Az elemző vagy az automatizált munkafolyamat kontextust ad hozzá, ellenőrzi a bizonyítékot, csoportosítja a duplikátumokat, becsüli az érintett hatókört és üzleti hatást, majd megalapozott diszpozíciót vagy eszkalációs útvonalat rendel hozzá.
A triage-nak elég gyorsnak kell lennie ahhoz, hogy védje a reagálási időt, anélkül hogy teljes vizsgálatot színlelne. A súlyosság az esemény potenciális következményét írja le, míg a prioritás a bizonyosságtól, az expozíciótól, az eszköz vagy identitás kritikusságától, az aktív kihasználástól és az időérzékenységtől is függ. Egy súlyos riasztás validálás után alacsony prioritású lehet, és egy kritikus rendszergazdát érintő visszafogott riasztás azonnali intézkedést igényelhet.
Legfontosabb pontok
Hozzáadandó kontextusRiasztási logika, kiváltó bizonyíték, identitás- és eszközadatok, kapcsolódó események, ismert változások, expozíció, kontrollállapot és korábbi ügyek.
Lehetséges kimenetekEszkaláció vizsgálatra vagy reagálásra, megfékezés jóváhagyott playbook szerint, kapcsolódó üggyel való egyesítés, megfigyelés, vagy lezárás dokumentált indoklással.
Minőségi mértékekAz elfogadási idő, a döntések konzisztenciája, az újranyitott ügyek, a kihagyott incidensek, az eszkaláció minősége és a észlelési mérnöki munkába való visszacsatolás.
Fontos korlátAz automatizálás dúsíthatja és priorizálhatja a riasztásokat, de a törékeny szabályokon alapuló némale zárás valódi incidenseket nyomhat el. A kockázatos diszpozíciókhoz nyomon követhetőség és felülvizsgálat kell.