ترتيب أولويات الكشف والتنبيهات

توضّح الأولوية المفيدة سبب حاجة التنبيه إلى الاهتمام الآن. تستطيع Nova الجمع بين خطورة الكشف المدعومة والثقة وسياق الأصل والسحابة والتعرّض وThreat Intelligence والنشاط المرتبط وجودة الأدلة المتاحة.

لا تحلّ درجة واحدة محل أدلة التنبيه. وينبغي ألّا تمحو إشارة النموذج المنخفضة أدلة عالية الخطورة مدعومة بصورة مستقلة. كما أن الدرجة المرتفعة تظل بحاجة إلى مراجعة ضمن السياق.

• أكّد الكشف والمصدر والوقت ونطاق العميل والكيانات المتأثرة.
• راجع الخطورة والثقة وتفسير الدرجة وتغطية الأدلة كلًّا على حدة.
• افحص الأحداث المرتبطة والتكرارات ومعاودة النشاط والتعرّض السحابي والأصول المهمة وتطابقات التهديد.
• راعِ عمر التنبيه والمسؤول عنه وحالته الحالية وسبب الانتظار وأي هدف عاجل.
• افتح تحقيقًا عندما تتطلب الأدلة تحققًا أوسع أو يظل الاستنتاج غير مؤكد.

سجّل القرار والأدلة الداعمة والأسئلة غير المحسومة والمسؤول والخطوة التالية. ويمكن أن تساعد النتائج الصريحة للمحللين الفرق على تقييم جودة الكشف. ويجب ألّا يُعامل غياب الملاحظات ضمنيًا باعتباره False Positive.