Analityk lub zautomatyzowany przepływ dodaje kontekst, sprawdza dowody, grupuje duplikaty, szacuje dotknięty zakres i wpływ biznesowy oraz przypisuje uzasadnioną dyspozycję lub ścieżkę eskalacji.
Triage powinno być wystarczająco szybkie, by chronić czas reakcji, bez udawania kompletnego dochodzenia. Waga opisuje potencjalną konsekwencję zdarzenia, a priorytet zależy też od pewności, ekspozycji, krytyczności zasobu lub tożsamości, aktywnego wykorzystania i wrażliwości czasowej. Alert wysokiej wagi może mieć niski priorytet po walidacji, a subtelny alert dotykający krytycznego administratora może wymagać natychmiastowego działania.
Najważniejsze punkty
Kontekst do dodaniaLogika alertu, wyzwalające dowody, szczegóły tożsamości i zasobu, powiązane zdarzenia, znane zmiany, ekspozycja, stan kontroli i wcześniejsze sprawy.
Możliwe wynikiEskalacja do dochodzenia lub reakcji, ograniczenie w ramach zatwierdzonego playbooka, scalenie z powiązaną sprawą, monitoring lub zamknięcie z udokumentowanym uzasadnieniem.
Miary jakościCzas do potwierdzenia, spójność decyzji, ponownie otwarte sprawy, przeoczone incydenty, jakość eskalacji i sprzężenie zwrotne do inżynierii detekcji.
Istotne ograniczenieAutomatyzacja może wzbogacać i priorytetyzować alerty, ale ciche zamykanie na kruchych regułach może tłumić prawdziwe incydenty. Dyspozycje wysokiego ryzyka potrzebują identyfikowalności i przeglądu.