Skip to main content
FortiSIEM 的 Incident HTTP Notification 会在规则触发事件（Incident）时，以 HTTP(S) POST 发送一份 XML 文档。Flashduty 直接解析这份文档：每个 FortiSIEM Incident 对应一条 Flashduty 告警，New、Update 和 Clear 通知会持续更新并最终恢复这条告警。

​
在 Flashduty On-call

您可通过以下两种方式获取集成推送地址，任选其一即可。

​
使用专属集成

  1. 进入 Flashduty 控制台，选择 协作空间，打开一个协作空间
  2. 选择 配置 → 集成数据 → 专属集成，点击 新增一个集成
  3. 选择 FortiSIEM，点击 保存
  4. 打开生成的集成卡片，复制 推送地址

​
使用共享集成

  1. 进入 Flashduty 控制台，选择 集成中心 → 告警事件
  2. 选择 FortiSIEM，填写集成名称
  3. 配置默认路由并选择协作空间；创建后可在 路由 中增加更多规则
  4. 点击 保存，复制生成的 推送地址

​
在 FortiSIEM 中配置

1

填写 Incident HTTP Notification

  1. 以管理员身份登录 FortiSIEM，进入 ADMIN → Settings → Analytics → Incident Notification
  2. 在 Incident HTTP Notification 区域，将 Flashduty 集成的完整推送地址（含 integration_key 参数）填入 HTTP(S) Server URL
  3. 表单要求 User Name 和 Password 时填写任意占位值即可，Flashduty 通过推送地址中的 integration_key 鉴权，不校验这两个值
  4. 点击 Save
2

了解发送范围

Incident HTTP Notification 是 FortiSIEM 的全局通知通道，按官方文档，规则触发事件时即发送。如只想同步部分事件，请在 Flashduty 侧通过 路由 或 告警处理规则 按 rule_type、severity、organization 等标签筛选。
3

验证生命周期

让一条规则真正触发事件，确认 Flashduty 收到活动告警；再在 FortiSIEM 中清除该事件（或等待其自动清除），确认 Flashduty 上的原告警恢复。表单上的 Test 按钮在官方文档中只用于检查连接，未公开其请求内容；如果它向推送地址发送了请求，该请求可能被当作一条普通事件处理或返回参数错误，请以控制台中的实际结果为准。

​
Alert Key

Flashduty 直接使用 incident 元素的 incidentId 属性作为 Alert Key。FortiSIEM 官方文档将其定义为 “Unique ID of the incident in FortiSIEM”，status 取值为 “New, Update or Clear”，同一个 Incident 的各条通知预期使用同一个 incidentId。XML 结构来自 FortiSIEM 6.7.0 版 Integration API 指南，请在你的 7.x 版本上用第一条真实通知核对下文字段。规则名称、等级、重复次数、发生时间和事件明细的变化都不会改变 Alert Key。 缺少 incidentId 时 Flashduty 会拒绝请求（HTTP 400），因为无法可靠关联后续更新和恢复。

​
状态和告警等级

status 属性： severity 属性接受 HIGH、MEDIUM、LOW，也接受对应的 0-10 数值：

​
标签

包含用户姓名和邮箱的 deviceDetails 不会写入标签。

​
排查问题

  • FortiSIEM 侧推送失败：确认 HTTP(S) Server URL 以 https:// 开头、包含完整的 integration_key，且 FortiSIEM 所在网络可以访问 api.flashcat.cloud
  • Flashduty 返回参数错误：确认发送的是 FortiSIEM 的 Incident XML（根元素为 incident），且带有 incidentId 属性
  • 告警没有恢复：确认该事件已在 FortiSIEM 中被清除，并检查 Flashduty 收到的通知里 status 是否为 Clear
  • 收到的事件过多：Incident HTTP Notification 对所有规则生效，请用 Flashduty 的路由或告警处理规则筛选
  • 测试成功但真实告警没收到：检查是否有规则真正触发了事件，以及 FortiSIEM 是否启用了 Incident HTTP Notification
字段含义请参阅 FortiSIEM 文档中的 Incident Notification 和 Notification via HTTPS。