Gli avvisi sottoposti a triage sono notifiche di sicurezza che un analista o un flusso di lavoro automatizzato ha esaminato, valutato in base all’urgenza e prioritizzato per le attività successive. Il triage può comportare la verifica dei dati di origine dell’avviso, la valutazione della sua probabile gravità e la decisione se si tratti di un falso positivo, se siano necessarie ulteriori indagini o se sia necessario avviare una risposta agli incidenti.
In un SIEM o in un servizio di sicurezza gestito, il triage aiuta a trasformare un elevato volume di rilevamenti in una coda di risposta utilizzabile. La definizione delle priorità indirizza il tempo limitato degli analisti verso le minacce che potrebbero avere il maggiore impatto, mentre procedure chiare di escalation e assegnazione delle responsabilità contribuiscono a garantire che gli avvisi importanti vengano gestiti. Un triage efficace dipende da dati di log utili, rilevamenti ben calibrati e criteri coerenti; da solo, non conferma che si sia verificato un attacco né che un avviso sia stato risolto completamente.