L'analyste ou le flux automatisé ajoute du contexte, vérifie les preuves, regroupe les doublons, estime l'étendue et l'impact métier affectés, et attribue un classement raisonné ou un chemin d'escalade.
Le triage doit être assez rapide pour protéger le temps de réponse sans prétendre être une investigation complète. La sévérité décrit la conséquence potentielle d'un événement, tandis que la priorité dépend aussi de la confiance, de l'exposition, de la criticité de l'actif ou de l'identité, de l'exploitation active et de la sensibilité au temps. Une alerte de haute sévérité peut être de faible priorité après validation, et une alerte discrète touchant un administrateur critique peut exiger une action immédiate.
Points clés
Contexte à ajouterLogique de l'alerte, preuves déclenchantes, détails d'identité et d'actif, événements liés, changements connus, exposition, état des mesures et cas antérieurs.
Issues possiblesEscalader pour investigation ou réponse, contenir selon un playbook approuvé, fusionner avec un cas lié, surveiller ou clôturer avec un raisonnement documenté.
Mesures de qualitéDélai de prise en charge, cohérence des décisions, cas rouverts, incidents manqués, qualité de l'escalade et retour vers l'ingénierie de la détection.
Limite importanteL'automatisation peut enrichir et prioriser les alertes, mais une clôture silencieuse fondée sur des règles fragiles peut étouffer de vrais incidents. Les classements à haut risque exigent traçabilité et revue.