EVENTO IN INGRESSO
Dal rumore alla decisione operativa.
Un alert prioritario combina PowerShell anomala, un hash presente nella threat intelligence e un accesso impossibile su un asset critico.
- REGOLA01
Consolida l’alert
Deduplica, verifica severità, SLA, criticità dell’asset e playbook autorizzato.
- LLM02
Costruisce l’ipotesi
Correla telemetria e contesto, ricostruisce la catena e propone le verifiche.
- HUMAN03
Decide il contenimento
L’analista valida escalation e azioni sull’endpoint quando richiesto dalla policy.
- AZIONE04
Apre e documenta
Aggiorna il case, avvia gli enrichment, assegna attività e conserva evidenze.