Endpoint Incident: Graph (incident-ийн график)

Graph нь шалгаж буй incident болон түүний нөхцөл байдлыг харилцан үйлчлэлтэй график хэлбэрээр харуулдаг. Incident-ийг эхлүүлэхэд шууд оролцсон элементүүдийн дарааллыг буюу incident-ийн Critical path (чухал зам)-ыг тодруулж, бусад бүх оролцогч элементийг анхнаасаа бүдэгрүүлж харуулна.

Graph-д incident-ийн дүрслэлийг өөрт тохируулан харахад тусалдаг шүүлтүүрүүд, мөн элемент бүрийн талаар нэмэлт мэдээлэл өгдөг дэлгэрэнгүй самбарууд бий. Эдгээр нь таны орчинд юу болсныг шалгахад хялбар болгоно.

Graph-ийн үндсэн хэсгүүд:

1. 1Critical path
2. 2Filters menu
3. 3Navigator menu
4. 4Node details panel
5. 5Search bar

Critical path

Critical path нь сүлжээнд нэвтэрсэн цэгээс эхлээд сэрэмжлүүлэг (alert)-ийг ажиллуулсан event node хүртэлх, хоорондоо холбогдсон аюулгүй байдлын үйл явдлуудын дараалал юм.

Incident-ийн critical path болон түүнд багтах бүх event node график дээр анхнаасаа тодорч харагдана. Trigger node нь бусад элементээс тодорхой ялгарах бөгөөд түүний мэдээллийн самбар incident graph-ийн хажууд автоматаар нээгдэж, trigger node-ийн дэлгэрэнгүйг харуулна.

Дэлгэцийн дүрслэл дээрх тэмдэглэгээ:

1. 1Trigger Node
2. 2Node Details panel (хураах боломжтой мэдээллийн хэсгүүдтэй)
3. 3Incident-д шууд бусаар оролцсон, жижигрүүлсэн node-ууд

Security event nodes

Security event node-ийн талаар мэдэх зүйлс:

• Node бүр шалгаж буй incident-д оролцсон тодорхой нэг элементийг төлөөлнө.

• Critical path-ийг бүрдүүлэх бүх node-ыг incident нээхэд анхнаасаа дэлгэрэнгүй харуулж, бусад элементийг график үл ойлгогдох болохоос сэргийлж бүдэгрүүлнэ.

- Critical path-д ороогүй node дээр хулганаа аваачвал тэр node тодорч, Critical path-ыг таслахгүйгээр гарал үүсэл хүртэлх замыг харуулна.

• Нэг эх (parent) node-оос салаалсан, ижил төрлийн үйлдэлтэй гурав ба түүнээс олон event node-ыг дэлгэж болдог cluster-node болгон бүлэглэнэ.

- Cluster-node хураагдсан үед зөвхөн дэд элементгүй node-ууд incident graph-аас нуугдана.
- Сэжигтэй үйл ажиллагаа илэрсэн node-ыг cluster-node-д нэмэхгүй.

• Node дээр дарахад дараах зүйл гарна:

- Endpoint node болон оролцсон бусад бүх элемент хүртэлх замыг цэнхэрээр тодруулна.
- Сонгосон node-ийн дэлгэрэнгүй мэдээлэл, илэрсэн аюулын сэрэмжлүүлэг, боломжит үйлдэл, зөвлөмжийг агуулсан дэлгэх боломжтой хэсгүүдтэй хажуугийн самбар нээгдэнэ.

• Node-ууд incident үеэр endpoint дээр болсон үйлдлийн явцыг заасан сумтай шугамаар холбогдоно. Шугам бүр дээр үйлдлийн нэр болон хронологийн дугаар бичигдсэн байна.

Incident-ийн дараах элементүүдийг node хэлбэрээр дүрсэлнэ:

• Endpoint — Endpoint-ийн дэлгэрэнгүй мэдээлэл болон patch management-ийн төлвийг харуулна.
• Domain — Domain хост болон түүний endpoint-уудын мэдээллийг харуулна.
• Process — Тухайн incident дэх process-ийн үүрэг, файлын мэдээлэл, process-ийн ажиллалтын дэлгэрэнгүй, сүлжээн дэх оролцоо, цаашид шалгах боломжуудыг харуулна.
• File — Тухайн incident дэх файлын үүрэг, файлын мэдээлэл, сүлжээн дэх оролцоо, цаашид шалгах боломжуудыг харуулна.
• Registry — Registry-ийн мэдээлэл болон эх process-ийн дэлгэрэнгүйг харуулна.

Filters

Filters цэс нь incident graph-ийг бүрэн удирдах боломж олгоно. Элементүүдийг төрөл эсвэл ач холбогдлоор нь тодруулах, эсвэл график нягт, шинжлэхэд хялбар болгохын тулд нуух боломжтой.

Хөвөгч шүүлтүүрийн самбарыг incident graph доторх дурын газар байрлуулахын тулд Drag дүрсийг дарж барьсаар чирнэ.

Элементийн төрлөөр шүүлтүүр сонгоход:

• Incident graph жижиг болж, сонгосон төрлийн бүх элементийг тодруулж, бусад төрлийн элементийг бүдэгрүүлнэ.
• Тодруулсан бүх элементийн жагсаалттай самбар тэр дор нээгдэнэ.

Шүүлтүүрийн сонголтууд:

• Critical path: Compromise-ийн incident-ийн critical path-ыг тодруулна.

• Endpoint: Incident-д өртсөн endpoint-уудыг тодруулна.

• Process: Incident-д оролцсон бүх process төрлийн node-ыг тодруулна.

• File: Incident-д оролцсон file төрлийн node-уудыг тодруулна.

• Domain: Incident-д оролцсон бүх domain төрлийн node-ыг тодруулна.

• Registry: Incident-д оролцсон бүх registry төрлийн node-ыг тодруулна.

• Element relevance: Элементүүдийг incident доторх ач холбогдлоор нь шүүж болно.

- Neutral node (саарал): Аюулгүй байдлын incident-д шууд нөлөөгүй элементүүд.
- Important node (цэнхэр-ногоон): Incident-д ач холбогдолтой үүрэгтэй элементүүд.
- Origin node (ногоон): Сүлжээн доторх incident-ийн эхлэл цэг.
- Suspicious node (улбар шар): Сэжигтэй үйлдэлтэй, incident-д шууд оролцсон элементүүд.
- Malicious node (улаан): Таны сүлжээнд хохирол учруулсан элементүүд.

File, Domain, Registry төрлийн шүүлтүүр дээр хулганаа аваачихад харагдах Show/Hide товчийг дарж зарим элементийг incident graph-аас нууж болно.

Элементийн төрлийг нуувал trigger node болон дэд элементтэй node-уудаас бусад, жижигрүүлсэн байсан ч тухайн төрлийн бүх элементийг хасаж incident graph-ийг дахин зурна.

Navigator

Navigator нь мини-газрын зураг болон өөр өөр түвшний дүрслэлийг ашиглан incident graph дотор хурдан шилжиж, харагдаж буй бүх элементийг судлах боломж олгоно. Navigator анхнаасаа хураастай байдаг. Дэлгэхэд incident-ийн бүх газрын зургийн жижигрүүлсэн хувилбар болон дүрслэлийн түвшинг тохируулах товчнууд гарна.

Хөвөгч navigator самбарыг incident graph доторх дурын газар байрлуулахын тулд Drag дүрсийг дарж барьсаар чирнэ.

Navigator нь Fewer details (Цөөн дэлгэрэнгүй) болон More details (Илүү дэлгэрэнгүй) үйлдлүүдээр incident graph-ийг хэрхэн харахаа тохируулах боломжийг олгоно.

Node details

Node details самбар нь сонгосон node-ийн талаарх дэлгэрэнгүй мэдээллийн дэлгэх боломжтой хэсгүүдийг агуулна. Үүнд incident-ийг сааруулахын тулд хийж болох урьдчилан сэргийлэх эсвэл засах үйлдлүүд, node дээр илэрсэн илрүүлэлт ба alert-ийн төрөл, сүлжээн дэх оролцоо, process-ийн ажиллалтын дэлгэрэнгүй, аюулгүй байдлын үйл явдлыг зохицуулах нэмэлт зөвлөмж, элементийг цааш шалгах үйлдлүүд орно.

Энэ мэдээллийг харж, самбар доторх үйлдлийг хийхийн тулд security event map дээрээс node сонгоно.

1. 1Collapse товчийг дарж Node Details самбарыг хураана.

2. 2Node Details самбар дахь мэдээллээр дөрвөн үндсэн хэсгийн дүрс бүр дээр дарж хялбар шилжинэ:

- ALERTS. Сонгосон node дээр ажилласан нэг буюу хэд хэдэн илрүүлэлтийг харуулна: элементийг incident-д оруулсан Bitdefender технологи, илрүүлэлтийг үүсгэсэн шалтгаан, илрүүлэлтийн нэр, илэрсэн огноо.

- INVESTIGATION. Анхны илрүүлэлтийн огноо болон энэ элемент илэрсэн бүх endpoint-ыг харуулна.

Мөн process болон network node-уудад Live Search руу шууд шилжих товч өгдөг бөгөөд incident-ийн нөхцөлд тохирсон, урьдчилан бөглөсөн query ажиллуулахад бэлэн байна.

EDR process node-ын хувьд холбогдох бүх process instance-ийг хайхын тулд Related processes in Live Search-ийг дарна.

Network node-ын хувьд нөлөөлөгдсөн endpoint-оос эхэлсэн бүх сүлжээний холболтыг шалгахын тулд Related connections in Live Search-ийг дарна.

- REMEDIATION. GravityZone-оос автоматаар хийсэн үйлдлүүд, аюулыг сааруулахын тулд та шууд хийж болох үйлдлүүд, мөн сонгосон node дээр илэрсэн alert бүрт incident-ийг сааруулж, орчныхоо аюулгүй байдлын түвшинг нэмэгдүүлэхэд туслах дэлгэрэнгүй зөвлөмжийг харуулна.

- INFO. Файл бүрийн ерөнхий мэдээлэл болон сонгосон node-ийн төрлөөс хамаарсан тусгай мэдээллийг харуулна.

3. 3Node Details самбарыг дэлгэцийн төв рүү чирж, агуулгыг нь тав тухтай үзэж болно.

Endpoint node-ийн дэлгэрэнгүй самбар

Endpoint-ийн дэлгэрэнгүй самбар хоёр хэсэгтэй:

• REMEDIATION. GravityZone-оос аюулыг сааруулахаар автоматаар хийсэн үйлдлүүд болон таны хийж болох үйлдлүүдийг харуулна.

> Тэмдэглэл: Таны хийж болох үйлдлийн хүрээ одоогийн багцад багтсан лицензээс хамаарч өөр өөр байж болно.

- Isolate Host - Endpoint-ийг сүлжээнээс тусгаарлахад хэрэглэнэ.

- Install patches - Зорилтот endpoint дээр дутуу байгаа аюулгүй байдлын patch-ыг суулгахад хэрэглэнэ. Энэ сонголт зөвхөн Patch Management модультай үед харагдана. Энэ нь тусдаа лицензийн түлхүүртэй нэмэлт модуль юм. Дэлгэрэнгүйг Patch Install-аас үзнэ үү.

- Remote Shell - Incident-д оролцсон endpoint дээр Remote shell session эхлүүлж, үйлдлийн систем дээр нь шалгах shell командуудыг шууд ажиллуулан аюулыг даруй сааруулах, эсвэл цаашдын шалгалтад зориулж forensic өгөгдөл цуглуулахад хэрэглэнэ.

> Тэмдэглэл: Энэ сонголт зөвхөн Remote Shell боломж орсон лицензтэй хэрэглэгчдэд харагдана.

- Collect Investigation Package - Endpoint-оос forensic өгөгдөл цуглуулж эхлэхэд хэрэглэнэ.

• DEVICE INFO. Нөлөөлөгдсөн endpoint-ийн ерөнхий мэдээллийг харуулна: endpoint-ийн нэр, IP хаяг, үйлдлийн систем, харьяалагдах бүлэг, төлөв, идэвхтэй policy-ууд, мөн endpoint-ийн бүрэн мэдээллийг шинэ цонхонд нээх холбоос.

Мөн суулгасан patch-ийн тоо, амжилтгүй болсон patch-ийн тоо, дутуу байгаа аюулгүй байдлын болон аюулгүй байдлын бус patch-уудын талаарх мэдээллийг өгнө. Нэмж endpoint-ийн patch-ийн төлвийн тайлан гаргаж болно. Энэ хэсгийг зорилтот endpoint-д хүсэлтээр (on demand) гаргана.

Самбар доторх дараах үйлдлүүдийг хийж болно:

- Зорилтот endpoint-ийн patch-ийн мэдээллийг харах. Patch-ийн дэлгэрэнгүйг харахын тулд Refresh товчийг дарна.
- Зорилтот endpoint-ийн patch-ийн төлвийн тайланг харах. Тайланг гаргахын тулд View endpoint patch status report товчийг дарна.

Process node-ийн дэлгэрэнгүй самбар

Process node-ийн дэлгэрэнгүй самбар дөрвөн хэсэгтэй:

• ALERTS. Сонгосон node дээр ажилласан нэг буюу хэд хэдэн илрүүлэлтийг харуулна: энэ entity-г incident-д оруулсан Bitdefender технологи, илрүүлэлтийг үүсгэсэн шалтгаан, илрүүлэлтийн нэр, илэрсэн огноо. Alert бүрийн тайлбар MITRE-ийн хамгийн сүүлийн стандартыг дагана.

• INVESTIGATION. Анхны илрүүлэлтийн огноо болон энэ аюул илэрсэн бүх endpoint-ыг харуулна.

Энэ жагсаалтыг харахын тулд endpoints талбар дахь тоог дарахад шинэ цонх нээгдэнэ.

Мөн энэ хэсэг нь дотоод бүрэлдэхүүн болон гуравдагч талын шийдлүүдээр дамжуулан гадаад шинжилгээ хийх боломж олгоно.

Дараах үйлдлүүд байна:

- Add to Sandbox - Sandbox Analyzer-ийн тайлан үүсгэхэд хэрэглэнэ.

Add to Sandbox-ийг сонговол файл илгээхийг баталгаажуулах цонх гарна.

Баталгаажуулсны дараа та илгээлтийн дэлгэц рүү автоматаар шилжинэ.

Шинжилгээ дууссан үед View Sandbox Analyzer Report товчийг дарж бүрэн тайланг нээнэ.

- VirusTotal - Файлыг гадаад шинжилгээнд илгээхэд хэрэглэнэ.

- Google - Файлын hash утгыг интернетээс хайхад хэрэглэнэ.

• REMEDIATION. GravityZone-оос аюулыг сааруулахаар автоматаар хийсэн үйлдлүүд болон таны хийж болох үйлдлүүдийг харуулна.

> Тэмдэглэл: Таны хийж болох үйлдлийн хүрээ одоогийн багцад багтсан лицензээс хамаарч өөр өөр байж болно.

- Kill - Process-ийн ажиллалтыг зогсооно. Энэ үйлдэл process execution bar-т харагдах kill process даалгавар үүсгэнэ. System32 болон Bitdefender-ийн process-ууд энэ үйлдлээс чөлөөлөгдсөн.

- Quarantine file - Тухайн зүйлийг хадгалж, ачааллаа (payload) ажиллуулахаас сэргийлнэ. Энэ үйлдэл зорилтот endpoint дээр Firewall модуль суулгасан байхыг шаардана.

- Add file to Blocklist - Хориглосон зүйлсийг Blocklist хуудаснаас удирдана.

- Add file as exception - Тодорхой policy дээр хууль ёсны үйл ажиллагааг хасахад хэрэглэнэ. Энэ үйлдлийг сонговол exception нэмэх policy-гоо сонгох тохиргооны цонх гарна. Exclusion-ыг Policies > Antimalware > Settings хэсгээс удирдана.

- Add as EDR Exclusion - Энэ incident элементийг сэжигтэй эсвэл хортой EDR илрүүлэлт гэж үзэхээ болиулах өөрийн дүрэм үүсгэхэд хэрэглэнэ.

1. Add as EDR Exclusion товчийг дарахад шинэ цонх гарч үйлдлийг баталгаажуулах эсвэл цуцлахыг хүснэ.
2. Баталгаажуулсны дараа GravityZone шинэ дүрэм Custom exclusion rules хэсэгт бэлэн болсныг мэдэгдэнэ. Incident graph-аас үүсгэсэн бүх дүрмийн нэр incident-ийн дугаараар эхэлдгийг анхаарна уу.

Дүрмийг засахаар дэлгэрэнгүй рүү орвол энэ дүрмийн бүх шалгуур автоматаар бөглөгдсөн, мөн alert-ийн нэртэй, зөвхөн унших (read-only) шалгуур нэмэгдсэн байгааг харна.

> Анхааруулга: Add as EDR Exclusion үйлдэл зөвхөн дараах тохиолдолд боломжтой: сэжигтэй болон хортой node-ууд; өөр process node-оос үүссэн node-ууд; EDR correlation engine-ээр үүссэн alert-ууд.
>
> - Хасагдсан incident элемент нь incident-ийн critical path-ийн нэг хэсэг бол энэ exclusion шалгуурт таарах цаашдын incident-ууд Incidents grid-д үүсэхээ болино. Харин тэдгээрийг бүрдүүлэх event-үүдийг Searching security events хуудаснаас харж, шинжилсээр байх боломжтой.
> - Хасагдсан incident элемент нь critical path-ийн нэг хэсэг биш бол энэ exclusion шалгуурт таарах цаашдын incident-ууд Incidents grid-д үргэлжлэн үүснэ, гэхдээ энэ элементийг сэжигтэй эсвэл хортой гэж тооцохгүй.

Энэ хэсэг мөн сонгосон node дээр илэрсэн alert бүрт incident-ийг сааруулж, орчныхоо аюулгүй байдлын түвшинг нэмэгдүүлэхэд туслах дэлгэрэнгүй зөвлөмжийг өгнө.

• PROCESS INFO. Сонгосон process node-ийн дэлгэрэнгүйг харуулна: process-ийн нэр, ажиллуулсан командын мөр, хэрэглэгч, ажилласан хугацаа, файлын гарал үүсэл ба зам, hash утга, дижитал гарын үсэг.

Энэ хэсэгт Hash талбар доторх боломжит hash алгоритмуудыг дарж зүйлийн hash утгыг clipboard руу хуулах, мөн Blocklist-д нэмэх боломжтой.

> Тэмдэглэл: Дэлгэрэнгүйг Blocklisting files-аас үзнэ үү.

File node-ийн дэлгэрэнгүй самбар

File node-ийн дэлгэрэнгүй самбар дөрвөн хэсэгтэй:

• ALERTS. Сонгосон node дээр ажилласан нэг буюу хэд хэдэн илрүүлэлтийг харуулна: энэ entity-г incident-д оруулсан Bitdefender технологи, илрүүлэлтийг үүсгэсэн шалтгаан, илрүүлэлтийн нэр, илэрсэн огноо. Alert бүрийн тайлбар MITRE-ийн хамгийн сүүлийн стандартыг дагана. Сонгосон node дээр илэрсэн alert бүрт incident-ийг сааруулж, аюулгүй байдлын түвшнийг нэмэгдүүлэхэд туслах дэлгэрэнгүй зөвлөмж байна.

• INVESTIGATION. Анхны илрүүлэлтийн огноо болон энэ элемент илэрсэн бүх endpoint-ыг харуулна.

Энэ жагсаалтыг харахын тулд endpoints талбар дахь тоог дарахад шинэ цонх нээгдэнэ.

Мөн энэ хэсэг нь дотоод бүрэлдэхүүн болон гуравдагч талын шийдлүүдээр дамжуулан гадаад шинжилгээ хийх боломж олгоно.

Дараах үйлдлүүд байна:

- Add to Sandbox - Sandbox Analyzer-ийн тайлан үүсгэхэд хэрэглэнэ.

Add to Sandbox-ийг сонговол файл илгээхийг баталгаажуулах цонх гарна.

Баталгаажуулсны дараа та илгээлтийн дэлгэц рүү автоматаар шилжинэ.

Шинжилгээ дууссан үед View Sandbox Analyzer Report товчийг дарж бүрэн тайланг нээнэ.

- VirusTotal - Файлыг гадаад шинжилгээнд илгээхэд хэрэглэнэ.

- Google - Файлын hash утгыг интернетээс хайхад хэрэглэнэ.

• REMEDIATION. GravityZone-оос аюулыг сааруулахаар автоматаар хийсэн үйлдлүүд болон таны хийж болох үйлдлүүдийг харуулна.

> Тэмдэглэл: Таны хийж болох үйлдлийн хүрээ одоогийн багцад багтсан лицензээс хамаарч өөр өөр байж болно.

- Quarantine file - Тухайн зүйлийг хадгалж, ачааллаа (payload) ажиллуулахаас сэргийлнэ. Энэ үйлдэл зорилтот endpoint дээр Firewall модуль суулгасан байхыг шаардана.

- Add file to Blocklist - Хориглосон зүйлсийг Blocklist хуудаснаас удирдана.

- Add file as exception - Тодорхой policy дээр хууль ёсны үйл ажиллагааг хасахад хэрэглэнэ. Энэ үйлдлийг сонговол exception нэмэх policy-гоо сонгох тохиргооны цонх гарна. Exclusion-ыг Policies > Antimalware > Settings хэсгээс удирдана.

- Add as EDR Exclusion - Энэ incident элементийг сэжигтэй эсвэл хортой EDR илрүүлэлт гэж үзэхээ болиулах өөрийн дүрэм үүсгэхэд хэрэглэнэ.

1. Add as EDR Exclusion товчийг дарахад шинэ цонх гарч үйлдлийг баталгаажуулах эсвэл цуцлахыг хүснэ.
2. Баталгаажуулсны дараа GravityZone шинэ дүрэм Custom exclusion rules хэсэгт бэлэн болсныг мэдэгдэнэ. Incident graph-аас үүсгэсэн бүх дүрмийн нэр incident-ийн дугаараар эхэлдгийг анхаарна уу.

Дүрмийг засахаар дэлгэрэнгүй рүү орвол энэ дүрмийн бүх шалгуур автоматаар бөглөгдсөн, мөн alert-ийн нэртэй, зөвхөн унших (read-only) шалгуур нэмэгдсэн байгааг харна.

> Анхааруулга: Add as EDR Exclusion үйлдэл зөвхөн дараах тохиолдолд боломжтой: сэжигтэй болон хортой node-ууд; өөр process node-оос үүссэн node-ууд; EDR correlation engine-ээр үүссэн alert-ууд.
>
> - Хасагдсан incident элемент нь incident-ийн critical path-ийн нэг хэсэг бол энэ exclusion шалгуурт таарах цаашдын incident-ууд Incidents grid-д үүсэхээ болино. Харин тэдгээрийг бүрдүүлэх event-үүдийг Searching security events хуудаснаас харж, шинжилсээр байх боломжтой.
> - Хасагдсан incident элемент нь critical path-ийн нэг хэсэг биш бол энэ exclusion шалгуурт таарах цаашдын incident-ууд Incidents grid-д үргэлжлэн үүснэ, гэхдээ энэ элементийг сэжигтэй эсвэл хортой гэж тооцохгүй.

• FILE INFO. Сонгосон file node-ийн дэлгэрэнгүйг харуулна: файлын гарал үүсэл ба зам, hash утга, дижитал гарын үсэг.

Энэ хэсэгт Hash талбар доторх боломжит hash алгоритмуудыг дарж зүйлийн hash утгыг clipboard руу хуулах, мөн Blocklist-д нэмэх боломжтой.

> Тэмдэглэл: Дэлгэрэнгүйг Blocklisting files-аас үзнэ үү.

Registry node-ийн дэлгэрэнгүй самбар

Registry node-ийн дэлгэрэнгүй самбар гурван хэсэгтэй:

• ALERTS. Registry-г өөрчилсөн үйлдлийн ноцтой байдал (энэ entity-г incident-д оруулсан Bitdefender технологиор тэмдэглэсэн), илрүүлэлтийг үүсгэсэн шалтгаан, илэрсэн огноо, registry-ийн төрлийг харуулна.

• REMEDIATION. GravityZone-оос автоматаар хийсэн үйлдлүүдийг харуулна.

> Тэмдэглэл: Registry node-ийн REMEDIATION хэсэгт хэрэглэгчийн хийх үйлдлийн сонголт байхгүй.

• REGISTRY INFO. Сонгосон registry node-ийн дэлгэрэнгүйг харуулна: registry key, value болон data.

Шинжилгээнд ашиглахын тулд registry key болон value дээр дарж clipboard руу хуулж болно.

Search bar

Search bar хоёр үүрэгтэй:

• Search nodes. Нэмэгдүүлэгч шилний дүрсийг дарахад хайлтын мөр дэлгэгдэж, graph дотроос тодорхой node хайхын тулд мэдээлэл оруулах боломжтой болно.
• Incident trigger. Alert-ийг үүсгэсэн node руу шууд холбоос.