Comienza con la evidencia
Nova mantiene disponible el registro de origen y su procedencia mientras el contexto pasa a hallazgos, detecciones, investigaciones y decisiones. Esto permite preguntar qué se observó, cuándo se observó, de dónde vino y qué cambió después.
Una conclusión puede combinar varios registros, pero no debe borrar sus diferencias. La evidencia de configuración cloud, el comportamiento de identidad, el contexto externo de amenazas y el criterio del analista tienen significados distintos.
Preguntas al revisar la evidencia
- ¿Este registro es observado, inferido, simulado o aportado como contexto externo?
- ¿Qué alcance de cliente y organización describe?
- ¿La fuente está saludable y la evidencia es suficientemente reciente para esta decisión?
- ¿Se puede seguir la evaluación hasta los registros que la respaldan?
- ¿Qué hechos siguen siendo desconocidos o están fuera del alcance conectado?
La evidencia orienta la acción, pero no la autoriza
La evidencia puede indicar que un incidente es urgente. Cualquier respuesta debe seguir las políticas, los permisos y las aprobaciones del cliente. Nova mantiene la acción propuesta vinculada a la investigación.