DOCS / PL

SOC L1 — przegląd

Monitoring, triage, eskalacja, notatka. Alert nie jest incydentem.

SOC L1 w tym docs oznacza pierwszą linię w labie i w opisie usługi, nie certyfikat i nie zmianę na trzy zmiany.

Workflow

  1. Alert albo zgłoszenie
  2. Walidacja źródła (host, czas, konto)
  3. Triage: true / false / nie da się powiedzieć
  4. Wzbogacenie tym, co jest w logu
  5. Eskalacja albo zamknięcie
  6. Notatka

Czego L1 nie udaje

  • threat huntingu „na czuja” bez telemetrii
  • containmentu bez ownera hosta
  • że każdy alert to breach

Zobacz checklistę IR i lab SOC, zanim dokładzesz kolejny dashboard.