मुझे बताइए कि कोई सिक्योरिटी alert आपकी queue में आने के पल से आप उसका triage कैसे करते हैं।

पहले पुष्टि करें कि detection असल में किस चीज पर चला, फिर फैसला करने से पहले उसे समृद्ध करें। raw log निकालें, host, यूजर, process और नेटवर्क का संदर्भ पहचानें, और asset कितना अहम है यह देखें। known good व्यवहार और हाल के change ticket से मिलाएं। true positive, false positive या benign true positive तय करें, तर्क लिखें, और या तो tuning वाली राय के साथ बंद करें या timeline के साथ escalate करें।

मैं सबसे पहले सिर्फ alert का शीर्षक नहीं, rule का logic पढ़ता हूं, क्योंकि शीर्षक अक्सर पुराना पड़ चुका होता है। फिर मैं संदर्भ जोड़ता हूं: host, यूजर, parent और child process, command line, destination IP और उसकी प्रतिष्ठा, और यह कि उस यूजर का कोई change ticket खुला है या नहीं। पिछली जगह मुझे एक finance workstation पर encoded PowerShell का alert मिला था। command line decode होकर एक blob निकली जो असल में किसी vendor का जायज installer थी, पर parent process Outlook था, जो ठीक वही पैटर्न है जिसकी मुझे परवाह होती है, इसलिए मैंने उसे वहीं बंद नहीं किया। मैंने mailbox जांचा, पाया कि message एक जाने पहचाने supplier domain से वैध signature के साथ आया था, और यूजर से email के बजाय फोन पर पुष्टि की, इस हालत में कि कहीं उनका account ही कब्जे में न हो। benign true positive। मैंने पूरा लिखा, फिर detection engineer को सुझाव भेजा कि पूरे encoded PowerShell rule के बजाय उसी vendor के hash को बाहर रखा जाए, वरना हम अंधे हो जाते।