Il triage delle minacce è la revisione preliminare di un avviso di sicurezza, di una segnalazione o di un artefatto per decidere se sia probabilmente reale, urgente o solo rumore. Gli analisti controllano rapidamente la fonte, il contesto, gli indicatori e i log di supporto prima di dedicare tempo a un'analisi più approfondita. L'obiettivo non è dimostrare subito ogni dettaglio, ma distinguere i segnali deboli dalle evidenze che meritano di essere escalate.
Nella sicurezza informatica, il triage è importante perché i difensori affrontano più avvisi di quanti possano analizzare completamente. Una rivendicazione di ransomware, un hash sospetto o un obiettivo nominato possono essere un indizio utile, ma possono anche essere un'esagerazione, una falsa attribuzione o rumore generato dall'automazione. Un buon triage aiuta i team a stabilire le priorità del contenimento, verificare i log di accesso, ispezionare gli endpoint e decidere se ignorare, monitorare o escalare un evento. Un triage inadeguato fa perdere tempo o lascia passare una vera intrusione.