getIncidentsByIds аргыг ашиглан инцидентүүдийг ID-аар хэрхэн авах вэ?

Bitdefender-ийн албан ёсны баримтаас орчуулавАнгли эх (EN) · Орчуулсан: 2026.11.10

Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.

Энэ аргаар ID-гаар нь заан хэд хэдэн инцидентийн мэдээллийг авч болно.

Чухал:
- API URL: CONTROL_CENTER_APIs_ACCESS_URL/v1.2/jsonrpc/incidents.
- Энэ аргыг ашиглахын тулд инцидентэд хандах эрхтэй лиценз эсвэл захиалгатай байх ёстой.

Параметрүүд

`ids` — Мэдээллийг нь авах инцидентүүдийн ID; Хүсэлтэд: Заавал; Төрөл: Array of Strings; Утга: Жагсаалт хоосон байж болохгүй бөгөөд 10 хүртэл ID агуулж болно. Тэмдэгт мөр бүр нь таны хандах эрхтэй инцидентийн хүчинтэй ID байх ёстой. Тэмдэгт мөр бүр яг 24 арван зургаатын (hexadecimal) тэмдэгтээс тогтоно. "ids": ["67dd30dd4a842ebbbb0b6af4", "67dd30dd4a842ebbbb0b6af5","67dd30dd4a842ebbbb0b6af6"]

Ерөнхий параметрүүд

Эдгээр нь нийтийн API-ийн бүх аргад нийтлэг параметрүүд юм:

`id` — Энэ параметр хүсэлтэд танигч нэмж, түүнийг харгалзах хариутай холбоно. Хүлээн авагч хариундаа ижил утгыг буцаах тул дуудлагыг хялбархан мөшгөж болно; Хүсэлтэд: Заавал; Төрөл: String; Утга: Нэмэлт шаардлага байхгүй. "id": "ad12cb61-52b3-4209-a87a-93a8530d91cb"
`method` — Хүсэлт илгээхэд ашиглаж буй аргын нэр; Хүсэлтэд: Заавал; Төрөл: String; Утга: Хүчинтэй аргын нэр байх ёстой. "method": "methodName"
`jsonrpc` — Хүсэлт болон хариуд ашиглагдах JSON-RPC-ийн хувилбар; Хүсэлтэд: Заавал; Төрөл: String; Утга: Боломжит цорын ганц утга нь 2.0. "jsonrpc": "2.0"
`params` — Хүсэлтийн тохиргоог агуулсан объект; Хүсэлтэд: Заавал; Төрөл: Object; Утга: Нэмэлт шаардлага байхгүй. "params": {...}

Буцаах утга

`result` — Array of Objects; Хүсэлтэд заасан инцидентүүдийн дэлгэрэнгүй мэдээлэл. Массивын объект бүрийн талаарх мэдээллийг result хэсгээс үзнэ үү.

Объектууд

`result`

`incidentId` — String; Инцидентийн дотоод ID. Энэ нь GravityZone Control Center-ийн инцидентийн дэлгэрэнгүй хуудасны URL-д орсон байдаг.
`incidentNumber` — Integer; GravityZone Control Center-ийн Incidents (Инцидентүүд) хуудсанд харагддаг инцидентийн ID, # угтваргүй.
`incidentType` — String; Инцидентийн төрөл. Боломжит утгууд:

- incident: GravityZone Control Center-ийн Endpoint инцидент.
- extendedIncident: GravityZone Control Center-ийн Organization инцидент.
- Энэ талбарын утгаар details объектод ямар мэдээлэл орох нь тодорхойлогдоно.

`company` — Object; Инцидент үүссэн компанийн дэлгэрэнгүй мэдээлэл. Объект дараах талбаруудыг агуулна:

- id (String): Компанийн ID.
- name (String): Компанийн нэр.

`status` — String; Инцидентийн төлөв. Боломжит утгууд:

- open: Инцидент саяхан үүссэн бөгөөд хараахан шалгагдаагүй байна.
- in_progress: Инцидентийг одоогоор шалгаж байна.
- false_positive: Инцидентийг шалгаж, худал дохио (false alarm) гэдгийг баталсан.
- closed: Инцидентийг үнэн гэж баталж, шалгалтын дараа хаасан.
- closed_mdr_reviewed: Инцидентийг MDR SOC хянаж хаасан.

`mainAction` — String; Инцидентийн төрөл. Илрүүлэх үед хамгаалалтын технологиуд автоматаар хийсэн үндсэн үйлдлээр тодорхойлогдоно. Боломжит утгууд:

- reported: Ямар ч үйлдэл хийгээгүй, нэмэлт шалгалт шаардсан Endpoint эсвэл Organization инцидент.
- partially_blocked: Бодлогод заасан автомат үйлдлүүд зөвхөн зарим объектод хийгдсэн Organization инцидент.
- blocked: GravityZone-ийн урьдчилан сэргийлэх модулиуд илрүүлж хаасан Endpoint инцидент.

`created` — String; Инцидентийг сүлжээнд илрүүлсэн огноо, цаг (ISO-8601 форматаар).
`lastUpdated` — String; BEST-ээс хүлээн авсан инцидентийн сүүлийн шинэчлэлтийн цаг (ISO-8601 форматаар). Инцидент хөгжих үед, жишээ нь шинэ үйл ажиллагаа, үйл явдал эсвэл холбогдох объект нэмэгдэхэд энэ утга өөрчлөгдөнө.
`lastProcessed` — String; GravityZone Control Center-ийн хүлээн авч боловсруулсан инцидентийн сүүлийн шинэчлэлтийн цаг (ISO-8601 форматаар). Инцидент хөгжих үед, жишээ нь шинэ үйл ажиллагаа, үйл явдал эсвэл холбогдох объект нэмэгдэхэд энэ утга өөрчлөгдөнө.
`lastIncidentChange` — String; Инцидентэд хийгдсэн хамгийн сүүлийн өөрчлөлтийн огноо, цаг. Эх сурвалж хамаарахгүй бөгөөд BEST-ийн шинэчлэлт болон GravityZone хэрэглэгчийн үйлдэл (төлөв, ач холбогдол, хариуцагч, тэмдэглэл шинэчлэх) орно. Тэмдэглэл: BEST-ээс үүссэн өөрчлөлтийн цагийг GravityZone шинэчлэлтийг хүлээн авсан цагаар тэмдэглэнэ.
`severityScore` — Integer; Илрүүлэх технологиудын мэдээлснээр инцидентэд оноосон ноцтой байдлын оноо. Боломжит утгууд: 1 - 100.
`incidentLink` — String; Инцидентийн дэлгэрэнгүйг хөтөч дээр үзэх вэб хуудасны URL.
`assignee` — Object; Энэ инцидентийг хариуцсан GravityZone хэрэглэгч. Объект дараах талбаруудыг агуулна:

- userId (String): Хэрэглэгчийн ID.
- userName (String): Хэрэглэгчийн нэр.
- companyId (String): Хэрэглэгч харьяалагдах компанийн ID.
- companyName (String): Хэрэглэгч харьяалагдах компанийн нэр.

`priority` — String; Инцидентэд оноосон ач холбогдол (priority). Боломжит утгууд:

- unknown
- low
- medium
- high
- critical

`attackTypes` — Array of Strings; Инцидентэд илэрсэн халдлагын төрлүүдийн жагсаалт. Тэмдэгт мөр бүр жишээлбэл дараах байж болно:

- Malware
- Ransomware
- Password Stealer

`details` — Object; Инцидентийн талаарх нэмэлт мэдээлэл. Мэдээлэл нь incidentType атрибутын утгаас хамаарна. incidentType нь incident үед details объект дараахыг агуулна:

- detectionName (String): Илрүүлэлтийн нэр.
- partOf (Array of Objects): Энэ инцидентийг өгөгдөл холбоход ашигласан Organization инцидентүүд. Массивын объект бүрийн талаарх мэдээллийг partOf (Endpoint ба Organization инцидент) ба contains (Organization инцидент) хэсгээс үзнэ үү.
- computerId (String): Инцидентийг үүсгэсэн endpoint-ийн ID.
- computerName (String): Инцидентийг үүсгэсэн endpoint-ийн нэр.
- computerFqdn (String): Инцидентийг үүсгэсэн endpoint-ийн FQDN.
- computerIp (String): Инцидентийг үүсгэсэн endpoint-ийн IP. Endpoint олон IP-тэй бол халдлагад ашигласан IP биш, GravityZone-той холбогдоход ашигладаг IP энд бичигдэнэ.
- computerMacAddresses (Array of Strings): Endpoint-уудын MAC хаягийн жагсаалт.
- counters (Object): Инцидентэд тодорхой төрлийн хэдэн нөөц байгааг харуулах тоолуурууд. Энэ объект дэх талбаруудын талаарх мэдээллийг counters (Endpoint инцидент) хэсгээс үзнэ үү.
- triggerNodeId (String): Инцидентийг өдөөсөн зангилааны ID. Энэ нь инцидентийн графын үндсэн зангилаа юм.
- nodes (Array of Objects): Инцидентийн графын зангилаануудын жагсаалт. Массивын объект бүрийн талаарх мэдээллийг nodes (Endpoint инцидент) хэсгээс үзнэ үү.
- alerts (Array of Objects): Инцидентийн үйл явдлуудын сэрэмжлүүлгүүдийн жагсаалт. Массивын объект бүрийн талаарх мэдээллийг alerts (Endpoint инцидент) хэсгээс үзнэ үү.
- transitions (Array of Objects): Эдгээр элементийг инцидентийн граф байгуулахад ашиглана. Тэдгээр нь зангилаанууд хэрхэн холбогдохыг заана.
- Массивын объект бүрийн талаарх мэдээллийг transitions (Endpoint инцидент) хэсгээс үзнэ үү.
- mitreTags (Array of Objects): Халдлагад илэрсэн MITRE аргачлалууд (techniques). Массивын объект бүрийн талаарх мэдээллийг mitreTags (Endpoint ба Organization инцидент) хэсгээс үзнэ үү.
- incidentEvolution (Array of Objects): Компанийг засах үеийн Settings (Тохиргоо) табын Create a separate incident when new activity is detected сонголт идэвхтэй үед л массив дүүрнэ.
- Энэ тохиолдолд хаагдсан инцидент дээр шинэ үйл ажиллагаа илрэх бүрд шинэ инцидент үүснэ. Шинээр үүссэн инцидент нээлттэй хэвээр байх бөгөөд хаагдах хүртлээ холбогдох үйл ажиллагаагаар тасралтгүй шинэчлэгдэнэ. Энэ инцидент хаагдсаны дараа дахин үйл ажиллагаа илэрвэл өөр шинэ инцидент үүснэ. Энэ журмаар үүссэн холбогдох бүх инцидент Incident evolution (Инцидентийн хөгжил) гинжийг бүрдүүлнэ.
- Массивын объект бүрийн талаарх мэдээллийг incidentEvolution (Endpoint ба Organization инцидент) хэсгээс үзнэ үү.
- incidentType нь extendedIncident үед details объект дараахыг агуулна:
- partOf (Array of Objects): Энэ инцидентийг өгөгдөл холбоход ашигласан Organization инцидентүүд. Массивын объект бүрийн талаарх мэдээллийг partOf (Endpoint ба Organization инцидент) ба contains (Organization инцидент) хэсгээс үзнэ үү.
- contains (Array of Objects): Энэ инцидентэд өгөгдөл холбоход ашигласан бусад инцидентүүд. Массивын объект бүрийн талаарх мэдээллийг partOf (Endpoint ба Organization инцидент) ба contains (Organization инцидент) хэсгээс үзнэ үү.
- counters (Object): Инцидентэд тодорхой төрлийн хэдэн нөөц байгааг харуулах тоолуурууд. Энэ объект дэх талбаруудын талаарх мэдээллийг counters (Organization инцидент) хэсгээс үзнэ үү.
- mitreTags (Array of Objects): Халдлагад илэрсэн MITRE аргачлалууд (techniques). Массивын объект бүрийн талаарх мэдээллийг mitreTags (Endpoint ба Organization инцидент) хэсгээс үзнэ үү.
- killChainPhases (Array of Strings): MITRE ATT&CK хүрээнд суурилсан кибер халдлагын амьдралын мөчлөгийн үе шатууд. Утга бүр нь инцидентийн үед халдагч хүрсэн байж болох тодорхой үе шатыг илэрхийлнэ.
- Тэмдэгт мөр бүрийн боломжит утгууд:
- initial_access
- execution
- persistence
- privilege_escalation
- defence_evasion
- credential_access
- discovery
- lateral_movement
- collection
- command_and_control
- exfiltration
- impact
- lastKillChainPhase (String): Инцидентийн үед кибер халдлагын мөчлөгт хүрсэн хамгийн сүүлийн үе шатыг MITRE ATT&CK хүрээнд суурилан заана. Энэ нь систем ажигласан хамгийн хол ахицыг илэрхийлнэ.
- Боломжит утгууд нь killChainPhases тэмдэгт мөрүүдийн утгатай ижил.
- cves (Array of Objects): Халдлагад тогтоогдсон CVE-үүд. Массивын объект бүрийн талаарх мэдээллийг cves (Organization инцидент) хэсгээс үзнэ үү.
- suspectedActors (Array of Objects): Халдлагыг хийсэн байж болзошгүй сэжигтэй халдагчид. Массивын объект бүрийн талаарх мэдээллийг suspectedActors (Organization инцидент) хэсгээс үзнэ үү.
- nodes (Array of Objects): Инцидентийн графын зангилаанууд. Массивын объект бүрийн талаарх мэдээллийг nodes (Organization инцидент) хэсгээс үзнэ үү.
- alerts (Array of Objects): Инцидентийн үйл явдлуудын сэрэмжлүүлгүүд. Массивын объект бүрийн талаарх мэдээллийг alerts (Organization инцидент) хэсгээс үзнэ үү.
- incidentEvolution (Array of Objects): Компанийг засах үеийн Settings (Тохиргоо) табын Create a separate incident when new activity is detected сонголт идэвхтэй үед л массив дүүрнэ.
- Энэ тохиолдолд хаагдсан инцидент дээр шинэ үйл ажиллагаа илрэх бүрд шинэ инцидент үүснэ. Шинээр үүссэн инцидент нээлттэй хэвээр байх бөгөөд хаагдах хүртлээ холбогдох үйл ажиллагаагаар тасралтгүй шинэчлэгдэнэ. Энэ инцидент хаагдсаны дараа дахин үйл ажиллагаа илэрвэл өөр шинэ инцидент үүснэ. Энэ журмаар үүссэн холбогдох бүх инцидент Incident evolution (Инцидентийн хөгжил) гинжийг бүрдүүлнэ.
- Массивын объект бүрийн талаарх мэдээллийг incidentEvolution (Endpoint ба Organization инцидент) хэсгээс үзнэ үү.
- narrative (Array of String Arrays): Инцидентийг хураангуйлсан догол мөрүүдийн жагсаалт. GravityZone Control Center-ийн Overview (Тойм) табд байдаг. Догол мөр бүрийг хэллэг тэмдэгт мөрүүдийн массив хэлбэрээр илэрхийлнэ.
- Өгөгдөл байхгүй бол narrative хоосон массив болж буцна.
- reasoning (Array of String Arrays): Инцидентийн үндсэн шалтгааны шинжилгээг бүрдүүлэх догол мөрүүдийн жагсаалт. Энэ нь инцидент үүссэн эх үүсвэрийг тайлбарласан бичвэр бөгөөд түүнд хүргэсэн хүчин зүйл, сэрэмжлүүлгийг хураангуйлна. Догол мөр бүрийг хэллэг тэмдэгт мөрүүдийн массив хэлбэрээр илэрхийлнэ.
- Өгөгдөл байхгүй бол reasoning хоосон массив болж буцна.

`notes` — Array of Objects; Инцидентэд хавсаргасан тэмдэглэлүүдийн жагсаалт. Тэмдэглэл бүр дараах талбаруудыг агуулна:

- id (String): Тэмдэглэлийн ID.
- userId (String): Тэмдэглэл үүсгэсэн хэрэглэгчийн ID.
- text (String): Тэмдэглэлд нэмсэн бичвэр.
- created (String): Тэмдэглэл үүсгэсэн огноо, цаг (ISO-8601 форматаар).
- userName (String): Тэмдэглэл үүсгэгчийн хэрэглэгчийн нэр.

`partOf` (Endpoint ба Organization инцидент) ба `contains` (Organization инцидент)

`incidentId` — String; Инцидентийн ID.
`incidentLink` — String; Нэвтэрсний дараа инцидентийг GravityZone Control Center-т нээх URL.

`counters` (Endpoint инцидент)

`endpoints` — Integer; Инцидентэд оролцсон endpoint-ийн тоо.
`files` — Integer; Инцидентэд оролцсон файл-ийн тоо.
`processes` — Integer; Инцидентэд оролцсон процесс-ийн тоо.
`domains` — Integer; Инцидентэд оролцсон домэйн-ийн тоо.
`registries` — Integer; Инцидентэд оролцсон бүртгэлийн түлхүүрийн (registry key) тоо. Энэ нь зөвхөн Windows ашигладаг endpoint-д хамаарна.
`events` — Integer; Инцидентэд оролцсон системийн үйл явдлын тоо.
`storages` — Integer; Инцидентэд оролцсон хадгалах төхөөрөмжийн тоо.

`counters` (Organization инцидент)

`endpoints` — Integer; Инцидентэд оролцсон endpoint-ийн тоо.
`servers` — Integer; Инцидентэд оролцсон сервер-ийн тоо.
`mobileDevices` — Integer; Инцидентэд оролцсон гар төхөөрөмжийн тоо.
`printers` — Integer; Инцидентэд оролцсон принтер-ийн тоо.
`routers` — Integer; Инцидентэд оролцсон чиглүүлэгч (router)-ийн тоо.
`IoTs` — Integer; Инцидентэд оролцсон Internet-of-Things (IoT) төхөөрөмжийн тоо.
`identities` — Integer; Инцидентэд оролцсон таних мэдээлэл (identity)-ийн тоо.
`emails` — Integer; Инцидентэд оролцсон и-мэйл-ийн тоо.
`IPs` — Integer; Инцидентэд оролцсон IP хаяг-ийн тоо.
`domains` — Integer; Инцидентэд оролцсон домэйн-ийн тоо.
`DNSs` — Integer; Инцидентэд оролцсон домэйн нэрийн серверийн (DNS) тоо.
`DGAs` — Integer; Инцидентэд оролцсон домэйн үүсгэх алгоритмын (DGA) тоо.
`cloudStorages` — Integer; Инцидентэд оролцсон үүлэн хадгалалтын тоо.
`torNodes` — Integer; Инцидентэд оролцсон Tor зангилааны) тоо.
`externalDrives` — Integer; Инцидентэд оролцсон гадаад дискний тоо.
`externalSources` — Integer; Инцидентэд оролцсон гадаад эх сурвалжийн тоо.
`exfiltratedFiles` — Integer; Инцидентэд оролцсон гадагш алдагдсан (exfiltrated) файлын тоо.
`internalIPs` — Integer; Инцидентэд оролцсон дотоод IP-ийн тоо.
`internalEmails` — Integer; Инцидентэд оролцсон дотоод и-мэйлийн тоо.
`users` — Integer; Инцидентэд оролцсон хэрэглэгчийн тоо.
`virtualDesktops` — Integer; Инцидентэд оролцсон виртуал ширээний компьютерийн тоо.
`containers` — Integer; Инцидентэд оролцсон контейнерийн (docker, k8s гэх мэт) тоо.
`databases` — Integer; Инцидентэд оролцсон өгөгдлийн сангийн тоо.
`storages` — Integer; Инцидентэд оролцсон хадгалалтын тоо.
`office365Instances` — Integer; Инцидентэд оролцсон Microsoft 365 (Office 365) instance-ийн тоо.
`ADInstances` — Integer; Инцидентэд оролцсон Active Directory instance-ийн тоо.
`azureADInstances` — Integer; Инцидентэд оролцсон Azure Active Directory instance-ийн тоо.
`GCPInstances` — Integer; Инцидентэд оролцсон Google Cloud Platform instance-ийн тоо.
`googleWorkspaceInstances` — Integer; Инцидентэд оролцсон Google Workspace instance-ийн тоо.
`atlassianInstances` — Integer; Инцидентэд оролцсон Atlassian instance-ийн тоо.
`atlassianBitbucketProducts` — Integer; Инцидентэд оролцсон Atlassian Bitbucket бүтээгдэхүүний тоо.
`atlassianJiraProducts` — Integer; Инцидентэд оролцсон Atlassian Jira бүтээгдэхүүний тоо.
`atlassianConfluenceProducts` — Integer; Инцидентэд оролцсон Atlassian Confluence бүтээгдэхүүний тоо.
`bitbucketProjects` — Integer; Инцидентэд оролцсон Bitbucket төслийн тоо.
`confluenceSpaces` — Integer; Инцидентэд оролцсон Confluence space-ийн тоо.
`AWSInstances` — Integer; Инцидентэд оролцсон AWS instance-ийн тоо.

`nodes` (Endpoint инцидент)

`id` — String; Зангилааны ID.
`name` — String; Зангилааны нэр.
`type` — String; Зангилааны төрөл. Боломжит утгууд:

- endpoint
- file
- process_execution
- virtual_group
- registry
- domain
- container_host

`alertIds` — Array of Strings; Сэрэмжлүүлгийн ID-уудын жагсаалт. Эдгээр нь alerts (Endpoint инцидент) дахь объектуудтай харгалзана.
`details` — Object; Зангилааны талаар байгаа дэлгэрэнгүй мэдээлэл. Энэ объектын агуулах өгөгдөл нь ижил nodes объект доторх type атрибутын утгаас хамаарч өөр өөр байна. type нь endpoint эсвэл container_host үед details объект дараахыг агуулна:

- id (String).
- name (String).
- hardwareId (String).
- ip (String).
- isContainer (Boolean).
- isContainerHost (Boolean).
- type нь file үед details объект дараахыг агуулна:
- name (String).
- path (String).
- md5 (String).
- sha256 (String).
- size (Integer).
- isExecutable (Boolean).
- fileProcess (Object): Энэ объект дэх талбаруудын талаарх мэдээллийг fileProcess (file зангилаа) ба process (registry эсвэл domain зангилаа) хэсгээс үзнэ үү.
- sandbox (Object): Энэ объект дэх талбаруудын талаарх мэдээллийг sandbox (file эсвэл process_execution зангилаа) хэсгээс үзнэ үү.
- quarantine (Object): Энэ объект дэх талбаруудын талаарх мэдээллийг quarantine (file эсвэл process_execution зангилаа) хэсгээс үзнэ үү.
- type нь process_execution үед details объект дараахыг агуулна:
- file (Object): Энэ объект дэх талбаруудын талаарх мэдээллийг file (process_execution зангилаа) хэсгээс үзнэ үү.
- process (Object): Энэ объект дэх талбаруудын талаарх мэдээллийг process (process_execution зангилаа) хэсгээс үзнэ үү.
- sandbox (Object): Энэ объект дэх талбаруудын талаарх мэдээллийг sandbox (file эсвэл process_execution зангилаа) хэсгээс үзнэ үү.
- quarantine (Object): Энэ объект дэх талбаруудын талаарх мэдээллийг quarantine (file эсвэл process_execution зангилаа) хэсгээс үзнэ үү.
- killProcess (Object): Энэ объект дэх талбаруудын талаарх мэдээллийг killProcess (process_execution зангилаа) хэсгээс үзнэ үү.
- type нь registry үед details объект дараахыг агуулна:
- registry (Object): Энэ объект дэх талбаруудын талаарх мэдээллийг registry (registry зангилаа) хэсгээс үзнэ үү.
- process (Object): Энэ объект дэх талбаруудын талаарх мэдээллийг fileProcess (file зангилаа) ба process (registry эсвэл domain зангилаа) хэсгээс үзнэ үү.
- type нь domain үед details объект дараахыг агуулна:
- domain (Object): Энэ объект дэх талбаруудын талаарх мэдээллийг domain (domain зангилаа) хэсгээс үзнэ үү.
- process (Object): Энэ объект дэх талбаруудын талаарх мэдээллийг fileProcess (file зангилаа) ба process (registry эсвэл domain зангилаа) хэсгээс үзнэ үү.
- file (Object): Энэ объект дэх талбаруудын талаарх мэдээллийг file (domain зангилаа) хэсгээс үзнэ үү.
- Бусад бүх төрлийн хувьд details атрибут хариунд орохгүй.

`fileProcess` (`file` зангилаа) ба `process` (`registry` эсвэл `domain` зангилаа)

`pid` — Integer
`name` — String
`path` — String

`sandbox` (`file` эсвэл `process_execution` зангилаа)

`status` — String

`quarantine` (`file` эсвэл `process_execution` зангилаа)

`fileId` — String

`file` (`process_execution` зангилаа)

`name` — String
`path` — String
`md5` — String
`sha256` — String
`size` — Integer
`isExecutable` — Boolean

`process` (`process_execution` зангилаа)

`pid` — Integer
`name` — String
`commandLine` — String
`userId` — String
`userName` — String
`date` — String
`parent` — Object; Объект дараахыг агуулна:

- pid (Integer).
- name (String).
- path (String).

`killProcess` (`process_execution` зангилаа)

`status` — String
`errorCode` — Integer

`registry` (`registry` зангилаа)

`key` — String
`value` — String
`data` — String

`domain` (`domain` зангилаа)

`requestedURL` — String
`remotePort` — Integer
`streamType` — String
`extractedFilename` — String
`sourceApplication` — String
`protocol` — String

`file` (`domain` зангилаа)

`size` — Integer
`md5` — String
`sha256` — String

`nodes` (Organization инцидент)

`id` — String; Зангилааны ID.
`name` — String; Зангилааны нэр.
`isExternal` — Boolean; Зангилаа нь үйлчлүүлэгчийн сүлжээний нөөц мөн эсэхийг заана.
`type` — String; Зангилааны төрөл. Боломжит утгууд:

- endpoint
- server
- mobile_device
- printer
- router
- iot
- user_generic
- user_aws
- user_gcp
- user_ad
- user_azure_ad
- user_atlassian
- aws
- azure
- gcp
- active_directory
- office_365
- azure_ad
- google_workspace
- atlassian
- virtual_server_aws
- container_aws
- service_aws
- database_aws
- storage_aws
- end_user_computing_aws
- virtual_server_azure
- container_azure
- service_azure
- database_azure
- storage_azure
- end_user_computing_azure
- virtual_server_gcp
- container_gcp
- service_gcp
- database_gcp
- storage_gcp
- end_user_computing_gcp
- product_atlassian_bitbucket
- product_atlassian_jira
- product_atlassian_confluence
- bitbucket_project
- confluence_space
- attacker
- email
- ip
- domain
- dns
- dga
- cloud_storage
- tor_node
- external_drive

`details` — Object; Энэ зангилааны талаар байгаа дэлгэрэнгүй мэдээлэл. Энэ объектын агуулах өгөгдөл нь ижил nodes объект доторх type талбарын утгаас хамаарч өөр өөр байна. Дэлгэрэнгүйг details (Organization инцидентийн зангилаа) хэсгээс үзнэ үү.

`details` (Organization инцидентийн зангилаа)

`endpoint` — hardwareId; String
`endpoint` — ips; Array of Strings
`endpoint` — macs; Array of Strings
`endpoint` — endpointId; String
`server` — hardwareId; String
`server` — ips; Array of Strings
`server` — macs; Array of Strings
`server` — endpointId; String
`server` — networkServices; Array of Strings
`mobile_device` — deviceId; String
`mobile_device` — ip; String
`mobile_device` — os; String
`mobile_device` — deviceGroupName; String
`mobile_device` — phoneNumber; String
`router`, `printer`, `iot` — ip; String
`router`, `printer`, `iot` — mac; String
`attacker` — threatGroup; String
`email` — sender; String
`email` — recipients; Array of Strings
`email` — subject; String
`email` — attachments; Array of Strings
`ip` — ip; String
`ip` — domains; Array of Strings
`ip` — mac; String
`domain` — domainName; String
`domain` — ips; Array of Strings
`dns`, `tor_node` — ip; String
`dga` — domainName; String
`dga` — ip; String
`cloud_storage` — provider; String
`cloud_storage` — ip; String
`external_drive` — name; String
`external_drive` — mountPath; String
`user_generic` — emails; Array of Strings
`user_generic` — ips; Array of Strings
`user_generic` — service; String
`user_aws` — emails; Array of Strings
`user_aws` — ips; Array of Strings
`user_aws` — accessKeyId; String
`user_gcp` — emails; Array of Strings
`user_gcp` — ips; Array of Strings
`user_gcp` — sensorIdentifier; String
`user_ad` — emails; Array of Strings
`user_ad` — ips; Array of Strings
`user_ad` — domain; String
`user_ad` — userSid; String
`user_ad` — domainGuid; String
`user_azure_ad` — emails; Array of Strings
`user_azure_ad` — ips; Array of Strings
`user_azure_ad` — tenantId; String
`user_azure_ad` — riskDetail; String
`user_azure_ad` — riskLevel; String
`user_azure_ad` — riskState; String
`user_atlassian` — emails; Array of Strings
`user_atlassian` — ips; Array of Strings
`user_atlassian` — organizationId; String
`user_atlassian` — userId; String
`aws`, `azure`, `gcp`, `google_workspace`, `office_365`, `azure_ad`, `atlassian` — organizationId; String
`virtual_server_aws`, `container_aws`, `service_aws`, `databasse_aws`, `storage_aws`, `end_user_computing_aws`, `virtual_server_azure`, `container_azure`, `storage_azure`, `service_azure`, `end_user_computing_azure`, `virtual_server_gcp`, `container_gcp`, `service_gcp`, `database_gcp`, `storage_gcp`, `end_user_computing_gcp` — id; String
`virtual_server_aws`, `container_aws`, `service_aws`, `databasse_aws`, `storage_aws`, `end_user_computing_aws`, `virtual_server_azure`, `container_azure`, `storage_azure`, `service_azure`, `end_user_computing_azure`, `virtual_server_gcp`, `container_gcp`, `service_gcp`, `database_gcp`, `storage_gcp`, `end_user_computing_gcp` — ips; Array of Strings
`virtual_server_aws`, `container_aws`, `service_aws`, `databasse_aws`, `storage_aws`, `end_user_computing_aws`, `virtual_server_azure`, `container_azure`, `storage_azure`, `service_azure`, `end_user_computing_azure`, `virtual_server_gcp`, `container_gcp`, `service_gcp`, `database_gcp`, `storage_gcp`, `end_user_computing_gcp` — urls; Array of Strings
`product_atlassian_bitbucket`, `product_atlassian_jira`, `product_atlassian_confluence` — url; String
`bitbucket_project` — url; String
`bitbucket_project` — workspace; String
`confluence_space` — id; String
`confluence_space` — key; String
`confluence_space` — url; String

`alerts` (Endpoint инцидент)

`id` — String; Сэрэмжлүүлгийн ID.
`name` — String; Сэрэмжлүүлгийн нэр.
`date` — String; Сэрэмжлүүлгийг сүлжээнд илрүүлсэн огноо, цаг.
`detectedBy` — Object; Объект сэрэмжлүүлгийг хэн илрүүлсэн тухай мэдээллийг агуулна:

- name (String): Аюулыг илрүүлсэн технологийн нэр.
- class (String): Аюулыг илрүүлсэн технологийн төрөл.

`resources` — Array of Objects; Объектууд сэрэмжлүүлэгт оролцсон нөөцүүдийн мэдээллийг агуулна:

- type (String): Нөөцийн төрөл.
- Боломжит утгууд:
- network
- registry
- file
- process
- details (Object): Нөөцийн талаар байгаа дэлгэрэнгүй мэдээлэл.
- Энэ объектын агуулах өгөгдөл нь ижил resources объект доторх type талбарын утгаас хамаарч өөр өөр байна. Дэлгэрэнгүйг details (alerts > resources) хэсгээс үзнэ үү.

`extra` — Array of Objects; Сэрэмжлүүлгийн нэмэлт мэдээлэл. Объект бүр дараахыг агуулна:

- key (String).
- value (Integer, Boolean, or String).

`details` (`alerts` > `resources`)

`file` — filePath; String
`file` — fileSize; Integer
`file` — accessType; String
`file` — attributeChangeType; String
`file` — rawDiskAccessType; String
`file` — internalName; String
`file` — originalFileName; String
`file` — companyName; String
`file` — fileDescription; String
`file` — productName; String
`file` — md5; String
`file` — sha256; String
`file` — certificateIssuer; String
`file` — certificateSigner; String
`file` — fileType; String
`file` — filePackerName; String
`file` — newFilePath; String
`network` — uri; String
`network` — protocol; String
`network` — port; Integer
`network` — streamType; String
`network` — statusCode; Integer
`network` — requestMethod; String
`network` — requesterMac; String
`network` — requesterIp; String
`network` — requesterSystemName; String
`network` — rawConnectionDestIp; String
`network` — rawConnectionSourceIprawConnectionDestPort; Integer
`network` — rawConnectionSourcePort; Integer
`network` — rawConnectionTransferedIn; Integer
`network` — rawConnectionTransferedOut; Integer
`network` — rawConnectionDirection; String
`network` — rawConnectionReferrer; String
`network` — rawConnectionFailStatus; Integer
`network` — rawConnectionGuestStatus; Integer
`network` — rawConnectionUser; String
`network` — rawConnectionLoginStatus; Integer
`network` — rawConnectionFilePath; String
`network` — domain; String
`network` — smbFileName; String
`network` — smbTreeName; String
`network` — interface; String
`network` — expectedProtocol; String
`network` — rawConnectionProtocol; String
`network` — rawConnectionTransferredFile; String
`network` — rawConnectionTransferredFileType; String
`network` — rawConnectionTransferredFileSize; Integer
`network` — rawConnectionExpectedProtocol; String
`network` — rawConnectionAccessType; String
`network` — rawConnectionEncryptionType; String
`network` — rawConnectionInterface; String
`network` — rawConnectionServiceName; String
`network` — rawConnectionServicePath; String
`network` — httpConnectionMethod; String
`network` — httpConnectionHost; String
`network` — httpConnectionUri; String
`network` — httpConnectionResponseCode; Integer
`network` — httpConnectionReferrer; String
`network` — winrmConnectionUserAgent; String
`network` — winrmConnectionAuthorization; String
`network` — smbUser; String
`network` — smbHostName; String
`network` — smbDomainName; String
`network` — smbAccessType; String
`network` — smbAuthMethod; String
`network` — ldapDistinguishedName; String
`network` — ldapGroupDistinguishedName; String
`network` — ldapUserDistinguishedName; String
`network` — mailAttachments; String
`process` — pid; Integer
`process` — processPath; String
`process` — processPathSize; Integer
`process` — commandLine; String
`process` — parentPid; Integer
`process` — parentProcessPath; String
`process` — parentProcessCmdLine; String
`process` — parentProcessUser; String
`process` — user; String
`process` — loadedModule; String
`process` — loadedModulePid; Integer
`process` — processInjectionWriter; String
`process` — processInjectionWriterPid; Integer
`process` — processInjectionTarget; String
`process` — processInjectionTargetPid; Integer
`process` — processInjectionSizeofWrite; Integer
`process` — processAccessPrivileges; String
`process` — parentProcessAccessPrivileges; String
`process` — processIntegrityLevel; String
`process` — parentProcessIntegrityLevel; String
`process` — processPackerName; String
`registry` — registryKey; String
`registry` — registryValue; String
`registry` — registryData; String
`registry` — registryType; String
`registry` — registryAccessType; String

`alerts` (Organization инцидент)

`id` — String; Сэрэмжлүүлгийн ID.
`name` — String; Сэрэмжлүүлгийн нэр.
`date` — String; Сэрэмжлүүлгийг сүлжээнд илрүүлсэн огноо, цаг (ISO-8601 форматаар).
`sensors` — Array of Strings; Сэрэмжлүүлгийг илрүүлсэн мэдрэгчүүд (sensors). Боломжит утгууд:

- EDR
- NTSA
- XDR
- office_365
- active_directory
- azure_active_directory
- azure
- aws
- gcp
- google_workspace
- email_security
- atlassian

`tactic` — String; Энэ сэрэмжлүүлэгт илэрсэн MITRE тактик. Боломжит утгууд:

- initial_access
- execution
- persistence
- privilege_escalation
- defence_evasion
- credential_access
- discovery
- lateral_movement
- collection
- command_and_control
- exfiltration
- impact

`transitions` — Array of Objects; Энэ массив инцидентийн граф байгуулахад ашиглах өгөгдлийг агуулна. Энэ нь зангилаанууд хэрхэн холбогдохыг заана. Объект бүр дараахыг агуулна:

- from (String): Зангилааны ID.
- to (String): Зангилааны ID.
- resources (Array of Objects): Энэ шилжилттэй холбоотой нөөцүүд. Эдгээр объект бүр дэх талбаруудын талаарх мэдээллийг resources (Organization инцидентийн шилжилт) хэсгээс үзнэ үү.

`resources` (Organization инцидентийн шилжилт)

`name` — String; Нөөцийн нэр.
`type` — String; Нөөцийн төрөл. Боломжит утгууд:

- generic
- application
- key_vault
- role
- policy
- sharing_link
- file
- email
- flow
- url
- ssh_key
- launch_template
- service_principal
- user_group
- automatic_account
- automatic_account_hook
- api
- certificate_authority
- bucket
- bitbucket_repository
- jira_project
- confluence_page

`details` — Object; Нөөцийн дэлгэрэнгүй мэдээлэл. Бүтэц нь type талбараас хамаарна. Дэлгэрэнгүйг details (Organization инцидентийн нөөц) хэсгээс үзнэ үү.

`details` (Organization инцидентийн нөөц)

`generic` — data; String
`application` — appAddress; String
`application` — ip; String
`url`, `sharing_link` — url; String
`file` — url; String
`file` — path; String
`file` — size; Integer
`file` — md5; String
`file` — sha256; String
`file` — sensorIdentifier; String
`email` — id; String
`email` — subject; String
`email` — userId; String
`email` — userTenantId; String
`email` — sensorIdentifier; String
`email` — receivedOn; String (ISO-8601).
`email` — similarityHash; String
`email` — sender; Object; Дараах атрибутуудыг агуулна:

- name (String).
- address (String).

`email` — toRecipients; Array of Objects; Объект бүр дараах атрибутуудыг агуулна:

- name (String).
- address (String).

`email` — ccRecipients; Array of Objects; Объект бүр дараах атрибутуудыг агуулна:

- name (String).
- address (String).

`email` — bccRecipients; Array of Objects; Объект бүр дараах атрибутуудыг агуулна:

- name (String).
- address (String).

`email` — urls; Array of Strings
`email` — attachments; Array of Objects; Объект бүр дараах атрибутуудыг агуулна:

- name (String).
- fileMd5 (String).
- fileSha256 (String).
- size (Integer).

`role`, `service_principal`, `user_group`, `automation_account`, `automation_account_hook`, `api` — id; String
`policy` — id; String
`policy` — name; String
`policy` — resourcePolicyType; String
`flow`, `bitbucket_repository`, `jira_project`, `confluence_page` — id; String
`flow`, `bitbucket_repository`, `jira_project`, `confluence_page` — url; String
`ssh_key` — sshPublicKey; String
`launch_template` — id; String
`launch_template` — name; String
`certificate_authority` — id; String
`certificate_authority` — ceritficate; String

`transitions` (Endpoint инцидент)

`from` — String; Эх зангилааны ID.
`to` — String; Очих зангилааны ID.
`date` — String; Шилжилтийн огноо, цаг (ISO-8601 форматаар).

`mitreTags` (Endpoint ба Organization инцидент)

`category` — String; MITRE аргачлал харьяалагдах ангилал.
`techniques` — Array of Objects; Энэ ангилалд илэрсэн MITRE аргачлалууд. Объект бүр дараахыг агуулна:

- id (String): MITRE аргачлалын ID (жишээлбэл, T0800).
- name (String): MITRE аргачлалын нэр (жишээлбэл, Program Download).
- subtechniques (Array of Objects): Энэ аргачлалд илэрсэн MITRE дэд аргачлалууд.
- Эдгээр объект бүр дэх талбаруудын талаарх мэдээллийг subtechniques (mitreTags > techniques) хэсгээс үзнэ үү.

`subtechniques` (`mitreTags` > `techniques`)

`id` — String; MITRE дэд аргачлалын ID (жишээлбэл, S0603).
`name` — String; MITRE дэд аргачлалын нэр (жишээлбэл, Stuxnet).

`cves` (Organization инцидент)

`id` — String; CVE-ийн ID (жишээлбэл, CVE-2024-12345).

`suspectedActors` (Organization инцидент)

`name` — String; Сэжигтэй халдагчийн нэр.
`confidenceScore` — Integer; Халдлагыг энэ халдагчтай холбосон итгэлцлийн оноо.
`reasons` — Array of Objects; Энэ халдлагыг энэ халдагчтай холбосон шалтгаанууд. Объект бүр дараахыг агуулна:

- type (String): Шалтгааны төрөл.
- Боломжит утгууд:
- sample
- url
- registry
- mutex
- wallet
- value (String): Шалтгааны утга.
- Тэмдэгт мөрийн формат нь type талбараас хамаарна.

`incidentEvolution` (Endpoint ба Organization инцидент)

`incidentId` — String; Инцидентийн дотоод ID. Энэ нь GravityZone Control Center-ийн инцидентийн дэлгэрэнгүй хуудасны URL-д орсон байдаг.
`incidentNumber` — Integer; GravityZone Control Center-ийн Incidents (Инцидентүүд) хуудсанд харагддаг инцидентийн ID, # угтваргүй.
`status` — String; Инцидентийн төлөв. Боломжит утгууд:

`incidentLink` — String; Инцидентийн дэлгэрэнгүйг хөтөч дээр үзэх вэб хуудасны URL.

Жишээ

Хүсэлт:

{
  "id": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
  "jsonrpc": "2.0",
  "method": "getIncidentsByIds",
  "params": {
    "ids": [
      "6a1b2c3d4e5f67890abcde01",
      "6a1b2c3d4e5f67890abcde02"
    ]
  }
}

Хариу:

{
  "id": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
  "jsonrpc": "2.0",
  "result": [
    {
      "incidentId": "6a1b2c3d4e5f67890abcde01",
      "incidentNumber": 101,
      "status": "closed",
      "mainAction": "reported",
      "created": "2026-03-15T15:03:03+00:00",
      "lastUpdated": "2026-03-15T15:03:03+00:00",
      "lastProcessed": "2026-04-10T11:17:51+00:00",
      "lastIncidentChange": "2026-03-16T10:00:00+00:00",
      "severityScore": 48,
      "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcde01",
      "assignee": {
        "userId": "5f4e3d2c1b0a987654321fed",
        "userName": "john.smith@example.com",
        "companyId": "5e4d3c2b1a0987654321fedc",
        "companyName": "Acme Corporation"
      },
      "priority": "unknown",
      "attackTypes": [
        "Exfiltration",
        "SpearPhishing",
        "Exploit"
      ],
      "company": {
        "id": "5e4d3c2b1a0987654321fedc",
        "name": "Acme Corporation"
      },
      "incidentType": "extendedIncident",
      "details": {
        "counters": {
          "endpoints": 1,
          "servers": 0,
          "mobileDevices": 0,
          "printers": 0,
          "routers": 0,
          "IoTs": 0,
          "identities": 3,
          "emails": 0,
          "IPs": 2,
          "domains": 0,
          "DNSs": 0,
          "DGAs": 0,
          "cloudStorages": 0,
          "torNodes": 0,
          "externalDrives": 0,
          "externalSources": 3,
          "exfiltratedFiles": 4,
          "internalIPs": 0,
          "internalEmails": 3,
          "users": 3,
          "virtualDesktops": 0,
          "containers": 0,
          "databases": 0,
          "storages": 0,
          "office365Instances": 0,
          "ADInstances": 0,
          "azureADInstances": 1,
          "AWSInstances": 0,
          "GCPInstances": 0,
          "googleWorkspaceInstances": 0,
          "atlassianInstances": 0,
          "atlassianBitbucketProducts": 0,
          "atlassianJiraProducts": 0,
          "atlassianConfluenceProducts": 0,
          "bitbucketProjects": 0,
          "confluenceSpaces": 0
        },
        "incidentEvolution": [
          {
            "incidentId": "6a1b2c3d4e5f67890abcde05",
            "incidentNumber": 105,
            "status": "false_positive",
            "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcde05"
          }
        ],
        "contains": [],
        "partOf": [],
        "cves": [],
        "suspectedActors": [],
        "killChainPhases": [
          "initial_access",
          "execution",
          "credential_access",
          "lateral_movement",
          "collection",
          "command_and_control",
          "exfiltration"
        ],
        "lastKillChainPhase": "exfiltration",
        "alerts": [
          {
            "id": "7a1b2c3d4e5f67890abcde01",
            "name": "SuspiciousEmailReceived",
            "date": "2026-03-15T14:57:03+00:00",
            "sensors": [
              "office_365",
              "EDR"
            ],
            "tactic": "initial_access",
            "transitions": [
              {
                "from": "8a1b2c3d4e5f67890abcde01",
                "to": "8a1b2c3d4e5f67890abcde02",
                "resources": [
                  {
                    "name": "Important Update",
                    "type": "email",
                    "details": {
                      "id": "AAMkADNiNWU0YTljLTRiYmEtNGFlMi1iNzRhLWI5NDk4Y2QwOWM1NQBGAAAAAAD3LHfFVxR-TIchBqXPMdrxBwAlFp_8PvdsSKRtFCjiDPaqAAAAAAEMAAAlFp_8PvdsSKRtFCjiDPaqAAAQexample=",
                      "subject": "Important Update",
                      "userId": "alice.johnson@acmecorp.onmicrosoft.com",
                      "userTenantId": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
                      "sensorIdentifier": "sensor-o365-001",
                      "similarityHash": "a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6",
                      "receivedOn": "2026-03-15T14:57:01+00:00",
                      "sender": {
                        "name": "threat-actor@malicious-domain.com",
                        "address": "threat-actor@malicious-domain.com"
                      },
                      "toRecipients": [
                        {
                          "name": "Alice Johnson",
                          "address": "alice.johnson@acmecorp.onmicrosoft.com"
                        }
                      ],
                      "ccRecipients": [],
                      "bccRecipients": [],
                      "urls": [],
                      "attachments": [
                        {
                          "name": "notice.zip",
                          "fileMd5": "a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6",
                          "fileSha256": "a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2",
                          "size": 33879
                        }
                      ]
                    }
                  }
                ]
              }
            ]
          },
          {
            "id": "7a1b2c3d4e5f67890abcde26",
            "name": "SuspiciousLinkCreated",
            "date": "2026-03-15T14:59:13+00:00",
            "sensors": [
              "office_365"
            ],
            "tactic": "collection",
            "transitions": [
              {
                "from": "8a1b2c3d4e5f67890abcde02",
                "to": "8a1b2c3d4e5f67890abcde01",
                "resources": [
                  {
                    "name": "https://acmecorp-my.sharepoint.com/personal/alice_acmecorp_onmicrosoft_com/Documents/Confidential",
                    "type": "file",
                    "details": {
                      "url": "https://acmecorp-my.sharepoint.com/personal/alice_acmecorp_onmicrosoft_com/Documents/Confidential",
                      "path": null,
                      "size": null,
                      "md5": null,
                      "sha256": null,
                      "sensorIdentifier": "sensor-o365-001"
                    }
                  },
                  {
                    "name": "https://acmecorp-my.sharepoint.com/personal/alice_acmecorp_onmicrosoft_com/Documents/Confidential",
                    "type": "sharing_link",
                    "details": {
                      "url": "https://acmecorp-my.sharepoint.com/personal/alice_acmecorp_onmicrosoft_com/Documents/Confidential"
                    }
                  }
                ]
              }
            ]
          },
          {
            "id": "7a1b2c3d4e5f67890abcde27",
            "name": "SuspiciousAppCreated",
            "date": "2026-03-15T15:01:17+00:00",
            "sensors": [
              "active_directory"
            ],
            "tactic": "credential_access",
            "transitions": [
              {
                "from": "8a1b2c3d4e5f67890abcde02",
                "to": "8a1b2c3d4e5f67890abcde05",
                "resources": [
                  {
                    "name": "Malicious OAuth App",
                    "type": "application",
                    "details": {
                      "appAddress": "https://198.51.100.42/callback",
                      "ip": "198.51.100.42"
                    }
                  }
                ]
              }
            ]
          }
        ],
        "nodes": [
          {
            "id": "8a1b2c3d4e5f67890abcde01",
            "name": "threat-actor@malicious-domain.com",
            "isExternal": false,
            "type": "user_generic",
            "details": {
              "emails": [
                "threat-actor@malicious-domain.com"
              ],
              "ips": [
              ],
              "service": "malicious-domain.com"
            }
          },
          {
            "id": "8a1b2c3d4e5f67890abcde02",
            "name": "alice.johnson@acmecorp.onmicrosoft.com",
            "isExternal": false,
            "type": "user_azure_ad",
            "details": {
              "emails": [
                "alice.johnson@acmecorp.onmicrosoft.com"
              ],
              "ips": [
              ],
              "tenantId": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
              "riskDetail": "userPerformedSecuredPasswordChange",
              "riskLevel": "high",
              "riskState": "atRisk"
            }
          },
          {
            "id": "8a1b2c3d4e5f67890abcde03",
            "name": "desktop-corp01.acmecorp.local",
            "isExternal": false,
            "type": "endpoint",
            "details": {
              "hardwareId": "12345678-abcd-ef01-2345-6789abcdef01-00AABB112233",
              "ips": [
                "192.168.1.100"
              ],
              "macs": [
                "00AABB112233"
              ],
              "endpointId": "5d4c3b2a190876543210fedc"
            }
          },
          {
            "id": "8a1b2c3d4e5f67890abcde04",
            "name": "198.51.100.42",
            "isExternal": false,
            "type": "ip",
            "details": {
              "ip": "198.51.100.42",
              "domains": [
                "c2-server.malicious-domain.com"
              ],
              "mac": null
            }
          },
          {
            "id": "8a1b2c3d4e5f67890abcde05",
            "name": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
            "isExternal": false,
            "type": "azure_ad",
            "details": {
              "organizationId": "a1b2c3d4-e5f6-7890-abcd-ef1234567890"
            }
          }
        ],
        "mitreTags": [
          {
            "category": "Initial Access",
            "techniques": [
              {
                "name": "Phishing",
                "id": "T1566",
                "subtechniques": [
                  {
                    "name": "Spearphishing Attachment",
                    "id": "T1566.001"
                  }
                ]
              }
            ]
          }
        ],
        "narrative": [
          [
            "A potential network breach originating from user: threat-actor@malicious-domain.com, has been detected as part of 2 alerts, affecting the following: managed asset: desktop-corp01.acmecorp.local, and user: alice.johnson@acmecorp.onmicrosoft.com."
          ]
        ],
        "reasoning": [
          [
            "The incident was triggered by 2 alerts, involving managed asset: desktop-corp01.acmecorp.local, and user: alice.johnson@acmecorp.onmicrosoft.com, indicating the suspicious email(s) sent by user: threat-actor@malicious-domain.com as the root cause of the incident."
          ]
        ]
      },
      "notes": []
    },
    {
      "incidentId": "6a1b2c3d4e5f67890abcde02",
      "incidentNumber": 102,
      "status": "closed",
      "mainAction": "reported",
      "created": "2026-03-10T13:38:01+00:00",
      "lastUpdated": "2026-03-10T13:38:01+00:00",
      "lastProcessed": "2026-04-10T11:17:08+00:00",
      "lastIncidentChange": "2026-03-16T10:00:00+00:00",
      "severityScore": 47,
      "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcde02",
      "assignee": null,
      "priority": "unknown",
      "attackTypes": [
        "Defined by user"
      ],
      "company": {
        "id": "5e4d3c2b1a0987654321fedc",
        "name": "Acme Corporation"
      },
      "incidentType": "incident",
      "details": {
        "detectionName": "Suspicious Registry Access by Service",
        "counters": {
          "endpoints": 1,
          "files": 2,
          "processes": 6,
          "domains": 0,
          "registries": 0,
          "events": 12,
          "storages": 0
        },
        "incidentEvolution": [
          {
            "incidentId": "6a1b2c3d4e5f67890abcde03",
            "incidentNumber": 103,
            "status": "closed",
            "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcde03"
          }
        ],
        "computerId": "5d4c3b2a190876543210fed2",
        "computerName": "SERVER-PROD-01",
        "computerFqdn": "server-prod-01.acmecorp.local",
        "computerIp": "192.168.10.50",
        "computerMacAddresses": [
          "00CCDD445566"
        ],
        "partOf": [
          {
            "incidentId": "6a1b2c3d4e5f67890abcde01",
            "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcde01"
          },
          {
            "incidentId": "6a1b2c3d4e5f67890abcde05",
            "incidentLink": "https://your-gz-console.example.com/#!/incidents/view/6a1b2c3d4e5f67890abcde05"
          }
        ],
        "alerts": [
          {
            "id": "9a1b2c3d4e5f67890abcde01",
            "name": "SystemInformationRegistryDiscovery",
            "date": "2026-03-10T13:37:50+00:00",
            "detectedBy": {
              "name": "SystemInformationRegistryDiscovery",
              "class": "EDR Detection"
            },
            "resources": [
              {
                "type": "process",
                "details": {
                  "pid": 9688,
                  "processPath": "c:\\program files\\acme\\monitoring-agent\\monitoragent.exe",
                  "processPathSize": 111376,
                  "commandLine": "\"C:\\Program Files\\Acme\\monitoring-agent\\monitoragent.exe\" -n svc",
                  "parentPid": 7280,
                  "parentProcessPath": "c:\\windows\\system32\\services.exe",
                  "parentProcessCmdline": "c:\\windows\\system32\\services.exe",
                  "parentProcessUser": "NT AUTHORITY\\SYSTEM",
                  "user": "SERVER-PROD-01\\svc-monitor",
                  "loadedModule": null,
                  "loadedModulePid": null,
                  "processInjectionWriter": null,
                  "processInjectionWriterPid": null,
                  "processInjectionTarget": null,
                  "processInjectionTargetPid": null,
                  "processInjectionSizeofWrite": null,
                  "processAccessPrivileges": "elevated",
                  "parentProcessAccessPrivileges": "elevated",
                  "processIntegrityLevel": "high",
                  "parentProcessIntegrityLevel": "system",
                  "processPackerName": null
                }
              },
              {
                "type": "registry",
                "details": {
                  "registryKey": "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion",
                  "registryValue": "CurrentBuild",
                  "registryData": "19045",
                  "registryType": "REG_SZ",
                  "registryAccessType": "QUERY"
                }
              }
            ],
            "extra": [
              {
                "key": "extraInfo1",
                "value": "Operation Channel: normal\nProcess PE VersionInfo and Certification Information: \n\nOriginal File Name: monitoragent.exe\nInternal Name: monitoragent\nFile Description: Acme Monitoring Agent Service\nCompany Name: Acme Corporation\nFile Version: 3.5.1.10247\nProduct Name: Acme Monitoring Agent\nProduct Version: 3.5.1 build-10247\nLegal Copyright: Copyright 2020-2026 Acme Corporation\nCertificate Serial: 0aabbccddee11223344556677889900\nCertificate Signer: Acme Corporation\nCertificate Issuer: DigiCert, Inc.\n\nWorking Directory: c:\\windows\\system32\\"
              }
            ]
          }
        ],
        "nodes": [
          {
            "id": "9b1b2c3d4e5f67890abcde01",
            "name": "collector-parent.exe",
            "type": "process_execution",
            "details": {
              "file": {
                "name": "collector-parent.exe",
                "path": "c:\\tools\\data-collector\\collector-parent.exe",
                "md5": "e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0",
                "sha256": "e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2c3d4e5f6",
                "size": 198656,
                "isExecutable": true
              },
              "process": {
                "pid": 10080,
                "parent": {
                  "pid": 9688,
                  "name": "monitoragent.exe",
                  "path": "c:\\program files\\acme\\monitoring-agent\\monitoragent.exe"
                },
                "commandLine": "\"C:\\tools\\data-collector\\collector-parent.exe\"",
                "userId": "S-1-5-21-1234567890-123456789-1234567890-1002",
                "userName": "SERVER-PROD-01\\svc-monitor",
                "date": "2026-03-10T13:37:40+00:00",
                "name": "collector-parent.exe"
              },
              "sandbox": null,
              "quarantine": null,
              "killProcess": null
            },
            "alertIds": [
              "9a1b2c3d4e5f67890abcde02"
            ]
          },
          {
            "id": "9b1b2c3d4e5f67890abcde07",
            "name": "collector-output.txt",
            "type": "file",
            "details": {
              "name": "collector-output.txt",
              "path": "c:\\tools\\data-collector\\collector-output.txt",
              "md5": "c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4",
              "sha256": "c9d0e1f2a3b4c5d6e7f8a9b0c1d2e3f4a5b6c7d8e9f0a1b2c3d4e5f6a7b8c9d0",
              "size": 3,
              "isExecutable": false,
              "fileProcess": {
                "pid": 10156,
                "name": "collector-worker.exe",
                "path": "c:\\tools\\data-collector\\collector-worker.exe"
              },
              "sandbox": null,
              "quarantine": null
            },
            "alertIds": []
          },
          {
            "id": "9b1b2c3d4e5f67890abcde09",
            "name": "SERVER-PROD-01",
            "type": "endpoint",
            "details": {
              "id": "5d4c3b2a190876543210fed2",
              "name": "SERVER-PROD-01",
              "hardwareId": "aabbccdd-1122-3344-5566-778899aabbcc",
              "ip": "192.168.10.50",
              "isContainer": false,
              "isContainerHost": false
            },
            "alertIds": []
          }
        ],
        "triggerNodeId": "9b1b2c3d4e5f67890abcde01",
        "transitions": [
          {
            "from": "9b1b2c3d4e5f67890abcde01",
            "to": "9b1b2c3d4e5f67890abcde02",
            "date": "2026-03-10T13:37:40+00:00"
          }
        ],
        "mitreTags": [
        ]
      },
      "notes": []
    }
  ]
}

Энэ хуудсанд гарсан нэр томъёо

Control Center: GravityZone-ийн удирдлагын вэб консол
Endpoint: Хамгаалж буй компьютер, сервер, виртуал машин
Policy: Хамгаалалтын тохиргооны багц; төхөөрөмж эсвэл бүлэгт оноодог
Network: Таны байгууллагын бүх төхөөрөмжийн жагсаалт (Inventory)
Quarantine: Хорио: сэжигтэй файлыг тусгаарлаж хадгалдаг газар
Incidents: Илэрсэн халдлага, түүний алхмуудын бүртгэл (EDR/XDR)

Асуулт байна уу?AI туслах GravityZone-ийн монгол баримтаас хайна. Нарийн асуудлыг таны гэрээт борлуулагч, Bitdefender Mongolia-ийн инженер шийднэ.

getIncidentsByIds аргыг ашиглан инцидентүүдийг ID-аар хэрхэн авах вэ?

Параметрүүд

Ерөнхий параметрүүд

Буцаах утга

Объектууд

result

partOf (Endpoint ба Organization инцидент) ба contains (Organization инцидент)

counters (Endpoint инцидент)

counters (Organization инцидент)

nodes (Endpoint инцидент)

fileProcess (file зангилаа) ба process (registry эсвэл domain зангилаа)

sandbox (file эсвэл process_execution зангилаа)

quarantine (file эсвэл process_execution зангилаа)

file (process_execution зангилаа)

process (process_execution зангилаа)

killProcess (process_execution зангилаа)

registry (registry зангилаа)

domain (domain зангилаа)

file (domain зангилаа)

nodes (Organization инцидент)

details (Organization инцидентийн зангилаа)

alerts (Endpoint инцидент)

details (alerts > resources)

alerts (Organization инцидент)

resources (Organization инцидентийн шилжилт)

details (Organization инцидентийн нөөц)

transitions (Endpoint инцидент)

mitreTags (Endpoint ба Organization инцидент)

subtechniques (mitreTags > techniques)

cves (Organization инцидент)

suspectedActors (Organization инцидент)

incidentEvolution (Endpoint ба Organization инцидент)

Жишээ

`result`

`partOf` (Endpoint ба Organization инцидент) ба `contains` (Organization инцидент)

`counters` (Endpoint инцидент)

`counters` (Organization инцидент)

`nodes` (Endpoint инцидент)

`fileProcess` (`file` зангилаа) ба `process` (`registry` эсвэл `domain` зангилаа)

`sandbox` (`file` эсвэл `process_execution` зангилаа)

`quarantine` (`file` эсвэл `process_execution` зангилаа)

`file` (`process_execution` зангилаа)

`process` (`process_execution` зангилаа)

`killProcess` (`process_execution` зангилаа)

`registry` (`registry` зангилаа)

`domain` (`domain` зангилаа)

`file` (`domain` зангилаа)

`nodes` (Organization инцидент)

`details` (Organization инцидентийн зангилаа)

`alerts` (Endpoint инцидент)

`details` (`alerts` > `resources`)

`alerts` (Organization инцидент)

`resources` (Organization инцидентийн шилжилт)

`details` (Organization инцидентийн нөөц)

`transitions` (Endpoint инцидент)

`mitreTags` (Endpoint ба Organization инцидент)

`subtechniques` (`mitreTags` > `techniques`)

`cves` (Organization инцидент)

`suspectedActors` (Organization инцидент)

`incidentEvolution` (Endpoint ба Organization инцидент)