IBM QRadar 告警集成

IBM QRadar 的规则触发后可以执行邮件响应，并且邮件的主题和正文可以通过 alert-config.xml 中的模板自定义。Flashduty 的邮件集成可以接收这些邮件，并按规则从邮件标题提取 Alert Key，因此不需要单独的 QRadar 集成：在 Flashduty 创建邮件集成，把它的邮件地址加到 QRadar 规则的邮件响应收件人里，再按下文自定义邮件模板并配置推送规则。

在 QRadar 中配置

规则的邮件响应使用 alert-config.xml 里的事件或流量（event / flow）模板。QRadar 官方文档说明了修改方法，见 Configuring event and flow custom email notifications。下面是让邮件适配 Flashduty 规则的最小改动。

编辑邮件模板

用 root 通过 SSH 登录 QRadar Console，把 custom_alerts 目录复制到一个临时目录，编辑其中的 alert-config.xml：

cp /store/configservices/staging/globalconfig/templates/custom_alerts/*.* <directory_name>

如果该目录下没有这些文件，可以到 /opt/qradar/conf/templates/custom_alerts 找。在 <template> 中使用下面的写法（事件模板）：

<template>
  <templatename>Flashduty event</templatename>
  <templatetype>event</templatetype>
  <active>true</active>
  <filename></filename>
  <subject>[QRadar] ${RuleName} from ${SourceIP}</subject>
  <body>
     Rule Name:          ${RuleName}
     Rule Description:   ${RuleDescription}
     Time:               ${StartTime}
     Source IP:          ${SourceIP}
     Destination IP:     ${DestinationIP}
     Event Name:         ${EventName}
     Category:           ${Category}
     Log Source:         ${LogSourceName}
  </body>
  <from></from>
  <to></to>
  <cc></cc>
  <bcc></bcc>
</template>

标题以 [QRadar] 开头，后面是规则名和来源 IP，规则据此提取 Alert Key。同一条规则、同一个来源 IP 的多封邮件合并到同一条 Flashduty 告警
必须保留 <active>true</active>，且 <filename> 留空；${...} 参数取自官方文档列出的 Common 和 Event 参数
如果规则同时监控流量，再按同样格式增加一个 <templatetype>flow</templatetype> 的模板，主题也写成 [QRadar] ${RuleName} from ${SourceIP}

验证并部署

/opt/qradar/bin/runCustAlertValidator.sh <directory_name>

看到 File alert-config.xml was deployed successfully to staging! 后，登录 QRadar，进入 Admin → Advanced → Deploy Full Configuration。

在规则中发送邮件

在需要通知的 QRadar 规则的响应里启用邮件通知，收件人填 Flashduty 邮件集成的地址，并确认邮件使用了上面新增的模板（<active> 为 true 的模板会作为可选项出现在 QRadar 中）。

在 Flashduty 中配置推送规则

QRadar 的规则邮件没有恢复邮件，一封邮件对应一次规则触发。因此只需要一条触发规则，Alert Key 从邮件标题提取「规则名 + 来源 IP」。

推送模式 选择 根据规则触发或关闭告警
添加下面 1 条规则：条件是 邮件标题 匹配给出的正则，Alert Key 提取自 邮件标题
默认规则 选择：如果以上规则均不满足，则 丢弃该邮件

规则 1：触发告警

条件：邮件标题 匹配 /^\[QRadar\] /
正则表达式：/^\[QRadar\] (.+)$/

默认规则选丢弃，是为了让不带 [QRadar] 前缀的邮件（例如系统通知）不生成告警。

恢复与去重

QRadar 规则响应不会在条件恢复时再发邮件，Flashduty 不会自动关闭这些告警。请在接收该集成的协作空间开启超时自动关闭，建议 24 小时；也可以处理完成后手动关闭。
同一规则、同一来源 IP 再次触发时，标题相同，Alert Key 相同，Flashduty 更新同一条告警。想按目的 IP 或用户区分，就把对应参数（如 ${DestinationIP}、${UserName}）加进 <subject>。
告警在 Flashduty 中显示的集成类型是邮件 Email；严重程度统一为 Warning，可以通过告警处理 Pipeline 调整。
邮件正文超过 128 KB 会被截断，附件会被丢弃，详情见邮件集成。

排查问题

没有收到告警：确认已执行 Deploy Full Configuration，规则的邮件响应使用了新模板，QRadar 邮件服务器能把邮件发到 Flashduty 邮件地址
告警都被丢弃：邮件标题不以 [QRadar] 开头，说明规则没有使用新模板；用一封实际收到的邮件核对标题
告警数量太多：在 <subject> 中只保留规则名，让同一规则的告警合并

快速开始

产品对比

协作空间

故障管理

故障复盘

状态页

分析看板

集成配置

配置中心

高级功能

集成中心

最佳实践

在 Flashduty On-call

使用专属集成

使用共享集成

在 QRadar 中配置

在 Flashduty 中配置推送规则

恢复与去重

排查问题

​在 Flashduty On-call

​使用专属集成

​使用共享集成

​在 QRadar 中配置

​在 Flashduty 中配置推送规则

​恢复与去重

​排查问题

在 Flashduty On-call

使用专属集成

使用共享集成

在 QRadar 中配置

在 Flashduty 中配置推送规则

恢复与去重

排查问题