Integracja łączy te środowiska poprzez Microsoft Power Automate. Sycope przesyła dane alertu do webhooka, Power Automate przetwarza otrzymane informacje i publikuje je na wybranym kanale Teams jako Adaptive Card.
Powiadomienie może zawierać nazwę alertu, severity, typ reguły, timestamp, threshold level, Client IP i Server IP, a także bezpośredni link do odpowiadającego alertu w Sycope. Sposób prezentacji może również dynamicznie zmieniać się w zależności od severity alertu, dzięki czemu zdarzenia o wyższym priorytecie są łatwiejsze do zidentyfikowania na kanale.
Table of Contents
Od alertu Sycope do kanału Teams
Alerty mogą być przesyłane do Microsoft Teams ręcznie lub automatycznie.
Analityk może wybrać aktywny alert w Sycope i wysłać go poprzez skonfigurowany REST Client. W przypadku powtarzalnych workflow operacyjnych ta sama integracja może zostać przypisana bezpośrednio do reguły Sycope, a wybrane threshold levels określają, kiedy external action powinna zostać wykonana.
Sycope przesyła dane alertu jako JSON do webhooka utworzonego w Power Automate. Flow parsuje otrzymane informacje i wykorzystuje je do wypełnienia Adaptive Card, która jest publikowana na odpowiednim kanale Teams.
Karta dostarcza zespołowi najważniejsze informacje potrzebne do wstępnej oceny, bez próby odtwarzania pełnego widoku analitycznego Sycope wewnątrz Teams.
Przycisk View in Sycope prowadzi bezpośrednio do odpowiedniego alertu. Integrację można również skonfigurować z linkami do innych dashboardów Sycope lub z wieloma przyciskami, jeśli dla konkretnego workflow przydatne są różne ścieżki analizy.
Uzupełniające się możliwości, z jasno określonym podziałem ról
Sycope i Microsoft Teams pozostają niezależnymi platformami i odpowiadają za różne części procesu operacyjnego.
Sycope zapewnia:
- Analizę sieci opartą na flow data
- Monitoring wydajności sieci
- Wykrywanie anomalii i zagrożeń sieciowych
- Predefiniowane i niestandardowe reguły alertowania
- Historyczne dane o komunikacji sieciowej
- Dashboardy i kontekst analityczny
- Szczegółowe informacje do dalszej analizy
Microsoft Teams zapewnia:
- Kanały komunikacji zespołowej
- Współdzielone przestrzenie robocze dla zespołów operacyjnych
- Powiadomienia dostarczane poprzez Power Automate
- Adaptive Cards do ustrukturyzowanej prezentacji alertów
- Komunikację i współpracę wokół zdarzeń operacyjnych
Sycope pozostaje odpowiedzialne za monitoring, detekcję i analizę. Teams zapewnia dodatkową warstwę komunikacji, w której wybrane zdarzenia mogą zostać przekazane osobom odpowiedzialnym za reakcję.
Kontekst alertu dostępny w Teams
Adaptive Card udostępniona w repozytorium integracji Sycope wykorzystuje informacje otrzymywane bezpośrednio z alertu Sycope.
Przykład zawiera nazwę alertu, severity, typ reguły, timestamp, threshold level, Client IP i Server IP. Bezpośredni link łączy powiadomienie z odpowiadającym mu widokiem alertu w Sycope.
Logika Power Automate może również zmieniać wygląd karty w zależności od severity. W dostarczonej konfiguracji alerty Critical i High wykorzystują styl attention, alerty Medium styl warning, natomiast informacje o niższym severity mogą być prezentowane w inny sposób. Severity jest również przedstawione w treści samej karty.
Pomaga to zespołom rozróżniać zdarzenia o wyższym priorytecie, gdy na tym samym kanale pojawia się wiele powiadomień.
Adaptive Card może zostać zmodyfikowana, jeśli dla konkretnego zespołu bardziej odpowiedni jest inny zestaw pól alertu, labels lub elementów wizualnych.
Włączenie wybranych alertów do workflow operacyjnego
Integracja jest najbardziej użyteczna, gdy Teams pełni rolę warstwy powiadomień i koordynacji, a nie kolejnej konsoli monitoringowej.
Powiadomienia dla kanałów NOC i SOC
Różne reguły Sycope mogą zostać powiązane z external actions zgodnie z ich znaczeniem operacyjnym.
Kanał NOC może otrzymywać wybrane zdarzenia dotyczące wydajności sieci, natomiast kanał przeznaczony dla SOC może być wykorzystywany do alertów bezpieczeństwa i anomalii. Threshold levels określają, które wystąpienia powinny generować zewnętrzne powiadomienie.
Pozwala to zespołom utrzymać feed Teams skoncentrowany na zdarzeniach wymagających uwagi, zamiast przesyłać każdy alert generowany przez Sycope.
Wstępna ocena bez otwierania kolejnego narzędzia
Adaptive Card dostarcza wystarczająco dużo informacji, aby zrozumieć charakter zdarzenia przed rozpoczęciem pogłębionej analizy.
Severity alertu, informacje o regule, czas oraz Client i Server uczestniczące w zdarzeniu mogą pomóc inżynierowi ocenić, czy zdarzenie wymaga natychmiastowej uwagi, i zidentyfikować systemy, których dotyczy.
Gdy potrzebny jest dodatkowy kontekst, użytkownik może otworzyć odpowiadający alert Sycope bezpośrednio z karty.
Koordynacja zespołu wokół zdarzenia
Gdy alert pojawi się w Teams, odpowiedzialny zespół może omówić go, wykorzystując workflow komunikacyjny już funkcjonujący na danym kanale.
Powiadomienie staje się wspólnym punktem odniesienia przy koordynowaniu ownership i kolejnych działań, podczas gdy szczegółowa analiza jest kontynuowana w Sycope.
Taki podział pozwala zachować współpracę w Teams bez przenoszenia bazowego procesu monitoringu i analizy poza Sycope.
Gotowa i udokumentowana integracja
Integracja Microsoft Teams jest dostępna w publicznym repozytorium GitHub Sycope.
Repozytorium zawiera instrukcję konfiguracji krok po kroku oraz gotowy do użycia plik adaptivecard.json dla powiadomień Teams.
Udokumentowana konfiguracja została zweryfikowana z:
- Sycope 3.2 lub nowszym
- Microsoft 365 Business Basic lub wyższym
Integracja wykorzystuje Microsoft Power Automate do odebrania webhooka Sycope, sparsowania payloadu alertu i opublikowania wynikowej Adaptive Card w Teams.
Microsoft rekomenduje obecnie również podejście Workflows do odbierania requestów webhook w Teams. Workflows są obsługiwane przez Power Automate i mogą przetworzyć przychodzący request HTTP przed opublikowaniem wiadomości lub Adaptive Card na kanale lub czacie.
Jak działa integracja
Integracja składa się z czterech głównych elementów.
1. Kanał Teams i webhook Power Automate
Wybierany jest Team i kanał, który powinien otrzymywać powiadomienia Sycope.
Następnie tworzony jest Power Automate flow wykorzystujący oparty na webhooku Teams workflow. Flow generuje endpoint HTTP, który może odbierać requesty z systemu zewnętrznego.
Dostęp do webhooka może być również ograniczony do wybranych kont zgodnie z wymaganiami organizacji.
2. External Destination w Sycope
Webhook Power Automate jest konfigurowany w Sycope w sekcji External Destinations z wykorzystaniem REST Client.
Sycope przesyła informacje o alercie do webhooka za pomocą requestu HTTP POST.
Konfiguracja zawiera endpoint Power Automate oraz wymagane query parameters.
3. Parsowanie alertu i Adaptive Card
Power Automate odbiera alert JSON wygenerowany przez Sycope i parsuje jego strukturę.
Sparsowane wartości są następnie wykorzystywane do wypełnienia Adaptive Card dostarczonej w repozytorium integracji Sycope.
Karta dynamicznie wyświetla takie informacje jak severity, threshold, czas, Client IP i Server IP. Power Automate expressions mogą również dostosowywać elementy wizualne do wartości otrzymanych w alercie.
Flow dodatkowo tworzy URL zawierający ID alertu Sycope. URL ten jest przypisywany do przycisku View in Sycope, dzięki czemu użytkownik może przejść bezpośrednio z Teams do odpowiedniego alertu.
4. Ręczne lub automatyczne przesyłanie alertów
Integracja może być używana ręcznie z context menu lub skonfigurowana jako akcja w ramach reguły Sycope.
W przypadku automatycznego przesyłania administratorzy wybierają akcję Third-party system REST, skonfigurowany external destination oraz threshold levels, które powinny uruchamiać powiadomienie.
Po spełnieniu tych warunków nowe alerty są automatycznie publikowane na wybranym kanale Teams.
Od detekcji do reakcji zespołu
Rozważmy regułę Sycope, która wykrywa aktywność sieciową wymagającą uwagi operacyjnej.
Gdy reguła osiągnie jeden ze skonfigurowanych threshold levels, Sycope przesyła dane alertu do webhooka Power Automate.
Flow parsuje alert i tworzy Adaptive Card zawierającą nazwę zdarzenia, severity, informacje o czasie oraz adresy Client IP i Server IP uczestniczące w zdarzeniu. Karta jest publikowana na wybranym kanale Microsoft Teams, a jej wygląd odzwierciedla severity zdarzenia.
Zespół może wykorzystać te informacje do wstępnej oceny i skoordynować kolejne działania na kanale.
Gdy inżynier potrzebuje dokładniej przeanalizować aktywność sieciową, przycisk View in Sycope otwiera odpowiadający alert w Sycope, gdzie analiza jest kontynuowana z wykorzystaniem dostępnej historii ruchu, dashboardów i kontekstu analitycznego.
Pozwala to zachować detekcję i analizę sieciową w Sycope, jednocześnie udostępniając wybrane alerty bezpośrednio w istniejącym workflow komunikacyjnym zespołu.
Integracja Microsoft Teams z Sycope
Integracja Sycope–Microsoft Teams łączy monitoring sieciowy z istniejącym workflow komunikacji zespołowej.
Wybrane alerty sieciowe, wydajnościowe i bezpieczeństwa mogą być automatycznie dostarczane jako ustrukturyzowane Adaptive Cards, wizualnie priorytetyzowane według severity i bezpośrednio połączone z odpowiadającymi im danymi w Sycope.
Chcesz uwzględnić alerty Sycope w workflow Microsoft Teams swojego zespołu? Porozmawiaj z naszym zespołem.
