Il triage interno è la revisione iniziale e strutturata che un team di sicurezza esegue dopo una segnalazione di incidente, un avviso o un report sospetto. Di solito inizia con il controllo dei log, della telemetria degli endpoint, dei record di autenticazione e dell'attività recente degli utenti per stabilire se l'evento sia reale, limitato o falso.
Questo passaggio è importante perché le rivendicazioni pubbliche di vittime, le segnalazioni di phishing e gli avvisi automatici possono creare urgenza senza dimostrare una compromissione. Un buon triage aiuta i difensori a separare rapidamente il rumore dalle prove, a identificare gli account o i sistemi interessati e a preservare i log prima che scadano. Negli attacchi reali, il triage può rivelare accessi insoliti, accesso ai dati o esecuzione di malware; nelle operazioni difensive, può anche mostrare che non si è verificata alcuna violazione e che la segnalazione non è confermata. L'obiettivo è una verifica disciplinata prima dell'escalation, del contenimento o di una risposta pubblica.