Ausloeser

Ausloeser sind Ereignisse, die Workflows im Automatisierungssystem von Hydden Discovery initiieren. Jeder Ausloesertyp stellt eine Reihe von Variablen bereit, die in Workflow-Vorlagen fuer Payloads, E-Mail-Texte, Ticket-Beschreibungen und Webhook-Inhalte verwendet werden koennen.

Ueberblick

Hydden Discovery unterstuetzt 10 Ausloesertypen in 7 Kategorien:

Kategorie	Ausloesertypen	Ereignis-Diskriminator
Attestierung	Zertifizierungsstatus	hydn://attestation/attest-status
Klassifizierung	Klassifizierung hinzugefuegt, Klassifizierung entfernt	hydn://classificationalert/classification-added hydn://classificationalert/classification-removed
Sammlungsstatus	Sammlung erfolgreich, Sammlung fehlgeschlagen	hydn://collections/collection-succeeded hydn://collections/collection-failed
Datenvalidierung	Datenvalidierung erfolgreich, Datenvalidierung fehlgeschlagen	hydn://datavalidation/datavalidation-succeeded hydn://datavalidation/datavalidation-failed
Entitaetsaenderungen	Entitaetswarnung	hydn://entityalert/entity-alert
Geplante Berichte	Geplanter Bericht	hydn://scheduled-report
Risikoerkennung	Risiko erkannt, Risiko behoben	hydn://threatalert/threat-detected hydn://threatalert/threat-resolved

Verwendung von Variablen

Variablen werden automatisch angezeigt, wenn Sie { in die Felder Payload, Text oder Beschreibung in den Workflow-Konfigurationsmodalen eingeben. Variablen verwenden die Syntax {VariableName} und werden beim Ausfuehren des Workflows durch tatsaechliche Werte ersetzt.

Variablensyntax

• Einfache Variablen: {Name}, {Platform}, {Status}
• Gross-/Kleinschreibung egal: {JobID} und {jobid} funktionieren beide
• Listenvariablen: Einige Ausloeser bieten sowohl Listen- als auch formatierte Versionen (z. B. {Ids} fuer kommagetrennt, {IdsList} fuer Arrays)

Beispielvorlagen

E-Mail-Betreff:

Collection Failed: {JobName} on {Platform}

E-Mail-Text:

The data collection job "{JobName}" failed on {Platform}.

Error: {JobError}
Job ID: {JobID}
Site: {Site}
Last Run: {LastRun}

Please investigate and retry the collection.

Webhook-Payload:

{
  "event": "threat_detected",
  "threat_name": "{ThreatName}",
  "threat_id": "{ThreatID}",
  "platform": "{Platform}",
  "accounts": "{Accounts}",
  "score": {Score},
  "details": "Threat {ThreatName} detected on {Platform} affecting {Accounts}"
}

Attestierungs-Ausloeser

Zertifizierungsstatus

Ereignis: hydn://attestation/attest-status

Wird ausgeloest, wenn eine Zertifizierungskampagne den Status aendert (z. B. von "In Bearbeitung" zu "Abgeschlossen" oder von "Ausstehend" zu "In Bearbeitung").

Verfuegbare Variablen:

Variable	Beschreibung	Beispielwert
{Title}	Ereignistitel	"Certification Status"
{CertificationID}	Eindeutige Zertifizierungskennung	"cert-uuid-..."
{CertificationTitle}	Name der Zertifizierungskampagne	"Q1 Admin Access Review"
{Type}	Zertifizierungstyp	"UserAccess"
{ContextID}	Kontextkennung	"ctx-uuid-..."
{Status}	Neuer Zertifizierungsstatus	"Completed"
{PreviousStatus}	Status vor der Aenderung	"InProgress"
{AssignedTo}	ID des zugewiesenen Pruefers	"reviewer-uuid"
{AssignedToEmail}	E-Mail des zugewiesenen Pruefers	"reviewer@example.com"
{AssignedToName}	Anzeigename des zugewiesenen Pruefers	"Jane Smith"
{Priority}	Zertifizierungsprioritaet	"High"
{DueDate}	Faelligkeitsdatum-Zeitstempel	"1711929600000"

Workflow-Filterung:

Zertifizierungsstatus-Workflows koennen auf bestimmte Zertifizierungen gefiltert werden:

• Filteroption: certificationid
• Filterwert: Die Kennung der Zertifizierungskampagne

Anwendungsfaelle:

• E-Mail-Erinnerungen senden, wenn Zertifizierungen zugewiesen werden oder sich dem Faelligkeitsdatum naehern
• Tickets erstellen, wenn eine Zertifizierungskampagne fehlschlaegt oder mit Problemen abgeschlossen wird
• Manager benachrichtigen, wenn ihre Zugriffsueberpruefungen Aufmerksamkeit erfordern
• Nachgelagerte Compliance-Berichterstattung ausloesen, wenn Kampagnen abgeschlossen werden

Sammlungsstatus-Ausloeser

Sammlung erfolgreich

Ereignis: hydn://collections/collection-succeeded

Wird ausgeloest, wenn eine Datenquellensammlung erfolgreich abgeschlossen wird.

Verfuegbare Variablen:

Variable	Beschreibung	Beispielwert
{Title}	Ereignistitel	"Collection Succeeded"
{JobID}	Eindeutige Auftragskennung	"a1b2c3d4-..."
{JobName}	Lesbarer Auftragsname	"AWS Production Account"
{JobType}	Typ des Sammlungsauftrags	"AWS", "Active Directory"
{JobTime}	Dauer in Sekunden	"45"
{Platform}	Plattformtyp	"AWS", "Azure", "ActiveDirectory"
{Name}	Collector-Name	"AWS Prod Collector"
{Site}	Standortkennung	"prod-us-east-1"
{LastRun}	Letzter Ausfuehrungszeitstempel	"2024-01-15T10:30:00Z"
{LastClient}	Client-Kennung	"collector-01"
{NextRun}	Naechster geplanter Ausfuehrungszeitstempel	"2024-01-15T14:30:00Z"
{Status}	Aktueller Status	"success"

Anwendungsfaelle:

• Bestaetigungs-E-Mails nach kritischen Sammlungen senden
• Externe Ueberwachungs-Dashboards aktualisieren
• Nachgelagerte Datenverarbeitungs-Workflows ausloesen

Sammlung fehlgeschlagen

Ereignis: hydn://collections/collection-failed

Wird ausgeloest, wenn eine Datenquellensammlung aus einem beliebigen Grund fehlschlaegt.

Verfuegbare Variablen:

Variable	Beschreibung	Beispielwert
{Title}	Ereignistitel	"Collection Failed"
{JobID}	Eindeutige Auftragskennung	"a1b2c3d4-..."
{JobName}	Lesbarer Auftragsname	"AWS Production Account"
{JobType}	Typ des Sammlungsauftrags	"AWS", "Active Directory"
{JobError}	Fehlermeldung	"Authentication failed: Invalid credentials"
{JobTime}	Dauer vor dem Fehler (Sekunden)	"12"
{Platform}	Plattformtyp	"AWS", "Azure", "ActiveDirectory"
{Name}	Collector-Name	"AWS Prod Collector"
{Site}	Standortkennung	"prod-us-east-1"
{LastRun}	Letzter erfolgreicher Ausfuehrungszeitstempel	"2024-01-15T06:30:00Z"
{LastClient}	Client-Kennung	"collector-01"
{NextRun}	Naechster geplanter Wiederholungszeitstempel	"2024-01-15T11:00:00Z"
{Status}	Aktueller Status	"failed"

Anwendungsfaelle:

• Betriebsteams ueber Sammlungsfehler benachrichtigen
• ServiceNow-Incidents fuer fehlgeschlagene Sammlungen erstellen
• Automatisierte Workflows zur Anmeldedatenvalidierung ausloesen

NOTE

Eine Sammlung muss mindestens einmal erfolgreich ausgefuehrt worden sein, bevor der Ausloeser "Sammlung fehlgeschlagen" ausgeloest werden kann.

Datenvalidierungs-Ausloeser

Datenvalidierung erfolgreich

Ereignis: hydn://datavalidation/datavalidation-succeeded

Wird ausgeloest, wenn gesammelte Daten die Validierungsregeln bestehen.

Verfuegbare Variablen:

Variable	Beschreibung	Beispielwert
{Title}	Ereignistitel	"Data Validation Succeeded"
{JobID}	Eindeutige Validierungsauftragskennung	"v1a2b3c4-..."
{JobName}	Lesbarer Validierungsauftragsname	"AWS Account Validation"
{JobType}	Validierungstyp	"schema", "integrity"
{JobTime}	Validierungsdauer (Sekunden)	"8"
{Platform}	Plattformtyp	"AWS", "Azure"
{Name}	Collector-Name	"AWS Prod Collector"
{Site}	Standortkennung	"prod-us-east-1"
{LastClient}	Client-Kennung	"validator-01"
{Status}	Aktueller Status	"valid"
{UploadToIGA}	IGA-Upload-Flag	"true"
{CreateInIGA}	IGA-Erstellungs-Flag	"false"
{PushSchemaToIGA}	Schema-Push-Flag	"true"
{OrphanHandling}	Waisen-Behandlungsmodus	"disable"

Anwendungsfaelle:

• Datenqualitaet fuer nachgelagerte Systeme bestaetigen
• IGA-Synchronisierungs-Workflows ausloesen
• Datenqualitaetsberichte an Beteiligte senden

Datenvalidierung fehlgeschlagen

Ereignis: hydn://datavalidation/datavalidation-failed

Wird ausgeloest, wenn gesammelte Daten die Validierungsregeln nicht bestehen.

Verfuegbare Variablen:

Variable	Beschreibung	Beispielwert
{Title}	Ereignistitel	"Data Validation Failed"
{JobID}	Eindeutige Validierungsauftragskennung	"v1a2b3c4-..."
{JobName}	Lesbarer Validierungsauftragsname	"AWS Account Validation"
{JobType}	Validierungstyp	"schema", "integrity"
{JobError}	Validierungsfehlerdetails	"Schema violation: missing required field 'email'"
{JobTime}	Validierungsdauer (Sekunden)	"3"
{Platform}	Plattformtyp	"AWS", "Azure"
{Name}	Collector-Name	"AWS Prod Collector"
{Site}	Standortkennung	"prod-us-east-1"
{LastClient}	Client-Kennung	"validator-01"
{Status}	Aktueller Status	"invalid"

Anwendungsfaelle:

• Datenverantwortliche ueber Datenqualitaetsprobleme informieren
• Tickets fuer Datenquellen-Konfigurationsprobleme erstellen
• Automatisierte Workflows zur Datenbereinigung ausloesen

Risikoerkennungs-Ausloeser

Risiko erkannt

Ereignis: hydn://threatalert/threat-detected

Wird ausgeloest, wenn eine Risikoerkennungsregel ein Sicherheitsrisiko identifiziert.

Verfuegbare Variablen:

Variable	Beschreibung	Beispielwert
{Title}	Ereignistitel	"Threat Detected"
{ThreatID}	Eindeutige Risikoregel-Kennung	"dormant-admin-90"
{ThreatName}	Name der Risikoregel	"Dormant Admin Account"
{JobTime}	Erkennungszeitstempel	"2024-01-15T10:45:00Z"
{Platform}	Plattformtyp	"Active Directory"
{Name}	Primaerer Kontoname	"admin_prod"
{Site}	Standortkennung	"corp.example.com"
{Status}	Risikostatus	"detected"
{ID}	Primaere Entitaets-ID	"uuid-..."
{Ids}	Kommagetrennte IDs in Anfuehrungszeichen	"id1", "id2", "id3"
{IdsList}	Array von IDs	["id1", "id2", "id3"]
{Names}	Kommagetrennte Namen in Anfuehrungszeichen	"admin1", "admin2"
{NamesList}	Array von Namen	["admin1", "admin2"]
{Accounts}	Kommagetrennte Kontonamen	"account1", "account2"
{AccountsList}	Array von Kontonamen	["account1", "account2"]
{DisabledAccounts}	Kommagetrennte deaktivierte Konten	"old_admin"
{DisabledAccountsList}	Array deaktivierter Konten	["old_admin"]
{Score}	Risikobewertung	"85"
{PrintableIds}	Formatierter ID-String	"ID: id1, id2, id3"
{PrintableNames}	Formatierter Namens-String	"Names: admin1, admin2"
{CollectorId}	Quell-Collector-Kennung	"collector-uuid"
{Approved}	Genehmigungsstatus	"false"
{Safe}	Vault-Safe-Name	"AdminAccounts"
{Address}	Zielsystemadresse	"dc01.corp.local"
{System}	Systemkennung	"windows-domain"

Zusaetzliche Variablen (ueber Entitaetsabfrage befuellt):

Variable	Beschreibung
{PrincipalUserInstance.*}	Active Directory-Benutzerentitaetsfelder (E-Mail, Abteilung, Vorgesetzter usw.)
{Collector.*}	Collector-Metadatenfelder (Name, Plattform, Standort usw.)

Workflow-Filterung:

Risiko-Workflows koennen auf bestimmte Risikoregeln gefiltert werden:

• Filteroption: threatid
• Filterwert: Die Risikoregel-Kennung (z. B. dormant-admin-90)

Anwendungsfaelle:

• ServiceNow-Sicherheitsvorfaelle fuer Hochrisiko-Bedrohungen erstellen
• E-Mail-Benachrichtigungen an Sicherheitsbetriebsteams senden
• SIEM-Integration ueber Webhook ausloesen
• Hochrisiko-privilegierte Konten automatisch in den Vault aufnehmen

NOTE

Um Risikoerkennungs-Workflows zu aktivieren, aktivieren Sie das Kontrollkaestchen Workflow-Ausloeser erlauben im Konfigurationsmodal der Risikoerkennungsregel.

Risiko behoben

Ereignis: hydn://threatalert/threat-resolved

Wird ausgeloest, wenn ein zuvor erkanntes Risiko die Kriterien der Risikoregel nicht mehr erfuellt.

Verfuegbare Variablen: Gleich wie bei "Risiko erkannt" (siehe oben)

Anwendungsfaelle:

• ServiceNow-Incidents automatisch schliessen
• Loesungsbenachrichtigungen an Sicherheitsteams senden
• Externe Risiko-Dashboards aktualisieren
• Compliance-Berichterstattungs-Workflows ausloesen

Klassifizierungs-Ausloeser

Klassifizierung hinzugefuegt

Ereignis: hydn://classificationalert/classification-added

Wird ausgeloest, wenn eine Klassifizierungsregel einem Konto ein Tag zuweist.

Verfuegbare Variablen:

Variable	Beschreibung	Beispielwert
{Title}	Ereignistitel	"Classification Added"
{ClassificationID}	Eindeutige Klassifizierungsregel-ID	"auto-vault-privileged"
{ClassificationRule}	Name der Klassifizierungsregel	"Auto Vault Privileged Accounts"
{Classification}	Klassifizierungs-Tag	"Add to CyberArk"
{JobTime}	Klassifizierungszeitstempel	"2024-01-15T11:00:00Z"
{Platform}	Plattformtyp	"Linux", "Windows"
{Name}	Primaerer Kontoname	"root"
{Site}	Standortkennung	"prod-servers"
{Status}	Klassifizierungsstatus	"added"

Zuzueglich aller Identitaets- und Entitaetsfelder aus der Risikoerkennung (Ids, Names, Accounts, Score usw.)

Workflow-Filterung:

Klassifizierungs-Workflows koennen auf bestimmte Klassifizierungsregeln gefiltert werden:

• Filteroption: classificationid
• Filterwert: Die Klassifizierungsregel-Kennung (z. B. auto-vault-privileged)

Anwendungsfaelle:

• Auto-Vaulting: Konten automatisch in PAM-Systeme aufnehmen, wenn sie klassifiziert werden
• Compliance-Workflows: Compliance-Teams benachrichtigen, wenn sensible Konten identifiziert werden
• Zugriffsueberpruefungen: Zugriffszertifizierungskampagnen fuer klassifizierte Konten erstellen
• Tagging: Externe CMDBs mit Klassifizierungs-Tags aktualisieren

Klassifizierung entfernt

Ereignis: hydn://classificationalert/classification-removed

Wird ausgeloest, wenn ein Klassifizierungs-Tag von einem Konto entfernt wird.

Verfuegbare Variablen: Gleich wie bei "Klassifizierung hinzugefuegt" (siehe oben)

Anwendungsfaelle:

• Konten aus PAM-Vaults entfernen, wenn sie nicht mehr privilegiert sind
• Compliance-Workflows fuer neu klassifizierte Konten schliessen
• Externe Systeme aktualisieren, wenn sich Tags aendern

NOTE

Stellen Sie bei klassifizierungsgesteuerten Workflows wie Auto-Vaulting sicher, dass die Klassifizierungsregel die Option Workflow-Ausloeser erlauben unter Konfiguration > Identifizieren > Klassifizierungsregeln aktiviert hat.

Entitaetswarnungs-Ausloeser

Entitaetswarnung

Ereignis: hydn://entityalert/entity-alert

Wird ausgeloest, wenn Entitaeten (Konten, Gruppen, Eigentuemer) erstellt, aktualisiert oder geloescht werden.

Verfuegbare Variablen:

Variable	Beschreibung	Beispielwert
{Title}	Ereignistitel	"Entity Alert"
{EntityID}	Eindeutige Entitaetskennung	"entity-uuid"
{EntityType}	Entitaetstyp	"account", "group", "owner"
{JobTime}	Ereigniszeitstempel	"2024-01-15T12:00:00Z"
{UpdateType}	Art der Aenderung	"Create", "Update", "Delete"
{Platform}	Plattformtyp	"Active Directory", "AWS"
{Name}	Entitaetsname	"new_admin_account"
{Site}	Standortkennung	"corp.example.com"
{Status}	Entitaetsstatus	"active", "disabled"

Zuzueglich aller Standard-Identitaets- und Entitaetsfelder

Workflow-Filterung:

Entitaetswarnungs-Workflows unterstuetzen zwei Filteroptionen:

• Filteroption: entityid -- Nach bestimmter Entitaetskennung filtern
• Filteroption: entityalerttype -- Nach Aktualisierungstyp filtern (Create, Update, Delete)

Anwendungsfaelle:

• Konto-Lebenszyklus: Erstellung und Loeschung privilegierter Konten verfolgen
• Compliance-Ueberwachung: Benachrichtigen, wenn Hochrisiko-Konten geaendert werden
• CMDB-Synchronisierung: Externe CMDBs aktualisieren, wenn sich Entitaeten aendern
• Audit-Protokollierung: Entitaetsaenderungsereignisse an SIEM- oder Log-Aggregationssysteme senden

Details zur Variablenformatierung

Listenvariablen

Einige Ausloeser bieten sowohl Array- als auch formatierte Versionen von Listen:

• Array-Format (endet mit List): {IdsList} -> ["id1", "id2", "id3"] -- Verwenden Sie dies fuer JSON-Webhooks
• Kommagetrennt (ohne Suffix): {Ids} -> "id1", "id2", "id3" -- Verwenden Sie dies fuer E-Mail-Texte und Tickets
• Druckformat: {PrintableIds} -> Benutzerfreundlich formatierter String -- Verwenden Sie dies fuer lesbare Anzeigen

Zeitwerte

Zeitstempel-Variablen ({JobTime}, {LastRun}, {NextRun}) werden im ISO 8601-Format bereitgestellt:

• Format: YYYY-MM-DDTHH:MM:SSZ
• Beispiel: 2024-01-15T10:30:00Z
• Zeitzone: UTC

Numerische Werte

Numerische Variablen wie {Score} und {JobTime} werden als Zeichenketten bereitgestellt, koennen aber in numerischen Kontexten verwendet werden:

• {Score} -- Risikobewertung (0-100)
• {JobTime} -- Dauer in Sekunden

Vorlagen-Rendering

Hydden Discovery verwendet ein zweistufiges Vorlagen-Rendering-System:

1. Erster Durchlauf: Konvertiert die {Variable}-Syntax in die Go-Vorlagen-Syntax {{.Variable}}
2. Zweiter Durchlauf: Fuehrt die Vorlage mit Ereignisdaten aus und ersetzt tatsaechliche Werte

Dies unterstuetzt:

• Einfache Ersetzung: {Name} -> tatsaechlicher Name
• Verschachtelte Felder: {Collector.Name} -> Collector-Name aus verschachteltem Objekt
• Bedingte Logik (erweitert): Native Go-Vorlagen-Syntax {{if .Enabled}}...{{end}}

Fehlerbehebung

Problem	Loesung
Variable wird nicht ersetzt	Ueberpruefen Sie, ob der Variablenname mit den verfuegbaren Variablen fuer den Ausloesertyp uebereinstimmt, und stellen Sie sicher, dass die Syntax das Format {Variable} verwendet
Leerer Variablenwert	Die Variable ist moeglicherweise fuer diesen Ereignistyp nicht befuellt (z. B. wird {JobError} nur bei fehlgeschlagenen Ereignissen befuellt)
Ausloeser wird nicht ausgeloest	Stellen Sie sicher, dass der Workflow aktiviert ist, pruefen Sie, ob die Ereignisbedingungen erfuellt sind, und stellen Sie sicher, dass Risiko-/Klassifizierungsregeln "Workflow-Ausloeser erlauben" aktiviert haben
Falsche Variablenwerte	Ueberpruefen Sie die Vorlagensyntax, stellen Sie sicher, dass die Variable auf das richtige Feld verweist, und ueberpruefen Sie die Ereignisdaten in den Protokollen

Geplanter-Bericht-Ausloeser

Geplanter Bericht

Ereignis: hydn://scheduled-report

NOTE

Geplante Berichte ist eine Beta-Funktion. Das Verhalten kann sich in zukuenftigen Versionen aendern.

Wird ausgeloest, wenn ein gespeicherter Suchbericht nach einem definierten Zeitplan ausgefuehrt wird. Verwenden Sie diesen Ausloeser, um Berichtsergebnisse per E-Mail zu senden, Tickets zu erstellen oder Daten auf wiederkehrender Basis an externe Systeme zu uebermitteln.

Verfuegbare Variablen:

Variable	Beschreibung	Beispielwert
{Title}	Berichtsereignistitel	"Scheduled Report"
{SavedSearchID}	ID der gespeicherten Suche	"1gbrYrq61lu5dymofZGYu8ACOTT"
{Name}	Name der gespeicherten Suche	"Dormant Admin Accounts"
{Site}	Standortkennung	"corp-us-east-1"
{Status}	Berichtsstatus	"success"
{Id}	Primaere Ergebnisentitaets-ID	"uuid-..."
{Names}	Kommagetrennte Ergebnisnamen	"admin1", "admin2"
{Ids}	Kommagetrennte Ergebnis-IDs	"id1", "id2"
{Accounts}	Kommagetrennte Kontonamen	"svc_admin", "local_admin"
{DisabledAccounts}	Kommagetrennte deaktivierte Konten	"old_svc"
{PrintableIds}	Formatierter ID-String	"IDs: id1, id2"
{PrintableNames}	Formatierter Namens-String	"Names: admin1, admin2"
{Approved}	Genehmigungsstatus	"false"

Workflow-Filterung:

Geplanter-Bericht-Workflows koennen so gefiltert werden, dass sie nur fuer bestimmte gespeicherte Suchen ausgefuehrt werden:

• Filteroption: savedsearchids
• Filterwert: Kommagetrennte IDs gespeicherter Suchen (z. B. 1gbrYrq61lu5dymofZGYu8ACOTT,GcN0B8yAZVqXi3SvOjLVeL581I8)

Wenn kein Filter gesetzt ist, wird der Workflow bei jeder geplanten Berichtsausfuehrung ausgeloest.

Anwendungsfaelle:

• Wiederkehrende Identitaetsrisikoberichte per E-Mail an Sicherheitsmanager senden
• Woechentliche ServiceNow-Tickets fuer ruhende privilegierte Konten erstellen
• Geplante Berichtsergebnisse ueber Webhook an ein SIEM uebermitteln
• Benachrichtigungen zur Zugriffsueberpruefung basierend auf Berichtsergebnissen ausloesen

Konfiguration:

Um Geplanter-Bericht-Ausloeser zu verwenden:

1. Erstellen oder bearbeiten Sie eine gespeicherte Suche in der Globalen Suche
2. Weisen Sie der gespeicherten Suche ueber das Dropdown Zeitplan einen Zeitplan zu
3. Erstellen Sie einen Workflow mit dem Ausloesertyp Geplanter Bericht
4. Filtern Sie den Workflow optional auf bestimmte IDs gespeicherter Suchen

Verwandte Themen

• Ueberblick -- Automatisierungsarchitektur und -konzepte
• Workflows -- Workflows erstellen und verwalten
• Anbieter -- Aktionsanbieter konfigurieren
• Risikoerkennungsregeln -- Risikoerkennung konfigurieren
• Klassifizierungsregeln -- Kontoklassifizierung konfigurieren