Analytik alebo automatizovaný workflow pridáva kontext, kontroluje dôkazy, zoskupuje duplikáty, odhaduje dotknutý rozsah a podnikový dopad a priraďuje odôvodnené dispozičné rozhodnutie alebo eskalačnú cestu.
Triáž by mala byť dostatočne rýchla, aby chránila čas reakcie, bez pretvárania sa, že je úplné vyšetrovanie. Závažnosť opisuje potenciálny dôsledok udalosti, zatiaľ čo priorita závisí aj od istoty, expozície, kritickosti aktíva alebo identity, aktívnej exploitácie a časovej citlivosti. Upozornenie s vysokou závažnosťou môže byť po validácii nízkou prioritou a nenápadné upozornenie postihujúce kritického administrátora môže vyžadovať okamžitú akciu.
Kľúčové body
Kontext na pridanieLogika upozornenia, spúšťacie dôkazy, detaily identity a aktíva, súvisiace udalosti, známe zmeny, expozícia, stav kontrol a predchádzajúce prípady.
Možné výsledkyEskalovať na vyšetrovanie alebo reakciu, zadržať podľa schváleného playbooku, zlúčiť so súvisiacim prípadom, monitorovať alebo uzavrieť so zdokumentovaným zdôvodnením.
Miery kvalityČas do potvrdenia, konzistentnosť rozhodnutí, znovuotvorené prípady, prehliadnuté incidenty, kvalita eskalácie a spätná väzba do detekčného inžinierstva.
Dôležité obmedzenieAutomatizácia môže obohacovať a prioritizovať upozornenia, no tiché uzavretie na základe krehkých pravidiel môže potlačiť skutočné incidenty. Vysokorizikové dispozície potrebujú vystopovateľnosť a preskúmanie.