Intake
- co zgłoszono (objaw, nie diagnoza)
- który host / konto / czas (strefa!)
- kto może zdecydować o izolacji
- czy ktoś już restartował / czyścił logi
Fakty (nie hipotezy)
- 4624/4625 albo auth Linux — jeśli to ten typ zdarzenia
- proces / usługa, jeśli widać w logu
- sieć: źródło, port, kierunek — jeśli widać
- lista braków (czego nie ma)
Decyzja
- obserwować / izolować / eskalować — z uzasadnieniem
- alert ≠ incydent, dopóki nie zapiszesz dlaczego
Notatka
- oś czasu
- działania i kto je wykonał
- następny krok i deadline
Izolacja bez ownera to teatr. Ta lista nie zastępuje prawa, HR ani ubezpieczyciela.