getIncidentsList method: incident-үүдийн жагсаалт авах

Энэ method нь хэрэглэсэн шүүлтүүрийн дагуу таны компани дахь Endpoint болон Organization incident-үүдийн мэдээллийг буцаана.

Параметрүүд

• `page` — Хуудаслагдсан үр дүнгийн бүх хуудсаас буцаах хуудасны дугаар; Хүсэлтэд: заавал биш; Төрөл: Integer; Утгын шаардлага: үндсэн утга 1. Утга хамгийн багадаа 1 байх ёстой. Жишээ: "page": 2
• `perPage` — Нэг хуудсанд буцаах зүйлийн тоо; Хүсэлтэд: заавал биш; Төрөл: Integer; Утгын шаардлага: боломжит утга 10 - 10000. Үндсэн утга 30. Жишээ: "perPage": 2000
• `filters` — Буцаах incident-үүдийг шүүх шалгуур; Хүсэлтэд: заавал биш; Төрөл: Object; Утгын шаардлага: дэлгэрэнгүйг доорх filters хэсгээс үзнэ үү. Жишээ: "filters": { "endpointId": "7f127b8036492c2fc071823d", "status": [ "open", "closed", "in_progress", "false_positive" ], "incidentType": [ "incident", "extendedIncident" ], "mainAction": [ "reported", "blocked", "partially_blocked" ], "priority": [ "unknown", "low", "medium", "high", "critical" ], "assignedUserId": "55127b8036492c2fc0718eea", "startDate": "2025-02-03T08:21:43+00:00", "endDate": "2025-02-04T08:23:43+00:00", "processedStartDate": "2025-02-03T08:21:43+00:00", "processedEndDate": "2025-02-04T08:23:43+00:00", "changeStartDate": "2026-03-15T00:00:00+00:00", "changeEndDate": "2026-03-16T23:59:59+00:00" }
• `options` — Буцаах incident-үүдийг шүүх нэмэлт шалгуур; Хүсэлтэд: заавал биш; Төрөл: Object; Утгын шаардлага: дэлгэрэнгүйг доорх options хэсгээс үзнэ үү. Жишээ: "options": { "sortBy": "lastIncidentChange" }

Ерөнхий параметрүүд

Эдгээр нь нийтийн API-ийн бүх method-д нийтлэг байдаг параметрүүд юм:

• `id` — Хүсэлтэд тодорхойлогч нэмж, түүнийг хариутай холбоно. Хүлээн авагч хариунд ижил утгыг буцаадаг тул дуудлагыг амархан дагаж болно; Хүсэлтэд: заавал; Төрөл: String; Утгын шаардлага: нэмэлт шаардлага байхгүй. Жишээ: "id": "ad12cb61-52b3-4209-a87a-93a8530d91cb"
• `method` — Хүсэлт илгээхэд ашиглаж буй method-ийн нэр; Хүсэлтэд: заавал; Төрөл: String; Утгын шаардлага: хүчинтэй method-ийн нэр байх ёстой. Жишээ: "method": "methodName"
• `jsonrpc` — Хүсэлт болон хариуны ашигладаг JSON-RPC-ийн хувилбар; Хүсэлтэд: заавал; Төрөл: String; Утгын шаардлага: боломжит ганц утга 2.0. Жишээ: "jsonrpc": "2.0"
• `params` — Хүсэлтийн тохиргоог агуулсан объект; Хүсэлтэд: заавал; Төрөл: Object; Утгын шаардлага: нэмэлт шаардлага байхгүй. Жишээ: "params": {...}

Объектууд

filters

• `endpointId` — Буцаах incident-үүдийн холбогдох node-ууд дунд байх ёстой endpoint-ийн ID; Хүсэлтэд: заавал биш; Төрөл: String
• `status` — Хариунд оруулах incident-үүдийг шүүх төлөвүүд. Массивын элемент бүр дараах утгуудын нэг байх ёстой: open — incident саяхан үүсэн, одоо хүртэл шалгаагүй; closed — incident зөв болохыг баталгаажуулж, шалгалтын дараа хаасан; in_progress — incident-ийг одоо шалгаж байгаа; false_positive — incident-ийг шалгаад худал дохио болохыг баталгаажуулсан; closed_mdr_reviewed — incident-ийг MDR SOC хянаж хаасан; Хүсэлтэд: заавал биш; Төрөл: String-ийн массив
• `priority` — Хариунд оруулах incident-үүдийг шүүх ач холбогдлын түвшин. Массивын элемент бүр дараах утгуудын нэг байх ёстой: unknown, low, medium, high, critical; Хүсэлтэд: заавал биш; Төрөл: String-ийн массив
• `incidentType` — Буцаах incident-үүдийн боломжит төрлүүд. Массив зөвхөн дараах утгуудыг агуулж болно: incident — Endpoint incident; extendedIncident — Organization incident; Хүсэлтэд: заавал биш; Төрөл: String-ийн массив
• `mainAction` — Incident илрүүлэх үед хамгаалалтын технологиудын автоматаар хийсэн үндсэн үйлдэл, буцаах incident-үүд үүнтэй таарах ёстой. Массивын элемент бүр дараах утгуудын нэг байх ёстой: reported — Endpoint эсвэл Organization incident дээр ямар ч үйлдэл хийгдээгүй, цаашид шалгах шаардлагатай; blocked — Endpoint incident-ийг GravityZone-ийн сэргийлэх модулиуд илрүүлж блоклосон; partially_blocked — бодлогод заасан автомат үйлдлүүдийг Organization incident-ийн зөвхөн зарим entity дээр хийсэн; Хүсэлтэд: заавал биш; Төрөл: String-ийн массив
• `assignedUserId` — Буцаах incident-үүдэд оноогдсон хэрэглэгчийн ID; Хүсэлтэд: заавал биш; Төрөл: String
• `startDate` — Incident-үүдийг lastUpdated талбарын утгаар шүүх хугацааны мужийн эхлэл. lastUpdated утга нь энэ timestamp-аас их буюу тэнцүү incident-үүдийг буцаана. Чухал: энэ параметрийг зөвхөн хүсэлтэд endDate мөн орсон үед ашиглаж болно. Энэ параметрийн утга endDate-ийн утгаас өмнө байх ёстой; Хүсэлтэд: заавал биш; Төрөл: ISO-8601 форматтай String
• `endDate` — Incident-үүдийг lastUpdated талбарын утгаар шүүх хугацааны мужийн төгсгөл. lastUpdated утга нь энэ timestamp-аас бага буюу тэнцүү incident-үүдийг буцаана. Чухал: энэ параметрийг зөвхөн хүсэлтэд startDate мөн орсон үед ашиглаж болно. Энэ параметрийн утга startDate-ийн утгаас хойш байх ёстой; Хүсэлтэд: заавал биш; Төрөл: ISO-8601 форматтай String
• `processedStartDate` — Incident-үүдийг lastProcessed талбарын утгаар шүүх хугацааны мужийн эхлэл. lastProcessed утга нь энэ timestamp-аас их буюу тэнцүү incident-үүдийг буцаана. Чухал: энэ параметрийг зөвхөн хүсэлтэд processedEndDate мөн орсон үед ашиглаж болно. Энэ параметрийн утга processedEndDate-ийн утгаас өмнө байх ёстой; Хүсэлтэд: заавал биш; Төрөл: ISO-8601 форматтай String
• `processedEndDate` — Incident-үүдийг lastProcessed талбарын утгаар шүүх хугацааны мужийн төгсгөл. lastProcessed утга нь энэ timestamp-аас бага буюу тэнцүү incident-үүдийг буцаана. Чухал: энэ параметрийг зөвхөн хүсэлтэд processedStartDate мөн орсон үед ашиглаж болно. Энэ параметрийн утга processedStartDate-ийн утгаас хойш байх ёстой; Хүсэлтэд: заавал биш; Төрөл: ISO-8601 форматтай String
• `changeStartDate` — Incident-үүдийг lastIncidentChange талбарын утгаар шүүх хугацааны мужийн эхлэл. lastIncidentChange утга нь энэ timestamp-аас их буюу тэнцүү incident-үүдийг буцаана. Чухал: энэ параметрийг зөвхөн хүсэлтэд changeEndDate мөн орсон үед ашиглаж болно; энэ параметрийн утга changeEndDate-ийн утгаас өмнө байх ёстой; Хүсэлтэд: заавал биш; Төрөл: ISO-8601 форматтай String
• `changeEndDate` — Incident-үүдийг lastIncidentChange талбарын утгаар шүүх хугацааны мужийн төгсгөл. lastIncidentChange утга нь энэ timestamp-аас бага буюу тэнцүү incident-үүдийг буцаана. Чухал: энэ параметрийг зөвхөн хүсэлтэд changeStartDate мөн орсон үед ашиглаж болно; энэ параметрийн утга changeStartDate-ийн утгаас хойш байх ёстой; Хүсэлтэд: заавал биш; Төрөл: ISO-8601 форматтай String

options

• `sortBy` — Буцаах incident-үүдийг эрэмбэлэх талбарыг заана. Дэмжигдэх утгууд: lastIncidentChange, lastUpdated. Үндсэн утга lastUpdated. Үр дүн буурах дарааллаар буцах бөгөөд хамгийн сүүлд шинэчлэгдсэн incident түрүүнд жагсана; Хүсэлтэд: заавал биш; Төрөл: String

Буцаах утга

Энэ method нь incident-үүдийн мэдээллийг агуулсан result объектыг буцаана. result дараах зүйлсийг агуулна:

• `page` — Integer; одоо харуулж буй хуудасны дугаар.
• `pagesCount` — Integer; нийт хуудасны тоо.
• `perPage` — Integer; нэг хуудсанд буцаасан зүйлийн тоо.
• `total` — Integer; нийт зүйлийн тоо.
• `items` — Объектуудын массив; incident-үүдийн мэдээллийг агуулсан зүйлс. Дэлгэрэнгүйг доорх items хэсгээс үзнэ үү.

Объектууд

items

Массив дахь объект бүр тодорхой нэг incident-ийн дэлгэрэнгүйг өгнө.

• `incidentId` — String; дотоод incident ID, GravityZone Control Center дахь incident-ийн дэлгэрэнгүй хуудасны URL-д орсон байдаг.
• `incidentNumber` — Integer; GravityZone Control Center-ийн Incidents хуудсанд харагдах incident ID.
• `incidentType` — String; incident-ийн төрөл. Боломжит утгууд: incident — Endpoint incident; extendedIncident — Organization incident.
• `company` — Object; incident болсон компанийн мэдээлэл. Объект дараах тохиргоог агуулна: id (String): компанийн ID; name (String): компанийн нэр.
• `status` — String; incident-ийн төлөв. Боломжит утгууд: open — incident саяхан үүсэн, одоо хүртэл шалгаагүй; closed — incident зөв болохыг баталгаажуулж, шалгалтын дараа хаасан; in_progress — incident-ийг одоо шалгаж байгаа; false_positive — incident-ийг шалгаад худал дохио болохыг баталгаажуулсан; closed_mdr_reviewed — incident-ийг MDR SOC хянаж хаасан.
• `mainAction` — String; incident илрэх үед хамгаалалтын технологиудын автоматаар хийсэн үндсэн үйлдэл. Боломжит утгууд: reported — Endpoint эсвэл Organization incident дээр ямар ч үйлдэл хийгдээгүй, цаашид шалгах шаардлагатай; partially_blocked — бодлогод заасан автомат үйлдлүүдийг Organization incident-ийн зөвхөн зарим entity дээр хийсэн; blocked — Endpoint incident-ийг GravityZone-ийн сэргийлэх модулиуд илрүүлж блоклосон.
• `created` — String; incident сүлжээнд илэрсэн огноо, цаг, ISO-8601 форматтай.
• `lastUpdated` — String; BEST-ээс хүлээн авсан incident-ийн сүүлийн шинэчлэлтийн timestamp, ISO-8601 форматтай. Incident хөгжих үед, жишээ нь шинэ үйл ажиллагаа, үйл явдал эсвэл холбоотой entity нэмэгдэхэд энэ утга өөрчлөгдөнө.
• `lastProcessed` — String; GravityZone Control Center-ийн хүлээн авч боловсруулсан incident-ийн сүүлийн шинэчлэлтийн timestamp, ISO-8601 форматтай. Incident хөгжих үед, жишээ нь шинэ үйл ажиллагаа, үйл явдал эсвэл холбоотой entity нэмэгдэхэд энэ утга өөрчлөгдөнө.
• `lastIncidentChange` — String; incident-д хамгийн сүүлд орсон өөрчлөлтийн огноо, цаг. Эх сурвалж хамаарахгүй: BEST-ийн шинэчлэлт болон GravityZone хэрэглэгчийн үйлдэл, жишээ нь төлөв, ач холбогдол, оноогдсон хэрэглэгч эсвэл тэмдэглэлийн өөрчлөлт орно. > Тэмдэглэл: BEST-ээс үүссэн өөрчлөлтийн timestamp нь GravityZone шинэчлэлтийг хүлээн авсан цагаар тэмдэглэгдэнэ.
• `severityScore` — Integer; илрүүлэх технологиудын мэдээлснээр incident-д оноосон хүндийн оноо. Боломжит утгууд 1-ээс 100: 1 — хамгийн бага хүнд; 100 — хамгийн хүнд.
• `incidentLink` — String; GravityZone Control Center дэх incident-ийн дэлгэрэнгүйг нээх URL. Тэмдэглэл: incident-д хандахын тулд хэрэглэгч GravityZone Control Center-д нэвтэрсэн байх ёстой.
• `assignee` — String; энэ incident-д оноогдсон GravityZone хэрэглэгчийн ID. Энэ параметр яг 24 арван зургаатын тэмдэгтээс бүрдэх ёстой.
• `priority` — String; incident-ийн ач холбогдол. Боломжит утгууд: unknown, low, medium, high, critical.
• `attackTypes` — String-ийн массив; incident-д илэрсэн халдлагын төрлүүдийн жагсаалт. Боломжит утгад дараах нь орно: Credential Access, Malware, Ransomware, Password Stealer.
• `details` — Object; incident-ийн нэмэлт мэдээлэл. Мэдээлэл нь incidentType атрибутын утгаас хамаарна. Дэлгэрэнгүйг доорх details хэсгээс үзнэ үү.

details

Endpoint incident-үүд (`incidentType` нь `incident`)

• `detectionName` — String; илрүүлэлтийн нэр.
• `partOf` — Объектуудын массив; энэ incident-ийг өгөгдөл холбоход ашигласан Organization incident-үүд. Массив дахь объект бүрийн талаар дэлгэрэнгүйг доорх partOf (Endpoint болон Organization incident-үүд) ба contains (Organization incident-үүд) хэсгээс үзнэ үү.
• `computerId` — String; incident үүсгэсэн endpoint-ийн ID.
• `computerName` — String; incident үүсгэсэн endpoint-ийн нэр.
• `computerFqdn` — String; incident үүсгэсэн endpoint-ийн FQDN.
• `computerIp` — String; incident үүсгэсэн endpoint-ийн IP. Endpoint олон IP-тэй бол халдлагад ашигласан IP биш, GravityZone-той холбогдоход ашигладаг IP энд бичигдэнэ.
• `computerMacAddresses` — String-ийн массив; endpoint-уудын MAC хаягийн жагсаалт.
• `counters` — Object; incident-д тодорхой төрлийн нөөц хэр олон байгааг тусгасан тоолуурууд. Энэ объектод орсон талбаруудын талаар доорх counters (Endpoint болон Organization incident-үүд) хэсгээс үзнэ үү.
• `incidentEvolution` — Объектуудын массив; GravityZone Control Center-ийн компани засах урсгалын Settings (Тохиргоо) таб дахь Create a separate incident when new activity is detected сонголтыг идэвхжүүлсэн үед л массив дүүрнэ. Энэ тохиолдолд хаагдсан incident дээр шинэ үйл ажиллагаа илрэх бүрд шинэ incident үүснэ. Шинээр үүссэн incident нээлттэй хэвээр байж, хаагдтал холбоотой үйл ажиллагаагаар тасралтгүй шинэчлэгдэнэ. Энэ incident хаагдсаны дараа дахин үйл ажиллагаа илэрвэл өөр шинэ incident үүснэ. Энэ аргаар үүссэн холбоотой бүх incident Incident evolution гинжийг бүрдүүлнэ. Массив дахь объект бүрийн талаар доорх incidentEvolution (Endpoint болон Organization incident-үүд) хэсгээс үзнэ үү.

Organization incident-үүд (`incidentType` нь `extendedIncident`)

• `incidentEvolution` — Объектуудын массив; GravityZone Control Center-ийн компани засах урсгалын Settings (Тохиргоо) таб дахь Create a separate incident when new activity is detected сонголтыг идэвхжүүлсэн үед л массив дүүрнэ. Энэ тохиолдолд хаагдсан incident дээр шинэ үйл ажиллагаа илрэх бүрд шинэ incident үүснэ. Шинээр үүссэн incident нээлттэй хэвээр байж, хаагдтал холбоотой үйл ажиллагаагаар тасралтгүй шинэчлэгдэнэ. Энэ incident хаагдсаны дараа дахин үйл ажиллагаа илэрвэл өөр шинэ incident үүснэ. Энэ аргаар үүссэн холбоотой бүх incident Incident evolution гинжийг бүрдүүлнэ. Массив дахь объект бүрийн талаар доорх incidentEvolution (Endpoint болон Organization incident-үүд) хэсгээс үзнэ үү.
• `partOf` — Object; энэ incident-ийг өгөгдөл холбоход ашигласан Organization incident-үүд. Массив дахь объект бүрийн талаар доорх partOf (Endpoint болон Organization incident-үүд) ба contains (Organization incident-үүд) хэсгээс үзнэ үү.
• `contains` — Object; энэ incident-д өгөгдөл холбоход ашигласан бусад incident-үүд. Массив дахь объект бүрийн талаар доорх partOf (Endpoint болон Organization incident-үүд) ба contains (Organization incident-үүд) хэсгээс үзнэ үү.
• `counters` — Object; incident-д тодорхой төрлийн нөөц хэр олон байгааг тусгасан тоолуурууд. Энэ объектод орсон талбаруудын талаар доорх counters (Endpoint болон Organization incident-үүд) хэсгээс үзнэ үү.

partOf (Endpoint болон Organization incident-үүд) ба contains (Organization incident-үүд)

• `incidentId` — String; incident-ийн ID.
• `incidentLink` — String; GravityZone Control Center дэх incident-ийн дэлгэрэнгүйг нээх URL. Тэмдэглэл: incident-д хандахын тулд хэрэглэгч GravityZone Control Center-д нэвтэрсэн байх ёстой.

incidentEvolution (Endpoint болон Organization incident-үүд)

• `incidentId` — String; дотоод incident ID, GravityZone Control Center дахь incident-ийн дэлгэрэнгүй хуудасны URL-д орсон байдаг.
• `incidentNumber` — Integer; GravityZone Control Center-ийн Incidents хуудсанд харагдах incident ID, # угтваргүй.
• `status` — String; incident-ийн төлөв. Боломжит утгууд: open — incident саяхан үүсэн, одоо хүртэл шалгаагүй; in_progress — incident-ийг одоо шалгаж байгаа; false_positive — incident-ийг шалгаад худал дохио болохыг баталгаажуулсан; closed — incident зөв болохыг баталгаажуулж, шалгалтын дараа хаасан; closed_mdr_reviewed — incident-ийг MDR SOC хянаж хаасан.
• `incidentLink` — String; incident-ийн дэлгэрэнгүйг хөтөч дээр үзэх вэб хуудас руу заасан URL.

counters (Endpoint болон Organization incident-үүд)

Endpoint incident-үүд

• `endpoints` — Integer; incident-д оролцсон endpoint-уудын тоо.
• `files` — Integer; incident-д оролцсон файлуудын тоо.
• `processes` — Integer; incident-д оролцсон процессуудын тоо.
• `domains` — Integer; incident-д оролцсон домэйнуудын тоо.
• `registries` — Integer; incident-д оролцсон registry key-үүдийн тоо. Зөвхөн Windows ашигладаг endpoint-д хамаарна.
• `events` — Integer; incident-д оролцсон системийн үйл явдлуудын тоо.
• `storages` — Integer; incident-д оролцсон хадгалах төхөөрөмжүүдийн тоо.

Organization incident-үүд

• `endpoints` — Integer; incident-д оролцсон endpoint-уудын тоо.
• `servers` — Integer; incident-д оролцсон серверүүдийн тоо.
• `mobileDevices` — Integer; incident-д оролцсон гар утас, мобайл төхөөрөмжүүдийн тоо.
• `printers` — Integer; incident-д оролцсон принтерүүдийн тоо.
• `routers` — Integer; incident-д оролцсон роутеруудын тоо.
• `IoTs` — Integer; incident-д оролцсон Internet-of-Things төхөөрөмжүүдийн тоо.
• `identities` — Integer; incident-д оролцсон identity-үүдийн тоо.
• `emails` — Integer; incident-д оролцсон и-мэйлүүдийн тоо.
• `IPs` — Integer; incident-д оролцсон IP-үүдийн тоо.
• `domains` — Integer; incident-д оролцсон домэйнуудын тоо.
• `DNSs` — Integer; incident-д оролцсон домэйн нэрийн серверүүдийн тоо.
• `DGAs` — Integer; incident-д оролцсон домэйн үүсгэх алгоритмуудын (DGAs) тоо.
• `cloudStorages` — Integer; incident-д оролцсон үүлэн хадгалалтуудын тоо.
• `torNodes` — Integer; incident-д оролцсон Tor node)-уудын тоо.
• `externalDrives` — Integer; incident-д оролцсон гадаад дискүүдийн тоо.
• `externalSources` — Integer; incident-д оролцсон гадаад эх сурвалжуудын тоо.
• `exfiltratedFiles` — Integer; incident-д оролцсон гадагш алдагдсан файлуудын тоо.
• `internalIPs` — Integer; incident-д оролцсон дотоод IP-үүдийн тоо.
• `internalEmails` — Integer; incident-д оролцсон дотоод и-мэйлүүдийн тоо.
• `users` — Integer; incident-д оролцсон хэрэглэгчдийн тоо.
• `virtualDesktops` — Integer; incident-д оролцсон виртуал desktop-уудын тоо.
• `containers` — Integer; incident-д оролцсон container-уудын (Docker, k8s гэх мэт) тоо.
• `databases` — Integer; incident-д оролцсон өгөгдлийн сангуудын тоо.
• `storages` — Integer; incident-д оролцсон хадгалалтуудын тоо.
• `office365Instances` — Integer; incident-д оролцсон Microsoft 365 (Office 365) instance-уудын тоо.
• `ADInstances` — Integer; incident-д оролцсон Active Directory instance-уудын тоо.
• `azureADInstances` — Integer; incident-д оролцсон Azure Active Directory instance-уудын тоо.
• `GCPInstances` — Integer; incident-д оролцсон Google Cloud Platform instance-уудын тоо.
• `googleWorkspaceInstances` — Integer; incident-д оролцсон Google Workspace instance-уудын тоо.
• `atlassianInstances` — Integer; incident-д оролцсон Atlassian instance-уудын тоо.
• `atlassianBitbucketProducts` — Integer; incident-д оролцсон Atlassian Bitbucket бүтээгдэхүүнүүдийн тоо.
• `atlassianJiraProducts` — Integer; incident-д оролцсон Atlassian Jira бүтээгдэхүүнүүдийн тоо.
• `atlassianConfluenceProducts` — Integer; incident-д оролцсон Atlassian Confluence бүтээгдэхүүнүүдийн тоо.
• `bitbucketProjects` — Integer; incident-д оролцсон Bitbucket төслүүдийн тоо.
• `confluenceSpaces` — Integer; incident-д оролцсон Confluence space-үүдийн тоо.
• `AWSInstances` — Integer; incident-д оролцсон AWS instance-уудын тоо.

Жишээ

Хүсэлт

{
    "id": "b1c2d3e4-f5a6-7890-b123-cdef45678901",
    "method": "getIncidentsList",
    "jsonrpc": "2.0",
    "params": {
        "page": 1,
        "perPage": 100,
        "filters": {
            "endpointId": "7f127b8036492c2fc071823d",
            "status": [
                "open",
                "closed",
                "in_progress",
                "false_positive"
            ],
            "mainAction": [
                "reported",
                "blocked",
                "partially_blocked"
            ],
            "priority": [
                "unknown",
                "low",
                "medium",
                "high",
                "critical"
            ],
            "assignedUserId": "55127b8036492c2fc0718eea",
            "processedStartDate": "2026-03-01T00:00:00+00:00",
            "processedEndDate": "2026-03-31T23:59:59+00:00",
            "changeStartDate": "2026-03-15T00:00:00+00:00",
            "changeEndDate": "2026-03-16T23:59:59+00:00"
        },
        "options": {
            "sortBy": "lastIncidentChange"
        }
    }
}

Хариу

{
    "id": "b1c2d3e4-f5a6-7890-b123-cdef45678901",
    "jsonrpc": "2.0",
    "result": {
        "total": 2,
        "page": 1,
        "perPage": 100,
        "pagesCount": 1,
        "items": [
            {
                "incidentId": "6a1b2c3d4e5f67890abcde01",
                "incidentNumber": 101,
                "status": "open",
                "mainAction": "reported",
                "created": "2026-03-15T15:03:03+00:00",
                "lastUpdated": "2026-03-16T09:14:22+00:00",
                "lastProcessed": "2026-03-16T09:15:01+00:00",
                "lastIncidentChange": "2026-03-16T10:00:00+00:00",
                "severityScore": 72,
                "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcde01",
                "assignee": "55127b8036492c2fc0718eea",
                "priority": "high",
                "attackTypes": [
                    "Credential Access"
                ],
                "company": {
                    "id": "5e4d3c2b1a0987654321fedc",
                    "name": "Acme Corporation"
                },
                "incidentType": "incident",
                "details": {
                    "detectionName": "Suspicious registry access",
                    "counters": {
                        "endpoints": 1,
                        "files": 2,
                        "processes": 6,
                        "domains": 0,
                        "registries": 1,
                        "events": 12,
                        "storages": 0
                    },
                    "incidentEvolution": [
                        {
                            "incidentId": "6a1b2c3d4e5f67890abcde03",
                            "incidentNumber": 103,
                            "status": "in_progress",
                            "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcde03"
                        }
                    ],
                    "computerId": "5d4c3b2a190876543210fed2",
                    "computerName": "SERVER-PROD-01",
                    "computerFqdn": "server-prod-01.example.local",
                    "computerIp": "192.0.2.10",
                    "computerMacAddresses": [
                        "00CCDD445566"
                    ],
                    "partOf": [
                        {
                            "incidentId": "6a1b2c3d4e5f67890abcde10",
                            "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcde10"
                        }
                    ]
                }
            },
            {
                "incidentId": "6a1b2c3d4e5f67890abcde02",
                "incidentNumber": 102,
                "status": "closed",
                "mainAction": "blocked",
                "created": "2026-03-10T13:38:01+00:00",
                "lastUpdated": "2026-03-11T08:22:11+00:00",
                "lastProcessed": "2026-03-11T08:23:10+00:00",
                "lastIncidentChange": "2026-03-16T10:00:00+00:00",
                "severityScore": 90,
                "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcde02",
                "assignee": "55127b8036492c2fc0718eea",
                "priority": "critical",
                "attackTypes": [
                    "Exfiltration",
                    "SpearPhishing"
                ],
                "company": {
                    "id": "5e4d3c2b1a0987654321fedc",
                    "name": "Acme Corporation"
                },
                "incidentType": "extendedIncident",
                "details": {
                    "counters": {
                        "endpoints": 1,
                        "servers": 0,
                        "mobileDevices": 0,
                        "printers": 0,
                        "routers": 0,
                        "IoTs": 0,
                        "identities": 3,
                        "emails": 1,
                        "IPs": 2,
                        "domains": 1,
                        "DNSs": 0,
                        "DGAs": 0,
                        "cloudStorages": 1,
                        "torNodes": 0,
                        "externalDrives": 0,
                        "externalSources": 1,
                        "exfiltratedFiles": 2,
                        "internalIPs": 0,
                        "internalEmails": 1,
                        "users": 2,
                        "virtualDesktops": 0,
                        "containers": 0,
                        "databases": 0,
                        "storages": 0,
                        "office365Instances": 1,
                        "ADInstances": 0,
                        "azureADInstances": 1,
                        "AWSInstances": 0,
                        "GCPInstances": 0,
                        "googleWorkspaceInstances": 0,
                        "atlassianInstances": 0,
                        "atlassianBitbucketProducts": 0,
                        "atlassianJiraProducts": 0,
                        "atlassianConfluenceProducts": 0,
                        "bitbucketProjects": 0,
                        "confluenceSpaces": 0
                    },
                    "incidentEvolution": [
                        {
                            "incidentId": "6a1b2c3d4e5f67890abcde12",
                            "incidentNumber": 112,
                            "status": "false_positive",
                            "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcde12"
                        }
                    ],
                    "contains": [
                        {
                            "incidentId": "6a1b2c3d4e5f67890abcde21",
                            "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcde21"
                        }
                    ],
                    "partOf": [
                    ]
                }
            }
        ]
    }
}