Indagini e incidenti

Coda e Kanban

Indagini apre l'area degli incidenti. La coda tabellare e il Kanban mostrano gli stessi casi con rappresentazioni diverse. La ricerca considera titolo, identificativo e assegnatario; i filtri comprendono stato, gravità e asset.

La coda espone incidenti aperti per gravità, casi attivi senza responsabile e superamenti SLA. Gli indicatori rispondono al perimetro corrente: un caso non assegnato e un caso in ritardo sono condizioni distinte.

Questa pagina descrive i controlli verificati nel codice del portale. Le transizioni, gli upload e l'esecuzione di analisi non sono stati provati in scrittura sullo stage.

Stato, gravità e responsabilità

Campo	Valori e uso
Stato	open, triage, in_progress, waiting, resolved, closed. Aggiornabile dal dettaglio e dai controlli della coda consentiti dal ruolo.
Severity	low, med, high, critical; influisce sul target SLA della fase.
Responsible / Assignee	Utente responsabile, scelto tra le opzioni disponibili. La rimozione dell'assegnazione rende il caso non assegnato.
Invite operators	Elenco di utenti invitati a partecipare; non sostituisce il responsabile.
Categoria	auth, malware, network, backup, other, come riportata dal caso.
Origine	Manuale o agente, distinta dall'operatore che esegue la review.

resolved e closed sono stati diversi. La risoluzione segnala il lavoro risolutivo; la chiusura completa il ciclo. La disposizione del Finding collegato rimane un dato distinto: non ricavare lo stato dell'incidente da quella.

Le modifiche possono registrare attività nella timeline. Se un salvataggio fallisce, ricarica il caso e confronta il valore effettivo prima di ripeterlo.

SLA per fase

Il portale seleziona la policy SLA corrispondente allo stato corrente e alla gravità dell'incidente. Per configurare le soglie usa le impostazioni del tenant.

• Per open, l'inizio della fase è la creazione dell'incidente.
• Per gli altri stati, viene cercata l'attività più recente che registra l'ingresso nello stato attuale. Se manca, il portale usa ultima attività, ultimo aggiornamento o creazione, in quest'ordine.
• La scadenza è l'inizio della fase più il target espresso in minuti.
• Warning scatta quando il residuo è al massimo il maggiore tra 60 minuti e il 25% del target, arrotondato per eccesso. Con target brevi la segnalazione può comparire subito.
• Breached indica residuo negativo. Paused dipende dal flag di pausa della policy; Disabled indica policy assente/disabilitata o target non utilizzabile.
• Per un caso closed con policy valida il calcolo restituisce Completed.

Questa è una scadenza della fase corrente, non una somma automatica di tutto il tempo del caso. Cambiare stato o gravità può cambiare inizio e target usati nel calcolo.

Evidenze e note

Il dettaglio permette di consultare alert collegati, asset, evidenze, IOC, timeline e analisi SOC. Nei pannelli con filtri per target, origine o servizio, il filtro restringe ciò che viene mostrato; non rimuove evidenze dal caso.

Nota interna

Add note richiede un testo non vuoto dopo la rimozione degli spazi esterni. La nota viene salvata come evidenza di tipo note. Usa riferimenti verificabili e separa osservazioni, ipotesi e attività da eseguire.

Evidenza testuale

Campo	Uso
Modalità Text	Inserimento diretto di contenuto.
Tipo	artifact (artefatto), raw_log (log originale), mitre_classification (classificazione tecnica).
Contenuto	Payload dell'evidenza; non confondere una nota di commento con un log originale.
Add evidence	Salva l'evidenza nel caso.

File

Campo	Uso
File	Un solo file per caricamento; il trascinamento lo seleziona, Upload evidence file lo invia.
Tipo evidenza	log_file, edr_export, pcap, command_output, screenshot, archive, other. Iniziale log_file.
Asset collegato	Facoltativo; scelto tra gli asset del caso.
Descrizione	Contesto del file, provenienza e rilevanza per l'indagine.

Il dettaglio del file include nome, tipo di contenuto, dimensione, hash SHA-256, autore, data di caricamento e stato dell'analisi: not_requested, queued, running, completed, failed. Usa Download per recuperare il file disponibile; una richiesta di analisi in coda non è un risultato completato.

La cancellazione di un'evidenza è una modifica del caso. Una voce della timeline o un riferimento rimasto in un'analisi non sostituisce il file eliminato.

Raccolta da Microsoft Defender

La modalità Defender logs richiede una macchina Defender collegata al caso. Scegli l'asset e usa Collect and download Defender logs. Il portale prima salva l'evidenza e poi tenta il download: se il download fallisce dopo il salvataggio, recupera il file dalla tabella, senza presumere che la raccolta sia fallita.

IOC del caso

Il drawer Add IOC salva un'evidenza ioc_list; non crea automaticamente una regola Detection o una voce pubblicata nel catalogo Threat Intelligence.

Campo	Valori
Indicatore	Obbligatorio, spazi esterni rimossi. Esempio documentale example.com.
Tipo	ip, domain, url, hash, email, file, other; iniziale ip.
Confidenza	low, med, high; iniziale med.
TLP	clear, green, amber, red; iniziale amber.
Nota	Facoltativa; spiega il collegamento al caso.

Aggiungere asset all'incidente

Collega asset esistente cerca per nome, hostname o indirizzo IP all'interno del tenant. Sono esclusi dai candidati i record ritirati, esclusi o confluiti in un altro asset. Un asset già collegato non può essere aggiunto una seconda volta.

Crea asset manuale raccoglie:

Campo	Vincolo
Nome	Obbligatorio.
Tipo	Obbligatorio: endpoint, server, switch, access point, firewall, router, VM o storage.
Criticità	Obbligatoria: bassa, media o alta.
Hostname	Facoltativo; viene usato per cercare duplicati.
IP	Facoltativo, IPv4 o IPv6 valido; viene usato per cercare duplicati.

Se inserisci hostname o IP, esegui prima la verifica dei candidati. Quando esistono corrispondenze scegli il record oppure conferma esplicitamente la creazione di uno nuovo. Una ricerca incompleta blocca la creazione: non equivale a “nessun candidato”.

Il comando riusa un identificativo stabile nei tentativi con gli stessi dati. In caso di esito incerto puoi riprovare senza creare intenzionalmente una seconda richiesta; se il server segnala conflitto, rileggi il caso e risolvi i dati discordanti. Una modifica a hostname/IP richiede una nuova verifica.

Task e analisi delle evidenze

Queue task propone triage, investigate, enrich e report, più un input JSON facoltativo. La scelta iniziale è triage. Lo stato del task può essere queued, running, done, failed o cancelled; consulta output e messaggio d'errore prima di ripetere l'esecuzione.

L'analisi di un'evidenza può proporre approfondimenti sui log. Quando il portale presenta un passo da confermare, leggi query, contesto e riferimenti prima di avviarlo: il risultato precedente e la nuova esecuzione sono artefatti distinti.

Analisi SOC dell'incidente

Avvia analisi SOC o Riesegui analisi SOC crea un'esecuzione nel contesto corrente. La disponibilità dipende dalla configurazione del tenant e dal runtime. Il risultato presenta quadro osservato, possibili spiegazioni, attendibilità, limiti e riferimenti alle fonti; apri questi riferimenti per verificare le conclusioni.

Controllo	Effetto
Avvia / Riesegui	Accoda una nuova analisi quando consentito.
Ferma analisi	Disponibile per run queued o running; richiede l'arresto. Controlla lo stato successivo.
Elimina analisi	Disponibile per run non attive, con conferma. Elimina risultato e voce storica della run; log ed evidenze del caso restano disponibili.
Aggiungi nota di revisione	Precompila una nota con il riferimento alla run; completa e salva la valutazione.
Apri fonte / riferimento	Mostra l'evidenza, alert, asset o rapporto collegato quando disponibile.

La barra di avanzamento è una stima del processo. Un'analisi parziale o una fonte non più disponibile deve rimanere esplicita nella review. Il giudizio dell'agente non sostituisce la modifica autorizzata dello stato dell'incidente.

Verifica prima della chiusura

Controlla che responsabile, gravità e asset siano coerenti, che le evidenze decisive siano accessibili e che le attività residue abbiano una destinazione. Registra in una nota ciò che è stato verificato e le lacune rimaste. Dopo la transizione verifica stato effettivo, timeline e indicazione SLA.