Triagem de alertas
Uma prática organizada como um caso: hipótese, evidência e uma decisão que a rede consegue revisar.
- FERRAMENTA
- Leitor de logs
- TEMPO
- 45–60 min
Frente / Defesa em comunidade
ABERTACaso: Todo incidente começa com uma pergunta bem feita.
- 01HIPÓTESECenário lido e limites combinados
- 02EVIDÊNCIAAnalisar pistas e formular hipótese
- 03DECISÃORegistrar evidências para compartilhar
Cenário
Um alerta de “login fora do horário” chegou sem contexto. A rede quer saber se vale abrir um incidente.
Perguntas para a rede
- O alerta é de qual estação e conta?
- Há atividade legítima registrada no mesmo período?
- Qual dado confirmaria ou refutaria a hipótese?
Pistas
Comece pelo horário, não pela conta.Tickets de suporte também são evidência.
Você não precisa “vencer” a prática. Precisa conseguir explicar o que observou e abrir espaço para outras leituras.