Analytik nebo automatizované workflow přidává kontext, kontroluje důkazy, seskupuje duplicity, odhaduje dotčený rozsah a dopad na podnikání a přiřazuje odůvodněnou dispozici nebo eskalační cestu.
Triage by měla být dost rychlá na ochranu doby reakce, aniž by předstírala úplné vyšetřování. Závažnost popisuje potenciální důsledek události, zatímco priorita závisí také na jistotě, expozici, kritičnosti aktiva či identity, aktivním zneužívání a citlivosti na čas. Vysoce závažná výstraha může být po validaci nízkou prioritou a nenápadná výstraha postihující kritického administrátora může vyžadovat okamžitou akci.
Klíčové body
Kontext k přidáníLogika výstrahy, spouštěcí důkazy, detaily identity a aktiva, související události, známé změny, expozice, stav kontrol a předchozí případy.
Možné výstupyEskalovat k vyšetřování či reakci, zadržet podle schváleného playbooku, sloučit se souvisejícím případem, monitorovat nebo uzavřít se zdokumentovaným odůvodněním.
Měření kvalityDoba do potvrzení, konzistence rozhodnutí, znovuotevřené případy, minuté incidenty, kvalita eskalace a zpětná vazba do detekčního inženýrství.
Důležité omezeníAutomatizace může výstrahy obohacovat a prioritizovat, ale tiché uzavírání na základě křehkých pravidel může potlačit skutečné incidenty. Dispozice s vysokým rizikem potřebují dohledatelnost a revizi.