اتباع تحقيق مبني على الأدلة

ينبغي أن يوضح التحقيق سبب فتحه. ابدأ بتنبيه موثوق أو حدث أو نتيجة سحابية أو تطابق مع تهديد أو نتيجة Threat Hunting أو سؤال يتعلق بالأعمال. سجّل النطاق المتأثر والأدلة الأولية والفترة الزمنية والمخاطر الفورية والقرار الذي ينبغي أن يدعمه التحقيق.

• احتفظ بالسجلات الأصلية ومراجع المصادر قبل تلخيصها.
• ابنِ تسلسلاً زمنياً يميّز الأحداث المرصودة عن الترتيب المستنتج.
• تتبّع المستخدمين والأصول والعناوين والعمليات والموارد السحابية والبيانات والعلاقات المتأثرة.
• سجّل الأدلة الداعمة والمتعارضة والتكرار وفجوات التغطية والأسئلة التي لم تُحسم.
• احتفظ بالمسؤوليات والقرارات والإجراءات المطلوبة والنتائج المبلّغ عنها في سجل التحقيق نفسه.

حقائق مرصودة

ما تُظهره الأدلة الأصلية المحفوظة مباشرة ضمن النطاق والوقت المحددين.

استنتاجات مدعومة

ما تدعمه الأدلة بصورة معقولة، مع توضيح درجة الثقة وأسباب الاستنتاج.

ما لم يُحسم

أسئلة مهمة لا تستطيع الأدلة المتاحة الإجابة عنها بعد.

القرار

تقييم المحلل الحالي للحالة والخطوة التالية المبررة.

النتيجة

ما أُبلغ عنه بعد اكتمال العمل المعتمد أو فشله.