getIncident method: incident-ийн мэдээлэл авах

Та энэ method-ийг ашиглан тодорхой нэг incident-ийн мэдээллийг түүний ID-аар авч болно.

Параметрүүд

• `id` — Мэдээллийг нь авах incident-ийн ID. Энэ ID нь GravityZone Control Center дахь incident-ийн дэлгэрэнгүй хуудасны URL-д орсон байдаг; Хүсэлтэд: заавал; Төрөл: String; Утгын шаардлага: утга нь таны хандах эрхтэй incident-ийн ID байх ёстой бөгөөд яг 24 арван зургаатын (hexadecimal) тэмдэгтээс бүрдэнэ. Жишээ: "id": "67dd30dd4a842ebbbb0b6af3"

Ерөнхий параметрүүд

Эдгээр нь нийтийн API-ийн бүх method-д нийтлэг байдаг параметрүүд юм:

• `id` — Хүсэлтэд тодорхойлогч нэмж, түүнийг хариутай холбоно. Хүлээн авагч хариунд ижил утгыг буцаадаг тул дуудлагыг амархан дагаж болно; Хүсэлтэд: заавал; Төрөл: String; Утгын шаардлага: нэмэлт шаардлага байхгүй. Жишээ: "id": "ad12cb61-52b3-4209-a87a-93a8530d91cb"
• `method` — Хүсэлт илгээхэд ашиглаж буй method-ийн нэр; Хүсэлтэд: заавал; Төрөл: String; Утгын шаардлага: хүчинтэй method-ийн нэр байх ёстой. Жишээ: "method": "methodName"
• `jsonrpc` — Хүсэлт болон хариуны ашигладаг JSON-RPC-ийн хувилбар; Хүсэлтэд: заавал; Төрөл: String; Утгын шаардлага: боломжит ганц утга 2.0. Жишээ: "jsonrpc": "2.0"
• `params` — Хүсэлтийн тохиргоог агуулсан объект; Хүсэлтэд: заавал; Төрөл: Object; Утгын шаардлага: нэмэлт шаардлага байхгүй. Жишээ: "params": {...}

Буцаах утга

• `result` — Хүсэлтэд заасан incident-ийн дэлгэрэнгүй мэдээлэл; Төрөл: Object. Дэлгэрэнгүйг доорх result хэсгээс үзнэ үү.

Объектууд

result

• `incidentId` — Дотоод incident ID. GravityZone Control Center дахь incident-ийн дэлгэрэнгүй хуудасны URL-д орсон байдаг; Төрөл: String
• `incidentNumber` — GravityZone Control Center-ийн Incidents хуудсанд харагддаг incident ID, # угтваргүй; Төрөл: Integer
• `incidentType` — Incident-ийн төрөл. Боломжит утгууд (Төрөл: String):

- incident: GravityZone Control Center дахь Endpoint incident.
- extendedIncident: GravityZone Control Center дахь Organization incident.

Энэ талбарын утгаас details объектод ямар мэдээлэл орохыг тодорхойлно.

• `company` — Incident үүссэн company-ийн мэдээлэл. Объект дараах тохиргоог агуулна (Төрөл: Object):

- id (String): company-ийн ID.
- name (String): company-ийн нэр.

• `status` — Incident-ийн төлөв. Боломжит утгууд (Төрөл: String):

- open — incident саяхан үүссэн, одоо хүртэл шалгаагүй байна.
- in_progress — incident-ийг одоо шалгаж байна.
- false_positive — incident-ийг шалгаад худал дохио болохыг баталгаажуулсан.
- closed — incident зөв болохыг баталгаажуулж, шалгалтын дараа хаасан.
- closed_mdr_reviewed — incident-ийг MDR SOC хянаж хаасан.

• `mainAction` — Incident илрэх үед хамгаалалтын технологиуд автоматаар хийсэн үндсэн үйлдлээр тодорхойлогдох incident-ийн төрөл. Боломжит утгууд (Төрөл: String):

- reported: ямар ч арга хэмжээ аваагүй, цаашид шалгах шаардлагатай Endpoint эсвэл Organization incident.
- partially_blocked: бодлогод заасан автомат үйлдлүүдийг зөвхөн зарим entity дээр хийсэн Organization incident.
- blocked: GravityZone-ийн урьдчилан сэргийлэх модулиуд илрүүлж, блоклосон Endpoint incident.

• `created` — Incident сүлжээнд илэрсэн огноо, цаг (ISO-8601 хэлбэрээр); Төрөл: String
• `lastUpdated` — BEST-ээс хүлээн авсан incident-ийн хамгийн сүүлийн шинэчлэлтийн цаг (ISO-8601 хэлбэрээр). Incident хөгжих үед, жишээ нь шинэ үйл ажиллагаа, үйл явдал эсвэл холбоотой entity нэмэгдэх үед энэ утга өөрчлөгдөнө; Төрөл: String
• `lastProcessed` — GravityZone Control Center-ийн хүлээн авч боловсруулсан incident-ийн хамгийн сүүлийн шинэчлэлтийн цаг (ISO-8601 хэлбэрээр). Incident хөгжих үед, жишээ нь шинэ үйл ажиллагаа, үйл явдал эсвэл холбоотой entity нэмэгдэх үед энэ утга өөрчлөгдөнө; Төрөл: String
• `lastIncidentChange` — Incident-д хамгийн сүүлд орсон өөрчлөлтийн огноо, цаг. Өөрчлөлтийн эх сурвалж хамаарахгүй: BEST-ийн шинэчлэлт болон GravityZone хэрэглэгчийн хийсэн үйлдэл (төлөв, ач холбогдол, хариуцагч, тэмдэглэлийн өөрчлөлт) бүгд орно; Төрөл: String

> Тэмдэглэл: BEST-ээс үүссэн өөрчлөлтийн цагийг GravityZone шинэчлэлтийг хүлээн авсан цагаар тэмдэглэнэ.

• `severityScore` — Илрүүлэх технологиудын тайлагнасан, incident-д оноосон ноцтой байдлын оноо. Боломжит утга: 1 - 100; Төрөл: Integer
• `incidentLink` — Incident-ийн дэлгэрэнгүйг хөтөч дээр үзэж болох вэб хуудасны URL; Төрөл: String
• `assignee` — Энэ incident-д оноогдсон GravityZone хэрэглэгч. Объект дараах тохиргоог агуулна (Төрөл: Object):

- userId (String): хэрэглэгчийн ID.
- userName (String): хэрэглэгчийн нэр.
- companyId (String): хэрэглэгч харьяалагдах company-ийн ID.
- companyName (String): хэрэглэгч харьяалагдах company-ийн нэр.

• `priority` — Incident-д оноосон ач холбогдол. Боломжит утгууд (Төрөл: String):

- unknown
- low
- medium
- high
- critical

• `attackTypes` — Incident-д илэрсэн халдлагын төрлүүдийн жагсаалт. Мөр бүр, жишээ нь (Төрөл: String-ийн массив):

- Malware
- Ransomware
- Password Stealer

• `details` — Incident-ийн нэмэлт мэдээлэл. Мэдээлэл нь incidentType атрибутын утгаас хамаарна; Төрөл: Object

incidentType нь incident үед details объект дараахийг агуулна:
- detectionName (String): илрүүлэлтийн нэр.
- partOf (Объектуудын массив): энэ incident-ийг өгөгдөл холбоход ашигласан Organization incident-үүд. Массивын объект бүрийн талаар доорх partOf (Endpoint and Organization incidents) болон contains (Organization incidents) хэсгийг үзнэ үү.
- computerId (String): incident үүсгэсэн endpoint-ийн ID.
- computerName (String): incident үүсгэсэн endpoint-ийн нэр.
- computerFqdn (String): incident үүсгэсэн endpoint-ийн FQDN.
- computerIp (String): incident үүсгэсэн endpoint-ийн IP. Endpoint-д олон IP байвал халдлагад ашигласан биш, GravityZone-той холбогдоход ашигладаг IP-г энд тайлагнана.
- computerMacAddresses (Strings-ийн массив): endpoint-ийн MAC хаягуудын жагсаалт.
- counters (Object): incident-д ямар төрлийн нөөц хэдэн ширхэг байгааг харуулах тоолуурууд. Энэ объектын талбаруудыг доорх counters (Endpoint incidents) хэсгээс үзнэ үү.
- triggerNodeId (String): incident-ийг эхлүүлсэн node-ийн ID. Энэ нь incident графын үндсэн node юм.
- nodes (Объектуудын массив): incident графын node-уудын жагсаалт. Массивын объект бүрийн талаар доорх nodes (Endpoint incidents) хэсгийг үзнэ үү.
- alerts (Объектуудын массив): incident-ийн үйл явдлуудын alert-уудын жагсаалт. Массивын объект бүрийн талаар доорх alerts (Endpoint incidents) хэсгийг үзнэ үү.
- transitions (Объектуудын массив): incident граф байгуулахад ашиглах зүйлс. Node-ууд хэрхэн холбогдохыг заана. Массивын объект бүрийн талаар доорх transitions (Endpoint incidents) хэсгийг үзнэ үү.
- mitreTags (Объектуудын массив): халдлагад илэрсэн MITRE technique-ууд. Массивын объект бүрийн талаар доорх mitreTags (Endpoint and Organization incidents) хэсгийг үзнэ үү.
- incidentEvolution (Объектуудын массив): Массив нь company засварлах урсгалын Settings (Тохиргоо) таб дахь Create a separate incident when new activity is detected сонголт идэвхтэй үед л бөглөгдөнө.

Энэ тохиолдолд хаагдсан incident дээр шинэ үйл ажиллагаа илэрэх бүрт шинэ incident үүснэ. Шинээр үүссэн incident нээлттэй хэвээр байж, хаагдтал холбогдох үйл ажиллагаагаар тасралтгүй шинэчлэгдэнэ. Энэ incident хаагдсаны дараа дахин үйл ажиллагаа илэрвэл өөр шинэ incident үүснэ. Ингэж үүссэн бүх холбоотой incident Incident evolution гинжийг бүрдүүлнэ.

Массивын объект бүрийн талаар доорх incidentEvolution (Endpoint and Organization incidents) хэсгийг үзнэ үү.

incidentType нь extendedIncident үед details объект дараахийг агуулна:
- partOf (Объектуудын массив): энэ incident-ийг өгөгдөл холбоход ашигласан Organization incident-үүд. Массивын объект бүрийн талаар доорх partOf (Endpoint and Organization incidents) болон contains (Organization incidents) хэсгийг үзнэ үү.
- contains (Объектуудын массив): энэ incident-д өгөгдөл холбоход ашигласан бусад incident-үүд. Массивын объект бүрийн талаар доорх partOf (Endpoint and Organization incidents) болон contains (Organization incidents) хэсгийг үзнэ үү.
- counters (Object): incident-д ямар төрлийн нөөц хэдэн ширхэг байгааг харуулах тоолуурууд. Энэ объектын талбаруудыг доорх counters (Organization incidents) хэсгээс үзнэ үү.
- mitreTags (Объектуудын массив): халдлагад илэрсэн MITRE technique-ууд. Массивын объект бүрийн талаар доорх mitreTags (Endpoint and Organization incidents) хэсгийг үзнэ үү.
- killChainPhases (Strings-ийн массив): MITRE ATT&CK framework-д суурилсан кибер халдлагын амьдралын мөчлөгийн үе шатууд. Утга бүр халдлага үйлдэгч incident үед хүрсэн байж болох тодорхой үе шатыг илэрхийлнэ. Мөр бүрийн боломжит утгууд:
- initial_access
- execution
- persistence
- privilege_escalation
- defence_evasion
- credential_access
- discovery
- lateral_movement
- collection
- command_and_control
- exfiltration
- impact
- lastKillChainPhase (String): incident үед кибер халдлагын амьдралын мөчлөгийн хамгийн сүүлд хүрсэн үе шатыг MITRE ATT&CK framework-д үндэслэн заана. Энэ нь систем ажигласан хамгийн урагшилсан үе шатыг илэрхийлнэ. Боломжит утгууд нь killChainPhases мөрүүдийн утгатай адил.
- cves (Объектуудын массив): халдлагад илэрсэн CVE-үүд. Массивын объект бүрийн талаар доорх cves (Organization incidents) хэсгийг үзнэ үү.
- suspectedActors (Объектуудын массив): халдлагыг үйлдсэн байж болзошгүй этгээдүүд. Массивын объект бүрийн талаар доорх suspectedActors (Organization incidents) хэсгийг үзнэ үү.
- nodes (Объектуудын массив): incident графын node-ууд. Массивын объект бүрийн талаар доорх nodes (Organization incidents) хэсгийг үзнэ үү.
- alerts (Объектуудын массив): incident-ийн үйл явдлуудын alert-ууд. Массивын объект бүрийн талаар доорх alerts (Organization incidents) хэсгийг үзнэ үү.
- incidentEvolution (Объектуудын массив): Массив нь company засварлах урсгалын Settings (Тохиргоо) таб дахь Create a separate incident when new activity is detected сонголт идэвхтэй үед л бөглөгдөнө.

Энэ тохиолдолд хаагдсан incident дээр шинэ үйл ажиллагаа илэрэх бүрт шинэ incident үүснэ. Шинээр үүссэн incident нээлттэй хэвээр байж, хаагдтал холбогдох үйл ажиллагаагаар тасралтгүй шинэчлэгдэнэ. Энэ incident хаагдсаны дараа дахин үйл ажиллагаа илэрвэл өөр шинэ incident үүснэ. Ингэж үүссэн бүх холбоотой incident Incident evolution гинжийг бүрдүүлнэ.

Массивын объект бүрийн талаар доорх incidentEvolution (Endpoint and Organization incidents) хэсгийг үзнэ үү.
- narrative (String массивуудын массив): GravityZone Control Center-ийн Overview (Ерөнхий тойм) таб дахь incident-ийг товч тайлбарласан догол мөрүүдийн жагсаалт. Догол мөр бүрийг хэллэг (phrase) мөрүүдийн массив хэлбэрээр илэрхийлнэ. Өгөгдөл байхгүй бол narrative хоосон массив буцаана.
- reasoning (String массивуудын массив): incident-ийн үндсэн шалтгааны шинжилгээг бүрдүүлэх догол мөрүүдийн жагсаалт, өөрөөр хэлбэл incident-ийн эх сурвалж, түүнд хүргэсэн хүчин зүйл, alert-уудыг тайлбарласан текст. Догол мөр бүрийг хэллэг (phrase) мөрүүдийн массив хэлбэрээр илэрхийлнэ. Өгөгдөл байхгүй бол reasoning хоосон массив буцаана.

• `notes` — Incident-д хавсаргасан тэмдэглэлүүдийн жагсаалт. Тэмдэглэл бүр дараах тохиргоог агуулна (Төрөл: Объектуудын массив):

- id (String): тэмдэглэлийн ID.
- userId (String): тэмдэглэл үүсгэсэн хэрэглэгчийн ID.
- text (String): тэмдэглэлд нэмсэн текст.
- created (String): тэмдэглэл үүсгэсэн огноо, цаг (ISO-8601 хэлбэрээр).
- userName (String): тэмдэглэл үүсгэгчийн хэрэглэгчийн нэр.

partOf (Endpoint and Organization incidents) болон contains (Organization incidents)

• `incidentId` — Incident-ийн ID; Төрөл: String
• `incidentLink` — GravityZone Control Center-д нэвтэрсний дараа incident-ийг нээхэд ашиглаж болох URL; Төрөл: String

counters (Endpoint incidents)

• `endpoints` — Incident-д оролцсон endpoint-ийн тоо; Төрөл: Integer
• `files` — Incident-д оролцсон файлын тоо; Төрөл: Integer
• `processes` — Incident-д оролцсон процессын тоо; Төрөл: Integer
• `domains` — Incident-д оролцсон домэйны тоо; Төрөл: Integer
• `registries` — Incident-д оролцсон registry key-ийн тоо. Энэ нь зөвхөн Windows ашигладаг endpoint-д хамаарна; Төрөл: Integer
• `events` — Incident-д оролцсон системийн үйл явдлын тоо; Төрөл: Integer
• `storages` — Incident-д оролцсон хадгалах төхөөрөмжийн тоо; Төрөл: Integer

counters (Organization incidents)

• `endpoints` — Incident-д оролцсон endpoint-ийн тоо; Төрөл: Integer
• `servers` — Incident-д оролцсон серверийн тоо; Төрөл: Integer
• `mobileDevices` — Incident-д оролцсон гар утас, зөөврийн төхөөрөмжийн тоо; Төрөл: Integer
• `printers` — Incident-д оролцсон принтерийн тоо; Төрөл: Integer
• `routers` — Incident-д оролцсон чиглүүлэгчийн (router) тоо; Төрөл: Integer
• `IoTs` — Incident-д оролцсон Internet-of-Things төхөөрөмжийн тоо; Төрөл: Integer
• `identities` — Incident-д оролцсон identity-ийн тоо; Төрөл: Integer
• `emails` — Incident-д оролцсон и-мэйлийн тоо; Төрөл: Integer
• `IPs` — Incident-д оролцсон IP-ийн тоо; Төрөл: Integer
• `domains` — Incident-д оролцсон домэйны тоо; Төрөл: Integer
• `DNSs` — Incident-д оролцсон домэйн нэрийн серверийн (DNS) тоо; Төрөл: Integer
• `DGAs` — Incident-д оролцсон домэйн үүсгэх алгоритмын (DGAs) тоо; Төрөл: Integer
• `cloudStorages` — Incident-д оролцсон cloud хадгалалтын тоо; Төрөл: Integer
• `torNodes` — Incident-д оролцсон Tor node)-ийн тоо; Төрөл: Integer
• `externalDrives` — Incident-д оролцсон гадаад дискийн тоо; Төрөл: Integer
• `externalSources` — Incident-д оролцсон гадаад эх сурвалжийн тоо; Төрөл: Integer
• `exfiltratedFiles` — Incident-д оролцсон гадагш алдагдсан файлын тоо; Төрөл: Integer
• `internalIPs` — Incident-д оролцсон дотоод IP-ийн тоо; Төрөл: Integer
• `internalEmails` — Incident-д оролцсон дотоод и-мэйлийн тоо; Төрөл: Integer
• `users` — Incident-д оролцсон хэрэглэгчийн тоо; Төрөл: Integer
• `virtualDesktops` — Incident-д оролцсон virtual desktop-ийн тоо; Төрөл: Integer
• `containers` — Incident-д оролцсон container-ийн (docker, k8s гэх мэт) тоо; Төрөл: Integer
• `databases` — Incident-д оролцсон өгөгдлийн сангийн тоо; Төрөл: Integer
• `storages` — Incident-д оролцсон хадгалалтын тоо; Төрөл: Integer
• `office365Instances` — Incident-д оролцсон Microsoft 365 (Office 365) instance-ийн тоо; Төрөл: Integer
• `ADInstances` — Incident-д оролцсон Active Directory instance-ийн тоо; Төрөл: Integer
• `azureADInstances` — Incident-д оролцсон Azure Active Directory instance-ийн тоо; Төрөл: Integer
• `GCPInstances` — Incident-д оролцсон Google Cloud Platform instance-ийн тоо; Төрөл: Integer
• `googleWorkspaceInstances` — Incident-д оролцсон Google Workspace instance-ийн тоо; Төрөл: Integer
• `atlassianInstances` — Incident-д оролцсон Atlassian instance-ийн тоо; Төрөл: Integer
• `atlassianBitbucketProducts` — Incident-д оролцсон Atlassian Bitbucket бүтээгдэхүүний тоо; Төрөл: Integer
• `atlassianJiraProducts` — Incident-д оролцсон Atlassian Jira бүтээгдэхүүний тоо; Төрөл: Integer
• `atlassianConfluenceProducts` — Incident-д оролцсон Atlassian Confluence бүтээгдэхүүний тоо; Төрөл: Integer
• `bitbucketProjects` — Incident-д оролцсон Bitbucket төслийн тоо; Төрөл: Integer
• `confluenceSpaces` — Incident-д оролцсон Confluence space-ийн тоо; Төрөл: Integer
• `AWSInstances` — Incident-д оролцсон AWS instance-ийн тоо; Төрөл: Integer

nodes (Endpoint incidents)

• `id` — Node-ийн ID; Төрөл: String
• `name` — Node-ийн нэр; Төрөл: String
• `type` — Node-ийн төрөл. Боломжит утгууд (Төрөл: String):

- endpoint
- file
- process_execution
- virtual_group
- registry
- domain
- container_host

• `alertIds` — Alert ID-ийн жагсаалт. Эдгээр нь доорх alerts (Endpoint incidents) хэсгийн объектуудтай харгалзана; Төрөл: String-ийн массив
• `details` — Node-ийн дэлгэрэнгүй мэдээлэл. Энэ объектын агуулга нь ижил nodes объект доторх type атрибутын утгаас хамаарна; Төрөл: Object

type нь endpoint эсвэл container_host үед details объект дараахийг агуулна:
- id (String)
- name (String)
- hardwareId (String)
- ip (String)
- isContainer (Boolean)
- isContainerHost (Boolean)

type нь file үед details объект дараахийг агуулна:
- name (String)
- path (String)
- md5 (String)
- sha256 (String)
- size (Integer)
- isExecutable (Boolean)
- fileProcess (Object): энэ объектын талбаруудыг доорх fileProcess (file node) болон process (registry эсвэл domain node) хэсгээс үзнэ үү.
- sandbox (Object): энэ объектын талбаруудыг доорх sandbox (file эсвэл process_execution node) хэсгээс үзнэ үү.
- quarantine (Object): энэ объектын талбаруудыг доорх quarantine (file эсвэл process_execution node) хэсгээс үзнэ үү.

type нь process_execution үед details объект дараахийг агуулна:
- file (Object): энэ объектын талбаруудыг доорх file (process_execution node) хэсгээс үзнэ үү.
- process (Object): энэ объектын талбаруудыг доорх process (process_execution node) хэсгээс үзнэ үү.
- sandbox (Object): энэ объектын талбаруудыг доорх sandbox (file эсвэл process_execution node) хэсгээс үзнэ үү.
- quarantine (Object): энэ объектын талбаруудыг доорх quarantine (file эсвэл process_execution node) хэсгээс үзнэ үү.
- killProcess (Object): энэ объектын талбаруудыг доорх killProcess (process_execution node) хэсгээс үзнэ үү.

type нь registry үед details объект дараахийг агуулна:
- registry (Object): энэ объектын талбаруудыг доорх registry (registry node) хэсгээс үзнэ үү.
- process (Object): энэ объектын талбаруудыг доорх fileProcess (file node) болон process (registry эсвэл domain node) хэсгээс үзнэ үү.

type нь domain үед details объект дараахийг агуулна:
- domain (Object): энэ объектын талбаруудыг доорх domain (domain node) хэсгээс үзнэ үү.
- process (Object): энэ объектын талбаруудыг доорх fileProcess (file node) болон process (registry эсвэл domain node) хэсгээс үзнэ үү.
- file (Object): энэ объектын талбаруудыг доорх file (domain node) хэсгээс үзнэ үү.

Бусад төрлүүдийн хувьд details атрибут хариунд орохгүй.

fileProcess (file node) болон process (registry эсвэл domain node)

• `pid` — Төрөл: Integer
• `name` — Төрөл: String
• `path` — Төрөл: String

sandbox (file эсвэл process_execution node)

• `status` — Төрөл: String

quarantine (file эсвэл process_execution node)

• `fileId` — Төрөл: String

file (process_execution node)

• `name` — Төрөл: String
• `path` — Төрөл: String
• `md5` — Төрөл: String
• `sha256` — Төрөл: String
• `size` — Төрөл: Integer
• `isExecutable` — Төрөл: Boolean

process (process_execution node)

• `pid` — Төрөл: Integer
• `name` — Төрөл: String
• `commandLine` — Төрөл: String
• `userId` — Төрөл: String
• `userName` — Төрөл: String
• `date` — Төрөл: String
• `parent` — Объект дараахийг агуулна (Төрөл: Object):

- pid (Integer)
- name (String)
- path (String)

killProcess (process_execution node)

• `status` — Төрөл: String
• `errorCode` — Төрөл: Integer

registry (registry node)

• `key` — Төрөл: String
• `value` — Төрөл: String
• `data` — Төрөл: String

domain (domain node)

• `requestedURL` — Төрөл: String
• `remotePort` — Төрөл: Integer
• `streamType` — Төрөл: String
• `extractedFilename` — Төрөл: String
• `sourceApplication` — Төрөл: String
• `protocol` — Төрөл: String

file (domain node)

• `size` — Төрөл: Integer
• `md5` — Төрөл: String
• `sha256` — Төрөл: String

nodes (Organization incidents)

• `id` — Node-ийн ID; Төрөл: String
• `name` — Node-ийн нэр; Төрөл: String
• `isExternal` — Node нь үйлчлүүлэгчийн сүлжээний нөөц мөн эсэхийг заана; Төрөл: Boolean
• `type` — Node-ийн төрөл. Боломжит утгууд (Төрөл: String):

- endpoint
- server
- mobile_device
- printer
- router
- iot
- user_generic
- user_aws
- user_gcp
- user_ad
- user_azure_ad
- user_atlassian
- aws
- azure
- gcp
- active_directory
- office_365
- azure_ad
- google_workspace
- atlassian
- virtual_server_aws
- container_aws
- service_aws
- database_aws
- storage_aws
- end_user_computing_aws
- virtual_server_azure
- container_azure
- service_azure
- database_azure
- storage_azure
- end_user_computing_azure
- virtual_server_gcp
- container_gcp
- service_gcp
- database_gcp
- storage_gcp
- end_user_computing_gcp
- product_atlassian_bitbucket
- product_atlassian_jira
- product_atlassian_confluence
- bitbucket_project
- confluence_space
- attacker
- email
- ip
- domain
- dns
- dga
- cloud_storage
- tor_node
- external_drive

• `details` — Энэ node-ийн дэлгэрэнгүй мэдээлэл. Энэ объектын агуулга нь ижил nodes объект доторх type талбарын утгаас хамаарна. Дэлгэрэнгүйг доорх details (Organization incident node) хэсгээс үзнэ үү; Төрөл: Object

details (Organization incident node)

type талбарын утга тус бүрээр details объектын атрибутууд:

• type = endpoint:

- `hardwareId` — Төрөл: String
- `ips` — Төрөл: Strings-ийн массив
- `macs` — Төрөл: Strings-ийн массив
- `endpointId` — Төрөл: String

• type = server:

- `hardwareId` — Төрөл: String
- `ips` — Төрөл: Strings-ийн массив
- `macs` — Төрөл: Strings-ийн массив
- `endpointId` — Төрөл: String
- `networkServices` — Төрөл: Strings-ийн массив

• type = mobile_device:

- `deviceId` — Төрөл: String
- `ip` — Төрөл: String
- `os` — Төрөл: String
- `deviceGroupName` — Төрөл: String
- `phoneNumber` — Төрөл: String

• type = router, printer, iot:

- `ip` — Төрөл: String
- `mac` — Төрөл: String

• type = attacker:

- `threatGroup` — Төрөл: String

• type = email:

- `sender` — Төрөл: String
- `recipients` — Төрөл: Strings-ийн массив
- `subject` — Төрөл: String
- `attachments` — Төрөл: Strings-ийн массив

• type = ip:

- `ip` — Төрөл: String
- `domains` — Төрөл: Strings-ийн массив
- `mac` — Төрөл: String

• type = domain:

- `domainName` — Төрөл: String
- `ips` — Төрөл: Strings-ийн массив

• type = dns, tor_node:

- `ip` — Төрөл: String

• type = dga:

- `domainName` — Төрөл: String
- `ip` — Төрөл: String

• type = cloud_storage:

- `provider` — Төрөл: String
- `ip` — Төрөл: String

• type = external_drive:

- `name` — Төрөл: String
- `mountPath` — Төрөл: String

• type = user_generic:

- `emails` — Төрөл: Strings-ийн массив
- `ips` — Төрөл: Strings-ийн массив
- `service` — Төрөл: String

• type = user_aws:

- `emails` — Төрөл: Strings-ийн массив
- `ips` — Төрөл: Strings-ийн массив
- `accessKeyId` — Төрөл: String

• type = user_gcp:

- `emails` — Төрөл: Strings-ийн массив
- `ips` — Төрөл: Strings-ийн массив
- `sensorIdentifier` — Төрөл: String

• type = user_ad:

- `emails` — Төрөл: Strings-ийн массив
- `ips` — Төрөл: Strings-ийн массив
- `domain` — Төрөл: String
- `userSid` — Төрөл: String
- `domainGuid` — Төрөл: String

• type = user_azure_ad:

- `emails` — Төрөл: Strings-ийн массив
- `ips` — Төрөл: Strings-ийн массив
- `tenantId` — Төрөл: String
- `riskDetail` — Төрөл: String
- `riskLevel` — Төрөл: String
- `riskState` — Төрөл: String

• type = user_atlassian:

- `emails` — Төрөл: Strings-ийн массив
- `ips` — Төрөл: Strings-ийн массив
- `organizationId` — Төрөл: String
- `userId` — Төрөл: String

• type = aws, azure, gcp, google_workspace, office_365, azure_ad, atlassian:

- `organizationId` — Төрөл: String

• type = virtual_server_aws, container_aws, service_aws, databasse_aws, storage_aws, end_user_computing_aws, virtual_server_azure, container_azure, storage_azure, service_azure, end_user_computing_azure, virtual_server_gcp, container_gcp, service_gcp, database_gcp, storage_gcp, end_user_computing_gcp:

- `id` — Төрөл: String
- `ips` — Төрөл: Strings-ийн массив
- `urls` — Төрөл: Strings-ийн массив

• type = product_atlassian_bitbucket, product_atlassian_jira, product_atlassian_confluence:

- `url` — Төрөл: String

• type = bitbucket_project:

- `url` — Төрөл: String
- `workspace` — Төрөл: String

• type = confluence_space:

- `id` — Төрөл: String
- `key` — Төрөл: String
- `url` — Төрөл: String

alerts (Endpoint incidents)

• `id` — Alert-ийн ID; Төрөл: String
• `name` — Alert-ийн нэр; Төрөл: String
• `date` — Alert сүлжээнд илэрсэн огноо, цаг; Төрөл: String
• `detectedBy` — Alert-ийг хэн илрүүлснийг харуулах объект (Төрөл: Object):

- name (String): аюулыг илрүүлсэн технологийн нэр.
- class (String): аюулыг илрүүлсэн технологийн төрөл.

• `resources` — Alert-д оролцсон нөөцүүдийн мэдээллийг агуулсан объектууд (Төрөл: Объектуудын массив):

- type (String): нөөцийн төрөл. Боломжит утгууд:
- network
- registry
- file
- process
- details (Object): нөөцийн дэлгэрэнгүй мэдээлэл. Энэ объектын агуулга нь ижил resources объект доторх type талбарын утгаас хамаарна. Дэлгэрэнгүйг доорх details (alerts > resources) хэсгээс үзнэ үү.

• `extra` — Alert-ийн нэмэлт мэдээлэл. Объект бүр дараахийг агуулна (Төрөл: Объектуудын массив):

- key (String)
- value (Integer, Boolean эсвэл String)

details (alerts > resources)

type талбарын утга тус бүрээр атрибутууд:

• type = file:

- `filePath` — Төрөл: String
- `fileSize` — Төрөл: Integer
- `accessType` — Төрөл: String
- `attributeChangeType` — Төрөл: String
- `rawDiskAccessType` — Төрөл: String
- `internalName` — Төрөл: String
- `originalFileName` — Төрөл: String
- `companyName` — Төрөл: String
- `fileDescription` — Төрөл: String
- `productName` — Төрөл: String
- `md5` — Төрөл: String
- `sha256` — Төрөл: String
- `certificateIssuer` — Төрөл: String
- `certificateSigner` — Төрөл: String
- `fileType` — Төрөл: String
- `filePackerName` — Төрөл: String
- `newFilePath` — Төрөл: String

• type = network:

- `uri` — Төрөл: String
- `protocol` — Төрөл: String
- `port` — Төрөл: Integer
- `streamType` — Төрөл: String
- `statusCode` — Төрөл: Integer
- `requestMethod` — Төрөл: String
- `requesterMac` — Төрөл: String
- `requesterIp` — Төрөл: String
- `requesterSystemName` — Төрөл: String
- `rawConnectionDestIp` — Төрөл: String
- `rawConnectionSourceIprawConnectionDestPort` — Төрөл: Integer
- `rawConnectionSourcePort` — Төрөл: Integer
- `rawConnectionTransferedIn` — Төрөл: Integer
- `rawConnectionTransferedOut` — Төрөл: Integer
- `rawConnectionDirection` — Төрөл: String
- `rawConnectionReferrer` — Төрөл: String
- `rawConnectionFailStatus` — Төрөл: Integer
- `rawConnectionGuestStatus` — Төрөл: Integer
- `rawConnectionUser` — Төрөл: String
- `rawConnectionLoginStatus` — Төрөл: Integer
- `rawConnectionFilePath` — Төрөл: String
- `domain` — Төрөл: String
- `smbFileName` — Төрөл: String
- `smbTreeName` — Төрөл: String
- `interface` — Төрөл: String
- `expectedProtocol` — Төрөл: String
- `rawConnectionProtocol` — Төрөл: String
- `rawConnectionTransferredFile` — Төрөл: String
- `rawConnectionTransferredFileType` — Төрөл: String
- `rawConnectionTransferredFileSize` — Төрөл: Integer
- `rawConnectionExpectedProtocol` — Төрөл: String
- `rawConnectionAccessType` — Төрөл: String
- `rawConnectionEncryptionType` — Төрөл: String
- `rawConnectionInterface` — Төрөл: String
- `rawConnectionServiceName` — Төрөл: String
- `rawConnectionServicePath` — Төрөл: String
- `httpConnectionMethod` — Төрөл: String
- `httpConnectionHost` — Төрөл: String
- `httpConnectionUri` — Төрөл: String
- `httpConnectionResponseCode` — Төрөл: Integer
- `httpConnectionReferrer` — Төрөл: String
- `winrmConnectionUserAgent` — Төрөл: String
- `winrmConnectionAuthorization` — Төрөл: String
- `smbUser` — Төрөл: String
- `smbHostName` — Төрөл: String
- `smbDomainName` — Төрөл: String
- `smbAccessType` — Төрөл: String
- `smbAuthMethod` — Төрөл: String
- `ldapDistinguishedName` — Төрөл: String
- `ldapGroupDistinguishedName` — Төрөл: String
- `ldapUserDistinguishedName` — Төрөл: String
- `mailAttachments` — Төрөл: String

• type = process:

- `pid` — Төрөл: Integer
- `processPath` — Төрөл: String
- `processPathSize` — Төрөл: Integer
- `commandLine` — Төрөл: String
- `parentPid` — Төрөл: Integer
- `parentProcessPath` — Төрөл: String
- `parentProcessCmdLine` — Төрөл: String
- `parentProcessUser` — Төрөл: String
- `user` — Төрөл: String
- `loadedModule` — Төрөл: String
- `loadedModulePid` — Төрөл: Integer
- `processInjectionWriter` — Төрөл: String
- `processInjectionWriterPid` — Төрөл: Integer
- `processInjectionTarget` — Төрөл: String
- `processInjectionTargetPid` — Төрөл: Integer
- `processInjectionSizeofWrite` — Төрөл: Integer
- `processAccessPrivileges` — Төрөл: String
- `parentProcessAccessPrivileges` — Төрөл: String
- `processIntegrityLevel` — Төрөл: String
- `parentProcessIntegrityLevel` — Төрөл: String
- `processPackerName` — Төрөл: String

• type = registry:

- `registryKey` — Төрөл: String
- `registryValue` — Төрөл: String
- `registryData` — Төрөл: String
- `registryType` — Төрөл: String
- `registryAccessType` — Төрөл: String

alerts (Organization incidents)

• `id` — Alert-ийн ID; Төрөл: String
• `name` — Alert-ийн нэр; Төрөл: String
• `date` — Alert сүлжээнд илэрсэн огноо, цаг (ISO-8601 хэлбэрээр); Төрөл: String
• `sensors` — Alert-ийг илрүүлсэн sensor-ууд. Боломжит утгууд (Төрөл: Strings-ийн массив):

- EDR
- NTSA
- XDR
- office_365
- active_directory
- azure_active_directory
- azure
- aws
- gcp
- google_workspace
- email_security
- atlassian

• `tactic` — Энэ alert-д илэрсэн MITRE tactic. Боломжит утгууд (Төрөл: String):

- initial_access
- execution
- persistence
- privilege_escalation
- defence_evasion
- credential_access
- discovery
- lateral_movement
- collection
- command_and_control
- exfiltration
- impact

• `transitions` — Энэ массив incident граф байгуулахад ашиглах өгөгдлийг агуулна. Node-ууд хэрхэн холбогдохыг заана. Объект бүр дараахийг агуулна (Төрөл: Объектуудын массив):

- from (String): node ID.
- to (String): node ID.
- resources (Объектуудын массив): энэ transition-тэй холбоотой нөөцүүд. Эдгээр объект бүрийн талбаруудыг доорх resources (Organization incident transition) хэсгээс үзнэ үү.

resources (Organization incident transition)

• `name` — Нөөцийн нэр; Төрөл: String
• `type` — Нөөцийн төрөл. Боломжит утгууд (Төрөл: String):

- generic
- application
- key_vault
- role
- policy
- sharing_link
- file
- email
- flow
- url
- ssh_key
- launch_template
- service_principal
- user_group
- automatic_account
- automatic_account_hook
- api
- certificate_authority
- bucket
- bitbucket_repository
- jira_project
- confluence_page

• `details` — Нөөцийн дэлгэрэнгүй. Схем нь type талбараас хамаарна. Энэ объектын талбаруудыг доорх details (Organization incident resource) хэсгээс үзнэ үү; Төрөл: Object

details (Organization incident resource)

type талбарын утга тус бүрээр атрибутууд:

• type = generic:

- `data` — Төрөл: String

• type = application:

- `appAddress` — Төрөл: String
- `ip` — Төрөл: String

• type = url, sharing_link:

- `url` — Төрөл: String

• type = file:

- `url` — Төрөл: String
- `path` — Төрөл: String
- `size` — Төрөл: Integer
- `md5` — Төрөл: String
- `sha256` — Төрөл: String
- `sensorIdentifier` — Төрөл: String

• type = email:

- `id` — Төрөл: String
- `subject` — Төрөл: String
- `userId` — Төрөл: String
- `userTenantId` — Төрөл: String
- `sensorIdentifier` — Төрөл: String
- `receivedOn` — Төрөл: String (ISO-8601)
- `similarityHash` — Төрөл: String
- `sender` — Төрөл: Object; дараах атрибутуудыг агуулна: name (String), address (String)
- `toRecipients` — Төрөл: Объектуудын массив; объект бүр дараах атрибутуудыг агуулна: name (String), address (String)
- `ccRecipients` — Төрөл: Объектуудын массив; объект бүр дараах атрибутуудыг агуулна: name (String), address (String)
- `bccRecipients` — Төрөл: Объектуудын массив; объект бүр дараах атрибутуудыг агуулна: name (String), address (String)
- `urls` — Төрөл: Strings-ийн массив
- `attachments` — Төрөл: Объектуудын массив; объект бүр дараах атрибутуудыг агуулна: name (String), fileMd5 (String), fileSha256 (String), size (Integer)

• type = role, service_principal, user_group, automation_account, automation_account_hook, api:

- `id` — Төрөл: String

• type = policy:

- `id` — Төрөл: String
- `name` — Төрөл: String
- `resourcePolicyType` — Төрөл: String

• type = flow, bitbucket_repository, jira_project, confluence_page:

- `id` — Төрөл: String
- `url` — Төрөл: String

• type = ssh_key:

- `sshPublicKey` — Төрөл: String

• type = launch_template:

- `id` — Төрөл: String
- `name` — Төрөл: String

• type = certificate_authority:

- `id` — Төрөл: String
- `ceritficate` — Төрөл: String

transitions (Endpoint incidents)

• `from` — Эх node-ийн ID; Төрөл: String
• `to` — Очих node-ийн ID; Төрөл: String
• `date` — Transition-ий огноо, цаг (ISO-8601 хэлбэрээр); Төрөл: String

mitreTags (Endpoint and Organization incidents)

• `category` — MITRE technique харьяалагдах ангилал; Төрөл: String
• `techniques` — Энэ ангилалд илэрсэн MITRE technique-ууд. Объект бүр дараахийг агуулна (Төрөл: Объектуудын массив):

- id (String): MITRE technique-ийн ID (жишээ нь T0800).
- name (String): MITRE technique-ийн нэр (жишээ нь Program Download).
- subtechniques (Объектуудын массив): энэ technique-д илэрсэн MITRE sub-technique-ууд. Эдгээр объект бүрийн талбаруудыг доорх subtechniques (mitreTags > techniques) хэсгээс үзнэ үү.

subtechniques (mitreTags > techniques)

• `id` — MITRE sub-technique-ийн ID (жишээ нь S0603); Төрөл: String
• `name` — MITRE sub-technique-ийн нэр (жишээ нь Stuxnet); Төрөл: String

cves (Organization incidents)

• `id` — CVE-ийн ID (жишээ нь CVE-2024-12345); Төрөл: String

suspectedActors (Organization incidents)

• `name` — Сэжигтэй этгээдийн нэр; Төрөл: String
• `confidenceScore` — Халдлагыг энэ этгээдтэй холбох итгэлцлийн оноо; Төрөл: Integer
• `reasons` — Энэ халдлагыг тухайн этгээдтэй холбосон шалтгаанууд. Объект бүр дараахийг агуулна (Төрөл: Объектуудын массив):

- type (String): шалтгааны төрөл. Боломжит утгууд:
- sample
- url
- registry
- mutex
- wallet
- value (String): шалтгааны утга. Мөрийн хэлбэр нь type талбараас хамаарна.

incidentEvolution (Endpoint and Organization incidents)

• `incidentId` — Дотоод incident ID. GravityZone Control Center дахь incident-ийн дэлгэрэнгүй хуудасны URL-д орсон байдаг; Төрөл: String
• `incidentNumber` — GravityZone Control Center-ийн Incidents хуудсанд харагддаг incident ID, # угтваргүй; Төрөл: Integer
• `status` — Incident-ийн төлөв. Боломжит утгууд (Төрөл: String):

- open — incident саяхан үүссэн, одоо хүртэл шалгаагүй байна.
- in_progress — incident-ийг одоо шалгаж байна.
- false_positive — incident-ийг шалгаад худал дохио болохыг баталгаажуулсан.
- closed — incident зөв болохыг баталгаажуулж, шалгалтын дараа хаасан.
- closed_mdr_reviewed — incident-ийг MDR SOC хянаж хаасан.

• `incidentLink` — Incident-ийн дэлгэрэнгүйг хөтөч дээр үзэж болох вэб хуудасны URL; Төрөл: String

Жишээнүүд

Хүсэлт:

{
  "id": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
  "jsonrpc": "2.0",
  "method": "getIncident",
  "params": {
    "id": "6a1b2c3d4e5f67890abcdef0"
  }
}

Хариу:

{
  "id": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
  "jsonrpc": "2.0",
  "result": {
    "incidentId": "6a1b2c3d4e5f67890abcdef0",
    "incidentNumber": 42,
    "status": "open",
    "mainAction": "reported",
    "created": "2026-04-16T07:41:37+00:00",
    "lastUpdated": "2026-04-16T07:41:42+00:00",
    "lastProcessed": "2026-04-16T07:41:54+00:00",
    "lastIncidentChange": "2026-03-16T10:00:00+00:00",
    "severityScore": 29,
    "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcdef0",
    "assignee": {
      "userId": "5f4e3d2c1b0a987654321fed",
      "userName": "john.smith@example.com",
      "companyId": "5e4d3c2b1a0987654321fedc",
      "companyName": "Acme Corporation"
    },
    "priority": "unknown",
    "attackTypes": [
      "Defined by user"
    ],
    "company": {
      "id": "5e4d3c2b1a0987654321fedc",
      "name": "Acme Corporation"
    },
    "incidentType": "incident",
    "details": {
      "detectionName": "Suspicious PowerShell Execution",
      "counters": {
        "endpoints": 1,
        "files": 1,
        "processes": 3,
        "domains": 0,
        "registries": 0,
        "events": 7,
        "storages": 0
      },
      "incidentEvolution": [],
      "computerId": "5d4c3b2a190876543210fedc",
      "computerName": "DESKTOP-WORK01",
      "computerFqdn": "desktop-work01.acme.local",
      "computerIp": "192.168.1.100",
      "computerMacAddresses": [
        "00AABB112233"
      ],
      "partOf": [],
      "alerts": [
        {
          "id": "6b2c3d4e5f6a78901bcdef01",
          "name": "File Access Anomaly",
          "date": "2026-04-16T07:41:27+00:00",
          "detectedBy": {
            "name": "File Access Anomaly",
            "class": "user_detection"
          },
          "resources": [
            {
              "type": "process",
              "details": {
                "pid": 2080,
                "processPath": "c:\\windows\\explorer.exe",
                "processPathSize": 6089584,
                "commandLine": "",
                "parentPid": 5380,
                "parentProcessPath": "c:\\windows\\system32\\userinit.exe",
                "parentProcessCmdline": "c:\\windows\\system32\\userinit.exe",
                "parentProcessUser": "DESKTOP-WORK01\\jsmith",
                "user": "DESKTOP-WORK01\\jsmith",
                "loadedModule": null,
                "loadedModulePid": null,
                "processInjectionWriter": null,
                "processInjectionWriterPid": null,
                "processInjectionTarget": null,
                "processInjectionTargetPid": null,
                "processInjectionSizeofWrite": null,
                "processAccessPrivileges": "restricted",
                "parentProcessAccessPrivileges": "restricted",
                "processIntegrityLevel": "medium",
                "parentProcessIntegrityLevel": "medium",
                "processPackerName": null
              }
            },
            {
              "type": "file",
              "details": {
                "filePath": "c:\\users\\jsmith\\appdata\\roaming\\microsoft\\windows\\recent\\quarterly-report.docx.lnk",
                "fileSize": 625,
                "accessType": "DELETE",
                "attributeChangeType": null,
                "rawDiskAccessType": null,
                "internalName": "quarterly-report.docx.lnk",
                "originalFileName": "quarterly-report.docx.lnk",
                "companyName": null,
                "fileDescription": "Shortcut",
                "productName": null,
                "md5": "a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6",
                "sha256": "a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2",
                "certificateIssuer": null,
                "certificateSigner": null,
                "fileType": "lnk",
                "filePackerName": null,
                "newFilePath": null
              }
            }
          ],
          "extra": [
            {
              "key": "extraInfo1",
              "value": "Operation Channel: normal\nProcess PE VersionInfo and Certification Information: \n\nOriginal File Name: EXPLORER.EXE\nInternal Name: explorer\nFile Description: Windows Explorer\nCompany Name: Microsoft Corporation\nFile Version: 10.0.19041.6456 (WinBuild.160101.0800)\nProduct Name: Microsoft Windows Operating System\nProduct Version: 10.0.19041.6456\nLegal Copyright: Microsoft Corporation. All rights reserved.\nCertificate Serial: 3300000aabbccddee0000000000001\nCertificate Signer: Microsoft Corporation\nCertificate Issuer: Microsoft Corporation\n"
            }
          ]
        }
      ],
      "nodes": [
        {
          "id": "6c3d4e5f6a7b89012cdef002",
          "name": "cmd.exe",
          "type": "process_execution",
          "details": {
            "file": {
              "name": "cmd.exe",
              "path": "c:\\windows\\system32\\cmd.exe",
              "md5": "b2c3d4e5f60718293a4b5c6d7e8f90a1",
              "sha256": "b2c3d4e5f60718293a4b5c6d7e8f90a1b2c3d4e5f60718293a4b5c6d7e8f90a1",
              "size": 289792,
              "isExecutable": true
            },
            "process": {
              "pid": 4856,
              "parent": {
                "pid": 2080,
                "name": "explorer.exe",
                "path": "c:\\windows\\explorer.exe"
              },
              "commandLine": "\"C:\\Windows\\System32\\cmd.exe\" /c dir C:\\Users\\jsmith\\Documents",
              "userId": "S-1-5-21-1234567890-123456789-1234567890-1001",
              "userName": "DESKTOP-WORK01\\jsmith",
              "date": "2026-04-16T07:41:26+00:00",
              "name": "cmd.exe"
            },
            "sandbox": null,
            "quarantine": null,
            "killProcess": null
          },
          "alertIds": [
            "6b2c3d4e5f6a78901bcdef02",
            "6b2c3d4e5f6a78901bcdef03"
          ]
        },
        {
          "id": "6c3d4e5f6a7b89012cdef004",
          "name": "DESKTOP-WORK01",
          "type": "endpoint",
          "details": {
            "id": "5d4c3b2a190876543210fedc",
            "name": "DESKTOP-WORK01",
            "hardwareId": "12345678-abcd-ef01-2345-6789abcdef01-00AABB112233",
            "ip": "192.168.1.100",
            "isContainer": false,
            "isContainerHost": false
          },
          "alertIds": []
        },
        {
          "id": "6c3d4e5f6a7b89012cdef005",
          "name": "quarterly-report.docx.lnk",
          "type": "file",
          "details": {
            "name": "quarterly-report.docx.lnk",
            "path": "c:\\users\\jsmith\\appdata\\roaming\\microsoft\\windows\\recent\\quarterly-report.docx.lnk",
            "md5": "d4e5f60718293a4b5c6d7e8f90a1b2c3",
            "sha256": "d4e5f60718293a4b5c6d7e8f90a1b2c3d4e5f60718293a4b5c6d7e8f90a1b2c3",
            "size": 625,
            "isExecutable": false,
            "fileProcess": {
              "pid": 2080,
              "name": "explorer.exe",
              "path": "c:\\windows\\explorer.exe"
            },
            "sandbox": null,
            "quarantine": null
          },
          "alertIds": [
            "6b2c3d4e5f6a78901bcdef01"
          ]
        }
      ],
      "triggerNodeId": "6c3d4e5f6a7b89012cdef002",
      "transitions": [
        {
          "from": "6c3d4e5f6a7b89012cdef001",
          "to": "6c3d4e5f6a7b89012cdef002",
          "date": "2026-03-26T13:31:23+00:00"
        },
        {
          "from": "6c3d4e5f6a7b89012cdef001",
          "to": "6c3d4e5f6a7b89012cdef005",
          "date": "2026-03-26T13:31:23+00:00"
        }
      ],
      "mitreTags": [
        {
          "category": "Execution",
          "techniques": [
            {
              "name": "Command and Scripting Interpreter",
              "id": "T1059",
              "subtechniques": []
            },
            {
              "name": "User Execution",
              "id": "T1204",
              "subtechniques": []
            },
            {
              "name": "Native API",
              "id": "T1106",
              "subtechniques": []
            }
          ]
        },
        {
          "category": "Discovery",
          "techniques": [
            {
              "name": "File and Directory Discovery",
              "id": "T1083",
              "subtechniques": []
            }
          ]
        }
      ]
    },
    "notes": []
  }
}

{
  "id": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
  "jsonrpc": "2.0",
  "result": {
    "incidentId": "6a1b2c3d4e5f67890abcde01",
    "incidentNumber": 101,
    "status": "closed",
    "mainAction": "reported",
    "created": "2026-03-15T15:03:03+00:00",
    "lastUpdated": "2026-03-15T15:03:03+00:00",
    "lastIncidentChange": "2026-03-16T10:00:00+00:00",
    "lastProcessed": "2026-04-10T11:17:51+00:00",
    "severityScore": 48,
    "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcde01",
    "assignee": {
      "userId": "5f4e3d2c1b0a987654321fed",
      "userName": "john.smith@example.com",
      "companyId": "5e4d3c2b1a0987654321fedc",
      "companyName": "Acme Corporation"
    },
    "priority": "unknown",
    "attackTypes": [
      "Exfiltration",
      "SpearPhishing",
      "Exploit"
    ],
    "company": {
      "id": "5e4d3c2b1a0987654321fedc",
      "name": "Acme Corporation"
    },
    "incidentType": "extendedIncident",
    "details": {
      "counters": {
        "endpoints": 1,
        "servers": 0,
        "mobileDevices": 0,
        "printers": 0,
        "routers": 0,
        "IoTs": 0,
        "identities": 3,
        "emails": 0,
        "IPs": 2,
        "domains": 0,
        "DNSs": 0,
        "DGAs": 0,
        "cloudStorages": 0,
        "torNodes": 0,
        "externalDrives": 0,
        "externalSources": 3,
        "exfiltratedFiles": 4,
        "internalIPs": 0,
        "internalEmails": 3,
        "users": 3,
        "virtualDesktops": 0,
        "containers": 0,
        "databases": 0,
        "storages": 0,
        "office365Instances": 0,
        "ADInstances": 0,
        "azureADInstances": 1,
        "AWSInstances": 0,
        "GCPInstances": 0,
        "googleWorkspaceInstances": 0,
        "atlassianInstances": 0,
        "atlassianBitbucketProducts": 0,
        "atlassianJiraProducts": 0,
        "atlassianConfluenceProducts": 0,
        "bitbucketProjects": 0,
        "confluenceSpaces": 0
      },
      "incidentEvolution": [
        {
          "incidentId": "6a1b2c3d4e5f67890abcde05",
          "incidentNumber": 105,
          "status": "false_positive",
          "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcde05"
        },
        {
          "incidentId": "6a1b2c3d4e5f67890abcde13",
          "incidentNumber": 113,
          "status": "false_positive",
          "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcde13"
        }
      ],
      "contains": [],
      "partOf": [],
      "cves": [],
      "suspectedActors": [],
      "killChainPhases": [
        "initial_access",
        "execution",
        "credential_access",
        "lateral_movement",
        "collection",
        "command_and_control",
        "exfiltration"
      ],
      "lastKillChainPhase": "exfiltration",
      "alerts": [
        {
          "id": "7a1b2c3d4e5f67890abcde01",
          "name": "SuspiciousEmailReceived",
          "date": "2026-03-15T14:57:03+00:00",
          "sensors": [
            "office_365",
            "EDR"
          ],
          "tactic": "initial_access",
          "transitions": [
            {
              "from": "8a1b2c3d4e5f67890abcde01",
              "to": "8a1b2c3d4e5f67890abcde02",
              "resources": [
                {
                  "name": "Important Update",
                  "type": "email",
                  "details": {
                    "id": "AAMkADNiNWU0YTljLTRiYmEtNGFlMi1iNzRhLWI5NDk4Y2QwOWM1NQBGAAAAAAD3LHfFVxR-TIchBqXPMdrxBwAlFp_8PvdsSKRtFCjiDPaqAAAAAAEMAAAlFp_8PvdsSKRtFCjiDPaqAAAQexample=",
                    "subject": "Important Update",
                    "userId": "alice.johnson@acmecorp.onmicrosoft.com",
                    "userTenantId": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
                    "sensorIdentifier": "sensor-o365-001",
                    "similarityHash": "a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6",
                    "receivedOn": "2026-03-15T14:57:01+00:00",
                    "sender": {
                      "name": "threat-actor@malicious-domain.com",
                      "address": "threat-actor@malicious-domain.com"
                    },
                    "toRecipients": [
                      {
                        "name": "Alice Johnson",
                        "address": "alice.johnson@acmecorp.onmicrosoft.com"
                      }
                    ],
                    "ccRecipients": [],
                    "bccRecipients": [],
                    "urls": [],
                    "attachments": [
                      {
                        "name": "notice.zip",
                        "fileMd5": "a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6",
                        "fileSha256": "a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2",
                        "size": 33879
                      }
                    ]
                  }
                }
              ]
            }
          ]
        },
        {
          "id": "7a1b2c3d4e5f67890abcde26",
          "name": "SuspiciousLinkCreated",
          "date": "2026-03-15T14:59:13+00:00",
          "sensors": [
            "office_365"
          ],
          "tactic": "collection",
          "transitions": [
            {
              "from": "8a1b2c3d4e5f67890abcde02",
              "to": "8a1b2c3d4e5f67890abcde01",
              "resources": [
                {
                  "name": "https://acmecorp-my.sharepoint.com/personal/alice_acmecorp_onmicrosoft_com/Documents/Confidential",
                  "type": "file",
                  "details": {
                    "url": "https://acmecorp-my.sharepoint.com/personal/alice_acmecorp_onmicrosoft_com/Documents/Confidential",
                    "path": null,
                    "size": null,
                    "md5": null,
                    "sha256": null,
                    "sensorIdentifier": "sensor-o365-001"
                  }
                },
                {
                  "name": "https://acmecorp-my.sharepoint.com/personal/alice_acmecorp_onmicrosoft_com/Documents/Confidential",
                  "type": "sharing_link",
                  "details": {
                    "url": "https://acmecorp-my.sharepoint.com/personal/alice_acmecorp_onmicrosoft_com/Documents/Confidential"
                  }
                }
              ]
            }
          ]
        },
        {
          "id": "7a1b2c3d4e5f67890abcde27",
          "name": "SuspiciousAppCreated",
          "date": "2026-03-15T15:01:17+00:00",
          "sensors": [
            "active_directory"
          ],
          "tactic": "credential_access",
          "transitions": [
            {
              "from": "8a1b2c3d4e5f67890abcde02",
              "to": "8a1b2c3d4e5f67890abcde05",
              "resources": [
                {
                  "name": "Malicious OAuth App",
                  "type": "application",
                  "details": {
                    "appAddress": "https://198.51.100.42/callback",
                    "ip": "198.51.100.42"
                  }
                }
              ]
            }
          ]
        }
      ],
      "nodes": [
        {
          "id": "8a1b2c3d4e5f67890abcde01",
          "name": "threat-actor@malicious-domain.com",
          "isExternal": false,
          "type": "user_generic",
          "details": {
            "emails": [
              "threat-actor@malicious-domain.com"
            ],
            "ips": [],
            "service": "malicious-domain.com"
          }
        },
        {
          "id": "8a1b2c3d4e5f67890abcde02",
          "name": "alice.johnson@acmecorp.onmicrosoft.com",
          "isExternal": false,
          "type": "user_azure_ad",
          "details": {
            "emails": [
              "alice.johnson@acmecorp.onmicrosoft.com"
            ],
            "ips": [],
            "tenantId": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
            "riskDetail": "userPerformedSecuredPasswordChange",
            "riskLevel": "high",
            "riskState": "atRisk"
          }
        },
        {
          "id": "8a1b2c3d4e5f67890abcde03",
          "name": "desktop-corp01.acmecorp.local",
          "isExternal": false,
          "type": "endpoint",
          "details": {
            "hardwareId": "12345678-abcd-ef01-2345-6789abcdef01-00AABB112233",
            "ips": [
              "192.168.1.100"
            ],
            "macs": [
              "00AABB112233"
            ],
            "endpointId": "5d4c3b2a190876543210fedc"
          }
        },
        {
          "id": "8a1b2c3d4e5f67890abcde04",
          "name": "198.51.100.42",
          "isExternal": false,
          "type": "ip",
          "details": {
            "ip": "198.51.100.42",
            "domains": [
              "c2-server.malicious-domain.com"
            ],
            "mac": null
          }
        },
        {
          "id": "8a1b2c3d4e5f67890abcde05",
          "name": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
          "isExternal": false,
          "type": "azure_ad",
          "details": {
            "organizationId": "a1b2c3d4-e5f6-7890-abcd-ef1234567890"
          }
        }
      ],
      "mitreTags": [
        {
          "category": "Initial Access",
          "techniques": [
            {
              "name": "Phishing",
              "id": "T1566",
              "subtechniques": [
                {
                  "name": "Spearphishing Attachment",
                  "id": "T1566.001"
                }
              ]
            }
          ]
        }
      ],
      "narrative": [
        [
          "A potential network breach originating from user: threat-actor@malicious-domain.com, has been detected as part of 2 alerts, affecting the following: managed asset: desktop-corp01.acmecorp.local, and user: alice.johnson@acmecorp.onmicrosoft.com. "
        ],
        [
          "Lateral Movement originating from user: alice.johnson@acmecorp.onmicrosoft.com, has been detected in your network as part of alert: SuspiciousAppInvite, affecting the following: user: ceo@acmecorp.onmicrosoft.com. ",
          "Credentials may have been compromised on Azure AD instance: a1b2c3d4-e5f6-7890-abcd-ef1234567890, based on alert SuspiciousAppCreated, originating from user: alice.johnson@acmecorp.onmicrosoft.com. ",
          "Multiple communication attempts to external ip: 198.51.100.42 have been detected as part of 2 alerts, originating from managed asset: desktop-corp01.acmecorp.local. ",
          "Sensitive data may have been exfiltrated to external ip: 203.0.113.50, based on 4 alerts, originating from 2 users. "
        ]
      ],
      "reasoning": [
        [
          "The incident was triggered by 2 alerts, involving managed asset: desktop-corp01.acmecorp.local, and user: alice.johnson@acmecorp.onmicrosoft.com, indicating the suspicious email(s) sent by user: threat-actor@malicious-domain.com as the root cause of the incident. "
        ]
      ]
    },
    "notes": []
  }
}