رویدادهای امنیتی (SIEM)

Status200 رویدادهای امنیتی را کنار لاگ‌ها، ترِیس‌ها و متریک‌های شما نگه می‌دارد، و به همهٔ آن‌ها یک شکل می‌دهد، OCSF (Open Cybersecurity Schema Framework)، با هر قالبی که رسیده باشند. رویدادها را از هر منبعی بفرستید، در آن‌ها جستجو کنید، و آن‌هایی را که مهم‌اند با قاعده‌های تشخیص Sigma، هوش تهدید و مانیتورها پیدا کنید. آنچه این‌ها پیدا می‌کنند به پرونده‌هایی برای رسیدگی تبدیل می‌شود، و پلی‌بوک‌ها به آن‌ها پاسخ می‌دهند.

چگونه کار می‌کند#

محصولات > رویدادهای امنیتی را زیر مشاهده‌پذیری باز کنید. منوی آن برای هر بخش از امنیت یک قسمت دارد، و برای هر چیزی در آن صفحه‌ای جدا:

Detections، هوش مصنوعی و Connections که یک بار راه‌اندازی می‌شوند، تا وقتی بازشان نکنید جمع‌شده می‌مانند. تازه با امنیت آشنا شده‌اید؟ شروع کار با امنیت آن را با دو کلیک راه‌اندازی می‌کند.

پیش از شروع#

دادهٔ امنیتی را فقط نقش‌های Project Owner و Project Admin و سه نقش Security می‌خوانند؛ نقش‌های دیگر در رویدادهای امنیتی چیزی نمی‌بینند. نقش‌ها را ببینید.

ارسال رویدادهای امنیتی#

1. یک کلید دریافت داده بسازید#

   تنظیمات پروژه > تله‌متری و APM > کلیدهای دریافت داده را باز کنید و روی ساخت کلید دریافت داده کلیک کنید. رویدادهای امنیتی همان کلیدهای بقیهٔ تله‌متری شما را به کار می‌برند.

2. رویدادهایتان را بفرستید#

   JSON را با کلید در x-status200-token به /security-events/v1/ingest بفرستید:

   OCSFGoogle UDMGeneric JSON

   OCSF

   Bash

   curl -X POST "https://status200.ru/security-events/v1/ingest?format=ocsf" \
     -H "Content-Type: application/json" \
     -H "x-status200-token: YOUR_INGESTION_TOKEN" \
     -H "x-status200-service-name: my-security-source" \
     -d '{ "events": [ { "class_uid": 3002, "severity_id": 4, "status": "Failure", "message": "Failed logon for alice", "actor": { "user": { "name": "alice" } }, "src_endpoint": { "ip": "203.0.113.7", "hostname": "laptop-alice" } } ] }'

   Google UDM

   Bash

   curl -X POST "https://status200.ru/security-events/v1/ingest?format=udm" \
     -H "Content-Type: application/json" \
     -H "x-status200-token: YOUR_INGESTION_TOKEN" \
     -d '{ "events": [ { "metadata": { "event_type": "USER_LOGIN" }, "principal": { "hostname": "laptop-alice", "user": { "userid": "alice" }, "ip": ["203.0.113.7"] }, "security_result": [{ "severity": "HIGH", "action": ["BLOCK"] }] } ] }'

   Generic JSON

   Bash

   curl -X POST "https://status200.ru/security-events/v1/ingest" \
     -H "Content-Type: application/json" \
     -H "x-status200-token: YOUR_INGESTION_TOKEN" \
     -d '{ "events": [ { "severity": "high", "event_type": "ssh_brute_force", "message": "12 failed SSH logins in 60s", "username": "root", "hostname": "web-01", "src_ip": "203.0.113.7" } ] }'

   نقطهٔ پایانی به‌محض اینکه رویدادها در صف قرار گیرند پاسخ 200 می‌دهد. رویدادی که مانند این‌ها بدون زمان فرستاده شود، در لحظهٔ رسیدنش قرار می‌گیرد.

3. آن‌ها را در رویدادها پیدا کنید#

   محصولات > رویدادهای امنیتی > رویدادها را باز کنید. رویدادها در چند ثانیه نمایان می‌شوند، با شدت، کلاس، کاربر، میزبان و نشانی‌های IP پرشده.

قالب‌ها#

قالب را با ?format= ، با هدر x-oneuptime-security-event-format ، یا با یک فیلد "format" در بالاترین سطح نام ببرید. اگر آن را نگذارید، قالب هر رویداد جداگانه تعیین می‌شود، پس یک وب‌هوک می‌تواند تشخیص‌ها را با رویدادهای خام درآمیزد.

• بدنه می‌تواند یک رویداد، آرایه‌ای از رویدادها، یا { "events": [...] } باشد.
• هدر x-status200-service-name سرویس تله‌متری‌ای را نام می‌برد که رویدادها به آن تعلق دارند. بدون آن، رویدادها به سرویسی تعلق دارند که به نام محصول یا فروشندهٔ نخستین رویداد است، یا به Security Events .
• چیزی به این دلیل که نگاشت نشد کنار گذاشته نمی‌شود: هر فیلد منبع در ویژگی‌های رویداد قرار می‌گیرد.

فیلدهای JSON عمومی#

یک رویداد عمومی بر پایهٔ نام‌های رایج فیلدها خوانده می‌شود:

واژه‌ای که شدت را بیان می‌کند به یک سطح OCSF تبدیل می‌شود: info به‌صورت Informational، warning به‌صورت Low، error به‌صورت Medium، alert به‌صورت Critical و emergency به‌صورت Fatal خوانده می‌شود.

ارسال با Fluent Bit#

برای فرستادن لاگ‌های امنیتی‌ای که از پیش گردآوری می‌کنید، مانند auditd، syslog یا Falco، یک خروجی http به Fluent Bit اضافه کنید:

[OUTPUT]
    Name             http
    Match            security.*
    Host             status200.ru
    Port             443
    tls              On
    URI              /security-events/v1/ingest
    Format           json
    Json_date_key    timestamp
    Json_date_format iso8601
    Header           x-status200-token YOUR_INGESTION_TOKEN
    Header           x-status200-service-name my-security-source
    Retry_Limit      5

صفحهٔ راهنمای راه‌اندازی، زیر Connections، این قطعه‌کدها را با میزبان و کلید خودتان پرشده دارد.

یافتن رویدادهای امنیتی در لاگ‌های شما#

لاگ‌های شما در بالای Connections لاگ‌هایی را که از قبل برای Status200 می‌فرستید به یک منبع تبدیل می‌کند. وقتی یافتن رویدادهای امنیتی در لاگ‌های شما روشن باشد، لاگ‌های تازهٔ پروژه هر دقیقه خوانده می‌شوند و هر ورود SSH، فرمان sudo، رکورد ممیزی Kubernetes، تغییر AWS CloudTrail و حملهٔ وب در آن‌ها به‌صورت یک رویداد امنیتی ذخیره می‌شود. برای اینکه هر گونه چه چیزهایی را پوشش می‌دهد، شروع کار با امنیت را ببینید.

اتصال به یک محصول امنیتی#

Connections به‌جای شما از یک محصول امنیتی نظرسنجی می‌کند و رکوردهای تازه‌اش را به‌صورت رویدادهای امنیتی وارد می‌کند. یک اتصال تنظیمات محصول و یک اعتبارنامهٔ رمزگذاری‌شده را نگه می‌دارد؛ یک کارگر در بازه‌ای که تعیین می‌کنید از آن نظرسنجی می‌کند و رکوردهایی را که پیش‌تر وارد کرده رد می‌کند.

• هشدارهای خود محصول در سطح Open Cases From یا بالاتر از آن (بالا و بالاتر ، مگر اینکه سطح دیگری برگزینید، یا هرگز ) پرونده باز می‌کنند، که بر پایهٔ کاربر، میزبان یا نشانی‌ای که دربارهٔ آن‌اند گروه‌بندی می‌شوند.
• یک اتصال رکوردها را بر پایهٔ زمانی می‌خواند که محصول آن‌ها را ساخته است، نه زمان فعالیتی که توصیف می‌کنند. قاعدهٔ SIEMی که ساعتی یک بار اجرا می‌شود، تشخیص‌ها را مدت‌ها پس از رویدادهایی که با آن‌ها تطابق داشته می‌سازد، و آن‌ها باز هم وارد می‌شوند.
• نخستین نظرسنجی ۲۴ ساعت به عقب نگاه می‌کند، پس یک اتصال تازه بی‌درنگ رکوردهای اخیر را نشان می‌دهد.
• آزمایش اتصال ، در ردیف اتصال، دسترسی به محصول و در حال اجرا بودن کارگرهای خود Status200 را بررسی می‌کند و چیزی وارد نمی‌کند. Run now بی‌درنگ نظرسنجی می‌کند.

یک رویداد چه چیزهایی دارد#

هر رویداد با فیلدهای نوع‌دار و محتوای منبعش ذخیره می‌شود:

کاوش رویدادهای امنیتی#

رویدادها یک کاوشگر تله‌متری مانند کاوشگرهای لاگ‌ها و ترِیس‌هاست: نموداری از رویدادهای پنجره بر پایهٔ شدت، نوار کناری از وجه‌ها، فهرست، و پنلی با هر فیلد و ویژگی رویدادی که باز می‌کنید. پنجره، فیلترها و جستجو همه در URL قرار دارند، پس نمای فیلترشده را می‌توان هم‌رسانی کرد و پس از بازخوانی صفحه هم باقی می‌ماند.

جستجو#

نوار جستجو همان زبان کاوشگرهای تله‌متری دیگر را می‌فهمد ( نحو جستجو را ببینید):

یک فیلد یا نامی کوتاه است (severity ، class ، category ، activity ، status ، vendor ، product ، rule ، user ، host ، ip ، targetuser ، targethost ، targetip ، processname ، commandline ، parentprocessname ، observable ، tactic ، technique) یا نام خود فیلد، مانند severityName یا principalHost . هر نام دیگری به‌صورت یک ویژگی منبع خوانده می‌شود. observable:<value> هر رویدادی را که از یک مقدار نام می‌برد پیدا می‌کند، در هر سویی از فعالیت که بوده باشد.

وجه‌ها#

نوار کناری رویدادهای پنجره را بر پایهٔ منبع ، شدت ، کلاس رویداد ، Category ، فعالیت ، وضعیت ، فروشنده ، محصول ، Detection Rule ، کاربر مبدأ ، میزبان مبدأ ، فرایند و فرایند والد می‌شمارد. روی یک مقدار کلیک کنید تا فقط رویدادهای آن بمانند، یا روی علامت منفی کنارش تا کنار گذاشته شوند. برای برگرداندن، دوباره کلیک کنید. نمودار و هر شمارش دقیقاً رویدادهای فهرست را توصیف می‌کنند.

هم‌بسته‌سازی#

هم‌بسته‌سازی رویدادهای پیرامون یک میزبان، یک کاربر یا یک نشانی IP را رسم می‌کند: کلاس‌های رویدادشان را پیرامون آنچه جستجو کردید، با بدترین شدتشان علامت‌گذاری‌شده، و مقدارهای دیگری را که در همان رویدادها دیده شده‌اند روی حلقهٔ بیرونی. روی یک کلاس کلیک کنید تا رویدادهایش فهرست شوند، یا روی یک مقدار تا در گام بعد بر پایهٔ آن هم‌بسته‌سازی کنید. هر observable در پنل یک رویداد در رویدادها ، هم‌بسته‌سازی را بر پایهٔ همان مقدار باز می‌کند.

قاعده‌های تشخیص#

یک قاعدهٔ تشخیص یک قاعدهٔ Sigma است، قالبی باز بر پایهٔ YAML برای توصیف فعالیت مشکوک، که Status200 آن را طبق زمان‌بندی روی رویدادهای شما اجرا می‌کند. وقتی تطابق پیدا کند، یک پرونده باز می‌کند یا به پروندهٔ موجود می‌پیوندد، یک هشدار، و در صورت تمایل یک حادثه، باز می‌کند و یک Detection Finding را به رویدادها بازمی‌نویسد. Rule Library قاعده‌های آماده‌ای برای شروع دارد.

ساختن یک قاعده#

نخستین قاعده، که با ورودهای ناموفق از بیرون 10.x.x.x تطابق دارد:

title: Failed logon burst
description: Repeated authentication failures from one source.
level: high
tags:
  - attack.t1110
  - attack.ta0006
detection:
  selection:
    className: Authentication
    statusName: Failure
  filter_internal:
    principalIp|startswith: '10.'
  condition: selection and not filter_internal

یک قاعده چه چیزهایی می‌تواند بگوید#

Status200 هستهٔ بولی Sigma را اجرا می‌کند:

• گزینش‌ها نگاشت‌هایی از فیلدها هستند (هر فیلد باید تطابق داشته باشد؛ فهرستی از مقدارها با هر یک از آن‌ها تطابق دارد) یا فهرست‌هایی از کلیدواژه‌ها، که در هر جای پیام تطابق دارند.
• شرط‌ها گزینش‌ها را با and ، or ، not و پرانتزها، یا با 1 of selection_* ، all of selection_* ، any of them و all of them ترکیب می‌کنند.
• پیراینده‌های فیلد: contains ، startswith ، endswith ، all ، re ، cased ، gt ، gte ، lt ، lte ، cidr ، exists و windash . متن بدون توجه به بزرگی و کوچکی حروف مقایسه می‌شود، مگر اینکه cased را اضافه کنید.
• یک فیلد یا فیلدی نوع‌دار است (principalUser)، یا نگارش رایج آن در Sigma (CommandLine ، src_ip ، Hostname)، یا هر کلید ویژگی، به همان شکلی که در رویداد نوشته شده (threat.matched).
• Image و CommandLine فرایندی را می‌خوانند که رویداد دربارهٔ آن است، یعنی در اجرای یک فرایند همان فرایندی که اجرا شد (processPath ، processCommandLine)، و ParentImage و ParentCommandLine فرایندی را که آن را اجرا کرد (parentProcessPath ، parentProcessCommandLine). principalProcess فرایندی است که عمل کرد، که در یک اجرا همان فرایند والد است.
• level شدت را تعیین می‌کند: informational ، low ، medium ، high یا critical ، و اگر نباشد medium . شناسه‌های ATT&CK در tags (attack.t1110 ، attack.ta0006) فیلدهای MITRE یافته را پر می‌کنند.

تجمیع‌هایی مانند | count() by principalIp > 5 هنگام ذخیره رد می‌شوند: به‌جای آن‌ها یک قاعدهٔ همبستگی ، یا Group By Field و Match Count Threshold را به کار ببرید. logsource فقط جنبهٔ اطلاعاتی دارد و چیزی را محدود نمی‌کند: آن فیلتر را در یک گزینش بگذارید، مانند className: Authentication . یک timeframe نادیده گرفته می‌شود، چون بازهٔ قاعده پنجرهٔ آن را تعیین می‌کند.

قاعده‌های همبستگی#

یک همبستگی Sigma با چند رویداد با هم فعال می‌شود، نه با یکی. آن را همراه با قاعده‌هایی که می‌خواند، به‌صورت سندهای YAML جداشده با --- ، در Sigma Rule (YAML) بچسبانید، یا قاعده‌هایی را که پروژه از پیش دارد با name یا id آن‌ها در Sigma نام ببرید. Rule Library نمونه‌های آماده دارد، مانند ورودهای ناموفقی که یک ورود موفق پس از آن‌ها می‌آید.

title: Failed sign-ins, then a success from the same address
level: high
correlation:
  type: temporal_ordered
  rules:
    - failed_sign_ins
    - successful_sign_in
  group-by:
    - principalIp
  timespan: 10m
---
title: Five failed sign-ins
name: failed_sign_ins
correlation:
  type: event_count
  rules:
    - failed_sign_in
  group-by:
    - principalIp
  timespan: 10m
  condition:
    gte: 5
---
title: Failed sign-in
name: failed_sign_in
detection:
  selection:
    className: Authentication
    statusName: Failure
  condition: selection
---
title: Successful sign-in
name: successful_sign_in
detection:
  selection:
    className: Authentication
    statusName: Success
  condition: selection

• یک گروه مقدار فیلدهای group-by است، مانند یک نشانی. شمارش‌ها غلتان‌اند: انفجاری که دو اجرا میانشان تقسیم کنند باز هم در timespan خودش کامل شمرده می‌شود، که حداکثر ۲۴ ساعت است.
• new_value نوعی از خود Status200 است، چون Sigma همبستگی «نخستین بار دیده‌شده» ندارد: آن را با تا ۳۰ روز تاریخچه مقایسه می‌کند. value_sum ، value_avg ، value_percentile و value_median هنگام ذخیره رد می‌شوند.
• ستون نوع در Detection Rules گونهٔ هر قاعده را نام می‌برد، و فرم در یک جمله می‌گوید قاعده دنبال چه می‌گردد.

تنظیمات ارزیابی#

Group By و Distinct Count همان نام‌های فیلدی را می‌پذیرند که قاعده می‌پذیرد. با آن‌ها آستانه یعنی «این تعداد، از یک چیز، در یک اجرا»، بی‌آنکه مانیتوری روی آن لازم باشد:

یک قاعده کی اجرا می‌شود#

Status200 هر دقیقه قاعده‌های فعالی را بررسی می‌کند که بازه‌شان از آخرین اجرا گذشته است. هر اجرا رویدادهایی را می‌خواند که زمان رویدادشان میان اجرای پیشین و دو دقیقه پیش است، سپس جلو می‌رود. این دو دقیقه برای رویدادهایی جا می‌گذارد که هنوز در راه‌اند، مانند خطی از لاگ که یک دقیقه پس از نوشته شدن خوانده می‌شود:

• پنجره‌ها پشت سر هم‌اند، نه غلتان. با بازهٔ ۱۰ دقیقه‌ای، شکست‌هایی در ۰۹:۵۸ و ۱۰:۰۱ می‌توانند در اجراهای متفاوتی بیفتند و جدا شمرده شوند، پس هنگام برگزیدن آستانه حاشیه بگذارید.
• پس از یک وقفه، مانند قطع کار یک کارگر یا قاعده‌ای که دوباره روشن شده، اجرای بعدی کل وقفه را پوشش می‌دهد، حداکثر تا ۲۴ ساعت گذشته.
• رویدادی که بیش از دو دقیقه دیر می‌رسد، پس از آنکه اجرایی زمان آن را پوشش داده است، ذخیره می‌شود و قابل جستجوست، اما آن قاعده هرگز آن را نمی‌خواند.
• هر گروهی که به آستانه برسد به یک Detection Finding تبدیل می‌شود، تا ۱۰٬۰۰۰ مورد در هر اجرا. برای ۱۰۰ گروهی که بیشترین شمارش را دارند هشدار، حادثه و پرونده باز می‌شود؛ بقیه در یک پرونده دربارهٔ قاعده جمع می‌شوند، و آخرین خطای قاعده می‌گوید چند گروه تطابق داشتند.

شدت#

level یک قاعده شدت یافته‌های آن است: informational ، low ، medium ، high و critical به Informational، Low، Medium، High و Critical تبدیل می‌شوند. هشدارها و حادثه‌های آن یکی از شدت‌های پروژهٔ شما را، به این ترتیب، می‌گیرند:

1. شدت هشدار (یا شدت حادثه ) قاعده، اگر تنظیم شده باشد.
2. شدتی از شما که به نام آن سطح است، مانند High، بدون توجه به بزرگی و کوچکی حروف.
3. بر پایهٔ رتبه: قاعده‌های critical و high شدیدترین شدت شما را می‌گیرند، بقیه کم‌شدت‌ترین را.

هشدارها و یافته‌ها#

هر گروهی که فعال شود هشداری با عنوان [Detection] <rule name> — <group value> باز می‌کند، یا [Detection] <rule name> برای قاعده‌ای بدون Group By Field. تا وقتی باز است، تطابق‌های بیشتر برای آن گروه هشدار دیگری باز نمی‌کنند. یک قاعده فقط تطابق‌ها را می‌بیند و نمی‌تواند بفهمد که حمله‌ای متوقف شده است، پس هشدارهایش تا وقتی کسی رفعشان کند باز می‌مانند.

یک Detection Finding رویدادی امنیتی از کلاس Detection Finding (کلاس OCSF ۲۰۰۴) از محصول Status200 Detections است، با برچسب‌های MITRE قاعده، مقدار گروه در جایگاه نخست observables ، و این ویژگی‌ها:

یافته‌ها رویدادهای معمولی‌اند: در رویدادها جستجویشان کنید و در هم‌بسته‌سازی از آن‌ها پیش بروید. برای آزمودن بی‌سروصدای یک قاعدهٔ تازه، تا وقتی به آن اعتماد نکرده‌اید همهٔ اقدام‌ها جز یافته را خاموش کنید.

مانیتورهای رویدادهای امنیتی#

یک مانیتور رویدادهای امنیتی رویدادهایی را که با فیلترهایش تطابق دارند در یک پنجرهٔ غلتان می‌شمارد و معیارهای معمول مانیتور را روی آن شمارش اجرا می‌کند: وضعیت مانیتور را تغییر می‌دهد، هشدار یا حادثه باز می‌کند و کشیک را فرا می‌خواند. آن را زیر مانیتورها > ساخت مانیتور با نوع Security Events بسازید؛ آنجا همراه با دیگر مانیتورهای شما فهرست می‌شود.

فرم آن Monitor events that include this text ، Monitor Security Events for (time) ، Event Severity و کلاس رویداد را نشان می‌دهد. فیلتر بر اساس سرویس تله‌متری و فیلتر بر اساس ویژگی‌ها زیر فیلدهای بیشتر منتظرند، که سرتیترش نشان می‌دهد یک مانیتور کدام‌ها را به کار می‌برد. معیارهای آن Security Event Count را بررسی می‌کنند.

خود تشخیص را به‌صورت یک قاعده، با آستانه‌اش، بنویسید. وقتی پنجرهٔ غلتان، وضعیتی که خودبه‌خود بهبود یابد، یک صفحهٔ وضعیت، یا سیاست‌های کشیک متفاوت برای هر معیار می‌خواهید، از مانیتور استفاده کنید.

تشخیص‌هایتان را بپایید#

یافته‌ها رویدادند، پس یک مانیتور می‌تواند خود قاعده‌ها را بپاید:

• طوفان‌ها: مانیتوری روی کلاس Detection Finding ، که هر یافته را می‌شمارد. فعال شدن بیست قاعدهٔ متفاوت در یک ساعت سیگنالی است که هیچ قاعدهٔ تنهایی نمی‌تواند ببیند.
• تغییر نرخ: بر پایهٔ status200.detection.rule_id یک قاعده فیلتر کنید. قاعده‌ای که هفته‌ای یک بار فعال می‌شود و حالا ساعتی پنجاه بار فعال می‌شود، واکنش دیگری لازم دارد.
• سکوت: یافته‌هایی که معمولاً چندتایی از آن‌ها را می‌بینید و به صفر می‌رسند، معمولاً یعنی منبعی دیگر نمی‌فرستد. معیاری به کار ببرید که بررسی کند شمارش از یک عدد کمتر است.

اقدام ساخت مانیتور در ردیف یک قاعده، مانیتوری تازه باز می‌کند که از پیش به همین شکل تنظیم شده است: کلاس Detection Finding ، شناسهٔ قاعده (هرگز نامش، که با تغییر نام عوض می‌شود)، و یک ساعت گذشته. چنین مانیتوری یافته‌ها را می‌شمارد، یکی برای هر گروه در هر اجرا، نه رویدادهای پشت آن‌ها را. برای اینکه پیش از فعال شدن هر چیزی شمار معینی رویداد لازم باشد، Match Count Threshold قاعده را به کار ببرید.

هوش تهدید#

Threat Intel مشترک فیدهای STIX/TAXII از نشانی‌های IP، دامنه‌ها، URLها، نشانی‌های ایمیل و هش‌های فایل شناخته‌شدهٔ مخرب می‌شود. رویدادهایی که از یکی از آن‌ها نام می‌برند هنگام رسیدن با ویژگی‌های threat.* برچسب می‌خورند، که قاعده‌ها و مانیتورها می‌توانند بر پایهٔ آن‌ها فیلتر کنند، و هر دقیقه رویدادهای اخیر با فیدها تطبیق داده می‌شوند و مانند یک قاعده هشدار و یافته باز می‌کنند. هوش تهدید را ببینید.

نگهداری و صورت‌حساب#

رویدادهای امنیتی مانند بقیهٔ تله‌متری شما به ازای هر گیگابایت دریافت‌شده صورت‌حساب می‌شوند، و به اندازهٔ دورهٔ نگهداری تله‌متری شما نگه داشته می‌شوند: نگهداری پیش‌فرض (روز) پروژه، زیر تنظیمات پروژه > تله‌متری و APM > نگهداری داده ، یا دورهٔ نگهداری‌ای که روی سرویس تله‌متری‌ای که به آن تعلق دارند تنظیم شده است. وقتی دورهٔ نگهداری یک رویداد به پایان برسد، حذف می‌شود.

رفع اشکال#

گام‌های بعدی#