تسريع التحقيق في الحوادث

تتباطأ التحقيقات عندما يضطر المحللون إلى البحث عن الأحداث الأصلية وتحديد الحسابات السحابية المتأثرة وإعادة بناء التسلسل الزمني ونسخ التفاصيل بين الأدوات. تجمع Nova هذه المعلومات ليبدأ المحللون بمراجعة الأدلة وتتبع الأنشطة المرتبطة.

• ابدأ بسبب ظهور التنبيه وبالحد الأدنى من الأدلة الأصلية اللازمة للتحقق منه.
• تتبّع الكيانات المتأثرة والعلاقات المرتبطة بالقرار الحالي فقط.
• وسّع الفترة الزمنية أو نطاق الأحداث عندما تستدعي الأدلة سؤالاً أوسع.
• استعن بسياق التهديدات والسلوك والسحابة لدعم التحقيق، دون أن يحل محل السجلات الأصلية.
• سجّل ما لم يتضح بعد، وتوقف عن توسيع الاستنتاج عندما لا تكفي الأدلة المتاحة لدعمه.

من المقاييس المفيدة الوقت اللازم لتعيين المسؤول، والوصول إلى أول تقييم مدعوم بالأدلة، وانتظار الأدلة، وعدد عمليات البحث المتكررة والقرارات التي أعيد فتحها، ونسبة التحقيقات التي توضح التغطية وما لم يُحسم. إغلاق الحالات بسرعة أكبر دون الحفاظ على جودة الأدلة ليس تحسناً موثوقاً.