البحث في الأحداث الأمنية والتحقيق فيها

يحدّد البحث المفيد في الأحداث السؤال ونطاق العميل والفترة الزمنية والمصادر المتوقعة والكيانات المعروفة قبل إضافة الشروط. ابدأ بأضيق بحث آمن يمكنه تأكيد وجود الأدلة، ثم ضيّق النطاق أو وسّعه عمدًا.

1. 01
   تحديد نقطة البداية

   اختر حدثًا أو تنبيهًا أو كيانًا أو وقتًا موثوقًا يوضّح سبب بدء البحث.

2. 02
   تضييق النطاق

   طبّق شروط الوقت والمصدر والحقول والقيم مع متابعة تغطية النتائج.

3. 03
   الانتقال إلى سياق مرتبط

   تتبّع الهويات والعناوين والأصول والعمليات والموارد والتقنيات المرتبطة.

4. 04
   المقارنة

   افحص التكرار وخط الأساس والتنبيهات المرتبطة وتطابقات التهديد وسياق السحابة.

5. 05
   الحفظ

   سجّل معنى البحث والفترة الزمنية والأدلة المختارة والجوانب غير المعروفة والخطوة التالية.

قد يعني غياب التطابقات أن النشاط لم يقع، أو أن البحث ضيق جدًا، أو أن المصدر خارج النطاق، أو أن الأدلة متأخرة، أو أن الحقول تختلف، أو أن مدة الاحتفاظ لا تشمل الحدث. افحص سلامة المصادر والمناطق الزمنية ومعنى الحقول والتغطية قبل الاستنتاج بالغياب.