ExtraHop 告警集成

通过 ExtraHop Reveal(x) 的检测通知规则（Detection Notification Rule）中的 Custom Webhook，将安全检测和性能检测同步到 Flashduty On-call。Flashduty 用检测的 id 作为 Alert Key，同一个检测的多次更新合并为同一条告警。 ExtraHop 的文档没有说明检测被关闭或解决时会发送通知，所以 Flashduty 不会自动恢复这些告警。请开启协作空间的超时自动关闭（见下文检测与恢复），或在处理完成后手动关闭。

在 ExtraHop 中配置

需要 NDR 或 NPM 模块权限，并拥有完全写入（full write）及以上权限。Webhook 通过 TCP 443（HTTPS）发送，ExtraHop 需要能访问 Flashduty 推送地址。

在 ExtraHop 中创建通知规则

操作路径：ExtraHop（https://<extrahop 主机名或 IP>） › System Settings › Notification Rules › Create

字段	填写
规则类型（必填）	NDR 模块选择 Security Detection，NPM 模块选择 Performance Detection
规则名称（必填）	自定义名称
Criteria（可选）	触发通知的条件，例如 Minimum Risk Score、Category、Site

配置 Custom Webhook

操作路径：ExtraHop › System Settings › Notification Rules

字段	填写
Target（必填）	`Custom Webhook`
Payload URL（必填）	`{integration_url}`。认证依靠该地址中的 `integration_key`，Show Advanced Connection Options 中的自定义请求头和 Basic、Bearer 认证都可以留空
Notification Behavior（必填）	`Send for every detection update`
Payload Options（必填）	`Default payload`。默认 payload 包含 `id`、`title`、`type`、`description`、`url`、`risk_score`、`src`、`dst` 等字段，Flashduty 直接识别

点击 Save。如果选择 Send once per detection，ExtraHop 要求使用自定义 payload。请在建议的 JSON 基础上加入检测 ID，Flashduty 才能识别（缺少 id 的请求会被拒绝）；risk_score 和 site 可选，用于告警等级和标签：

{
    "id": {{ id }},
    "title": "{{ title }}",
    "type": "{{ type }}",
    "url": "{{ url }}",
    "description": "{{ description }}",
    "risk_score": {{ risk_score }},
    "site": "{{ site }}",
    "categories_string": "{{ categories_string }}",
    "victim_primary": {{ victim_primary | safe }},
    "offender_primary": {{ offender_primary | safe }}
}

测试连接并验证

操作路径：ExtraHop › System Settings › Notification Rules点击 Test Connection，ExtraHop 会向 Payload URL 发送一条标题为 Test Notification 的消息。ExtraHop 文档没有说明该消息的内容，Flashduty 没有为它做专门处理，缺少检测 id 的测试消息会返回参数错误，这只说明地址可达，不代表配置有误，也不能作为验证通过的依据。等待一个满足条件的检测产生，确认 Flashduty 收到告警。检测没有恢复通知，告警不会自动恢复，见下文「检测与恢复」。几秒后回到 Flashduty，集成显示 最新事件时间，说明配置成功。

Alert Key

Flashduty 使用 id（ExtraHop 文档定义为 “The unique identifier for the detection”）作为 Alert Key。同一个检测每次更新推送的 id 相同，会合并到同一条告警；标题、描述、风险分和时间变化不会改变 Alert Key。缺少 id 的请求会被拒绝。

检测与恢复

ExtraHop 的检测通知只有”创建”和”更新”两种情形，文档没有描述检测关闭或解决时的通知。Flashduty 收到的每条通知都是触发状态，不会自动恢复。请在协作空间中开启超时自动关闭，建议 24 小时；也可以在检测处理完成后手动关闭告警。

状态和告警等级

告警等级取自 risk_score，分段与 ExtraHop 控制台的颜色一致：

risk_score	Flashduty 等级
80 及以上（红色）	Critical
31–79（橙色）	Warning
1–30（黄色）	Info
缺失、0 或非数字（性能检测没有风险分）	Warning

标签	来源
`source`	固定为 `extrahop`
`detection_id`	`id`
`detection_type`	`type`
`detection_url`	`url`
`risk_score`	`risk_score`
`site`	`site`
`category`	`categories_string`
`src_host` / `src_ip`	`src.hostname` / `src.ipaddr`
`dst_host` / `dst_ip`	`dst.hostname` / `dst.ipaddr`
`offender` / `victim`	`offender_primary`、`victim_primary` 的名称，没有名称时取 IP

告警标题取自 title，为空时依次取 type 和 ExtraHop detection <id>。描述为检测描述加上检测详情链接。

排查问题

Flashduty 返回参数错误：确认 URL 完整且包含 integration_key，并且 payload 中有 id
告警一直未关闭：ExtraHop 没有恢复通知，请开启协作空间的超时自动关闭，或手动关闭
同一个检测收到多次通知：选择 Send for every detection update 时，检测每次更新都会推送，这些通知合并到同一条 Flashduty 告警；不需要更新通知时选择 Send once per detection

更多字段含义请参阅 ExtraHop 检测通知规则文档。

快速开始

产品对比

协作空间

故障管理

故障复盘

状态页

分析看板

集成配置

配置中心

高级功能

集成中心

最佳实践

在 Flashduty On-call

使用专属集成

使用共享集成

在 ExtraHop 中配置

Alert Key

检测与恢复

状态和告警等级

标签

排查问题