Il triage delle threat intelligence è il processo di verifica di una rivendicazione, un avviso o un report esterno rispetto alle evidenze interne prima di decidere cosa significhi. In pratica, gli analisti confrontano la rivendicazione con i log, la telemetria degli endpoint, l'attività delle identità, le tracce di rete, gli inventari delle risorse e il contesto aziendale noto. L'obiettivo è separare il segnale dal rumore ed evitare di trattare ogni accusa pubblica come una compromissione confermata.
Questo è importante perché attori malevoli, siti di leak e canali di voci possono creare urgenza senza dimostrare un'intrusione, un furto di dati o un impatto operativo. Un buon triage aiuta i difensori a dare priorità alla risposta, a convalidare l'esposizione e a evitare panico inutile o sforzi sprecati. Negli attacchi reali, il triage spesso inizia quando appare un post della vittima, una nota di riscatto o un indicatore. I difensori cercano quindi eventi di autenticazione corrispondenti, trasferimenti di dati insoliti, processi sospetti o prove di accesso per determinare se la rivendicazione è credibile e quanto si sia esteso il problema.