跳转到主要内容
FortiSIEM 的 Incident HTTP Notification 会在规则触发事件（Incident）时，以 HTTP(S) POST 发送一份 XML 文档。Flashduty 直接解析这份文档：每个 FortiSIEM Incident 对应一条 Flashduty 告警，New、Update 和 Clear 通知会持续更新并最终恢复这条告警。

在 Flashduty On-call

您可通过以下两种方式获取集成推送地址，任选其一即可。

使用专属集成

  1. 进入 Flashduty 控制台，选择 协作空间，打开一个协作空间
  2. 选择 配置 → 集成数据 → 专属集成，点击 新增集成
  3. 选择 FortiSIEM，点击 保存
  4. 打开生成的集成卡片，复制 推送地址

使用共享集成

  1. 进入 Flashduty 控制台，选择 集成中心 → 告警事件
  2. 选择 FortiSIEM，填写集成名称
  3. 配置默认路由并选择协作空间；创建后可在 路由 中增加更多规则
  4. 点击 保存，复制生成的 推送地址

在 FortiSIEM 中配置

1

填写 Incident HTTP Notification

操作路径：FortiSIEM › ADMIN › Settings › Analytics › Incident Notification › Incident HTTP Notification以管理员身份登录 FortiSIEM 后填写，完整推送地址含 integration_key 参数，填完点击 Save。
2

了解发送范围

Incident HTTP Notification 是 FortiSIEM 的全局通知通道，按官方文档，规则触发事件时即发送。如只想同步部分事件，请在 Flashduty 侧通过 路由 或 告警处理规则 按 rule_type、severity、organization 等标签筛选。
3

验证生命周期

让一条规则真正触发事件，确认 Flashduty 收到活动告警；再在 FortiSIEM 中清除该事件（或等待其自动清除），确认 Flashduty 上的原告警恢复。表单上的 Test 按钮在官方文档中只用于检查连接，未公开其请求内容；如果它向推送地址发送了请求，该请求可能被当作一条普通事件处理或返回参数错误，请以控制台中的实际结果为准。 恢复由 FortiSIEM 发出的 Clear 通知触发。

Alert Key

Flashduty 直接使用 incident 元素的 incidentId 属性作为 Alert Key。FortiSIEM 官方文档将其定义为 “Unique ID of the incident in FortiSIEM”，status 取值为 “New, Update or Clear”，同一个 Incident 的各条通知预期使用同一个 incidentId。XML 结构来自 FortiSIEM 6.7.0 版 Integration API 指南，请在您的 7.x 版本上用第一条真实通知核对下文字段。规则名称、等级、重复次数、发生时间和事件明细的变化都不会改变 Alert Key。 缺少 incidentId 时 Flashduty 会拒绝请求（HTTP 400），因为无法可靠关联后续更新和恢复。

状态和告警等级

status 属性： severity 属性接受 HIGH、MEDIUM、LOW，也接受对应的 0-10 数值：

标签

包含用户姓名和邮箱的 deviceDetails 不会写入标签。

排查问题

  • FortiSIEM 侧推送失败：确认 HTTP(S) Server URL 以 https:// 开头、包含完整的 integration_key，且 FortiSIEM 所在网络可以访问 api.flashcat.cloud
  • Flashduty 返回参数错误：确认发送的是 FortiSIEM 的 Incident XML（根元素为 incident），且带有 incidentId 属性
  • 告警没有恢复：确认该事件已在 FortiSIEM 中被清除，并检查 Flashduty 收到的通知里 status 是否为 Clear
  • 收到的事件过多：Incident HTTP Notification 对所有规则生效，请用 Flashduty 的路由或告警处理规则筛选
  • 测试成功但真实告警没收到：检查是否有规则真正触发了事件，以及 FortiSIEM 是否启用了 Incident HTTP Notification
字段含义请参阅 FortiSIEM 文档中的 Incident Notification 和 Notification via HTTPS。