Чтобы настроить подключение человека, откройте Contact > Individual и отредактируйте существующий контакт или создайте новый.

Затем задайте условия подключения: выберите или добавьте термины и фразы, при обнаружении которых в атрибутах инцидента этот человек будет приглашён в инцидент.

Подробнее о подключении к инцидентам читайте здесь.

Как это работает

Для любого набора параметров (тип инцидента, приоритет инцидента, название, описание и т. д.) Dispatch попытается подключить каждого человека, связанного с этими параметрами. Сейчас термины связываются по принципу «ИЛИ»: если совпал хотя бы один термин, человек будет добавлен в инцидент.

По мере развития инцидента появляется новая информация. При любом изменении этих параметров Dispatch заново проверяет связи и при необходимости добавляет новых людей.

Например, возьмём инцидент, о котором сообщили как об «утечке учётных данных» (Credential Leak). Dispatch подключит всех, у кого заданы термины «Credential», «Leak» и «Credential Leak» (регистр и знаки препинания не учитываются).

Если же в ходе расследования выяснится, что на самом деле это «компрометация системы» (System Compromise), и мы соответственно изменим описание и название, Dispatch подтянет людей, связанных с терминами «System», «Compromise» и «System Compromise».