Триаж инцидента

Триаж инцидента — процедура начальной обработки оповещения или сообщения о событии безопасности. Её задача — отделить ложные срабатывания и малозначимые события от подтверждённых инцидентов, требующих расследования, изоляции или эскалации. Аналитик проверяет источник сигнала, затронутые активы, учётные записи, временную шкалу, признаки компрометации и критичность сервиса. Приоритет обычно определяется сочетанием достоверности, потенциального воздействия, охвата и срочности, а не только уровнем важности одного правила мониторинга. Триаж применяется в центре мониторинга безопасности, службе эксплуатации и процессах реагирования. Для его воспроизводимости нужны классификация активов, правила приоритизации, доступ к журналам и порядок передачи дел между командами. Триаж отличается от полного расследования: на этом этапе собирают данные, достаточные для решения о дальнейших действиях, но не обязательно устанавливают все причины и последствия. Он также не равен устранению инцидента, которое включает сдерживание, восстановление и анализ первопричин.