Incidents

Incidents ist der Arbeitsbereich für Untersuchung und Eindämmung unter /incidents. Der Routenzugriff erfordert incident:read, sofern keine Vollzugriffsrolle greift. Lebenszyklusaktionen erfordern incident:manage.

Zuständigkeit

• Incidents, die aus kritischen oder hohen Signalen und Meldungen von Operatoren entstehen.
• Triage, aktive Untersuchung, Eindämmung, Lösung und Zustand nach dem Incident.
• Eine Entscheidungs- und Nachweisspur der Lebenszyklusereignisse aus dem Audit-Log.
• Verantwortlicher und Beobachter, betroffene Ressourcen, Eindämmungsaktionen und Kontrollpunkte, Befunde und Nachweisreferenzen.
• Korrelation mit Kennungen des Quellsignals, der Ausführung, des Laufs, des Traces, des Workflows, des Agents, der Richtlinie und der Decision Request.

Die Klassifizierung leitet Eindämmungsarbeit an Incidents weiter, bevor eine gewöhnliche Prüfung oder Entscheidungsarbeit beginnt. Eine wiederholte Eskalation desselben Signals liefert für denselben Tenant und dasselbe Lebenszyklussignal den bestehenden Incident zurück.

Incident-Lebenszyklus

flowchart LR
  T["Triage"] --> A["Aktiv"]
  A --> C["Eingedämmt"]
  C --> R["Gelöst"]
  R --> P["Nach dem Incident"]
  T -->|"Keine Maßnahme nötig + Begründung"| R
  A -->|"Keine Maßnahme nötig + Begründung"| R

Ein Operator mit incident:manage kann aus triage, active oder contained Schließen: keine Maßnahme nötig wählen. Eine Begründung ist erforderlich. Der Übergang erfasst Akteur und Begründung im Verlauf und in den Nachweisen des Incidents. Ausstehende Genehmigungen und unvollendete Eindämmungsaktionen blockieren den Abschluss, auch genehmigte Aktionen, deren Effekte noch in der Warteschlange stehen oder auf Bereinigung warten.

API, CLI und Incident-Dokument verwenden triage, active, contained, resolved und post_incident. Die Incident-Antwort gibt lifecycleState zurück; die Zuordnungen von Datenbankstatus und kanonischem Ausnahmestatus bleiben intern. updatedAt ist das exakte Revisionstoken, einschließlich der PostgreSQL-Mikrosekunden. Clients müssen es unverändert als expectedUpdatedAt übergeben. Ein Konflikt liefert die aktuelle Revision, den Status und den Verantwortlichen, damit der Operator vor einem erneuten Versuch prüfen kann.

kla incident list
kla incident show INCIDENT_UUID
kla incident assign INCIDENT_UUID --owner [email protected]
kla incident transition INCIDENT_UUID active
kla incident close INCIDENT_UUID --reason 'Duplicate signal; no action needed.'

Die Nachweiserstellung delegiert an die gemeinsame Evidence Factory. Der Incident behält seinen Untersuchungsdatensatz. Die Evidence Factory besitzt den Exportjob und den Lebenszyklus des Bundles.

Tenant-Filterung und Ressourcenautorisierung gelten für jeden Lesevorgang und jeden Übergang.