EDR 事件中的 ConnectWise 与Automate集成 GravityZone

EDR 事件是持续演变的复杂安全事件， Bitdefender 会通过 GravityZone 持续监控、报告并采取处置措施。通常，事件管理涉及 Bitdefender 除 EDR 模块外的多重防护层和技术。

该 Bitdefender 插件将有关 EDR 事件的信息转发至 ConnectWise Automate，采用相同的常规方式。因此，启用 EDR 警报时，您无法单独选择当前和已拦截的威胁，因为某个特定时刻被 Bitdefender 模块拦截的威胁可能是仍在持续中的更大 EDR 事件的一部分。

要启用 端点检测与响应 警报，在 ConnectWise Automate集成中，您需要前往 工具 > Bitdefender GravityZone > 警报设置 并勾选相应复选框。此外，您还可以编辑即将创建的工单的严重性，具体操作将在本文后续部分说明。

有关在 ConnectWise Automate集成中启用警报的详细信息，请参阅 配置集成 .

在 GravityZone 中，每个 EDR 事件根据 EDR 技术提供的参数设有严重级别，该技术由 Bitdefender 开发。创建工单时， Bitdefender 插件默认将严重级别映射至 ConnectWise Automate中的现有分类。

但您可以通过修改严重性分数区间，在 ConnectWise Automate中编辑工单类别。

要更改严重性分数区间，请前往 警报设置 页面，在 端点检测与响应 部分，左右移动滑块或在对应框中输入所需数值。

例如，若将滑块分别移至88和94数值处，则工单严重性类别如下：

这意味着与使用默认 GravityZone 阈值相比，生成的中高严重性工单将减少。

ConnectWise Automate中的工单会在 工单数据 标签页 > 类别 部分显示根据您设置计算的严重性类别。若您已按上述示例修改严重性阈值，工单类别将显示为"低"。 作为参考，您可在

阅读视图 中查看基于默认 Bitdefender 阈值计算的 GravityZone 严重级别。 选项卡。对于严重性评分为62的工单， GravityZone 会将该区域的严重级别标记为"中"。但生成工单时会忽略此严重级别，因为您的自定义设置具有优先权。

Bitdefender 插件会为每个 EDR 事件创建工单。随着事件发展， Bitdefender 插件会相应更新工单，并根据情况修改严重性类别。

在集成 ConnectWise PSA（原 ConnectWise Manage）的环境中， EDR 事件会同时在 ConnectWise Automate和 ConnectWise PSA中生成对应工单。

要生成 ConnectWise PSA工单，您需要在 ConnectWise PSA插件中进行特定配置。具体而言，您需要将 GravityZone 严重级别（低、中、高）映射至 ConnectWise PSA中您所使用的服务板所支持的优先级。

按以下步骤映射严重级别：

ConnectWise PSA的优先级列表中可能包含三个以上的值。 为 GravityZone 严重级别选择特定优先级完全取决于您的偏好。

ConnectWise 工单在 ConnectWise Automate与 ConnectWise PSA中显示的信息与通过Event Push Service API从 GravityZone 接收到的内容一致，具体包括：

随着事件发展，工单会相应更新。后续更新内容会附加到初始数据中，并标明变更的细节（包括严重性变化及 Bitdefender 采取的措施）。各次更新的共同标识是 事件ID ，该标识始终保持不变。

图1. 一个 ConnectWise Automate工单。更新内容显示在初始负载下方。

图2. 一个 ConnectWise PSA工单。更新内容显示在讨论区（该区域可配置）