Valutare una segnalazione
Un alert è un segnale da valutare. Gravità, numero degli eventi, stato operativo ed esito dell'analisi descrivono aspetti diversi.
Coda Alert osservata sullo stage 0.6.0 il 10 novembre 2026. Dettaglio, promozione e soppressione verificati nel codice; il dettaglio dell'alert selezionato nello stage non ha completato la visualizzazione. Non sono state eseguite promozioni, soppressioni o cancellazioni.
Perimetro, viste e filtri
Controlla cliente e tenant, poi apri Alert / Alert in ingresso.
| Controllo | Comportamento |
|---|---|
| Coda triage | Ripristina gravità e stato dell'agente senza restrizioni, nessuna soglia minima di conteggio, ordine ultima osservazione. Usa gli stati visibili o tutti se “Mostra nascosti” è attivo. |
| Critico | Imposta gravità critical, azzera il filtro agente e il conteggio minimo; ordine ultima osservazione. |
| In attesa di revisione | Imposta stato agente awaiting_review, senza filtro di gravità o conteggio minimo. |
| Ricorrenti | Conteggio minimo 2, ordine per conteggio decrescente; azzera gravità e stato agente. |
| Cerca alert | Almeno 2 caratteri Unicode, massimo 128 byte UTF-8, nessun carattere di controllo; spazi esterni rimossi. Il limite di 128 caratteri del campo non garantisce 128 byte per testo accentato o emoji. |
| Gravità | Selezione multipla: critical, high, med, low. |
| Stato | new, acknowledged, suppressed, escalated, closed, hidden, false_positive, other. Gli ultimi tre non sono inclusi nella vista iniziale standard. |
| Connettore | graylog, elastic, edr, xdr, other; selezione multipla. |
| Ordinamento | Ultima osservazione, prima osservazione, gravità o conteggio, in ordine decrescente. |
| Dimensione pagina | 25, 50 o 100; iniziale 50. |
| Azzera filtri | Ripristina triage, ricerca vuota, stati visibili, nessun filtro connettore/agente, ordine ultima osservazione; svuota la selezione. |
Le viste rapide non azzerano necessariamente ogni filtro già presente: verifica i controlli attivi, in particolare il connettore. Per una ripartenza completa usa Azzera filtri. Filtri e posizione sono rappresentati nell'URL; il testo ricercato è nel frammento del collegamento.
Ingrandisci immagineI conteggi accanto ai filtri provengono dalle faccette della coda. Quando non sono disponibili il portale mostra un avviso: l'assenza del conteggio non equivale a zero alert.
Leggere la riga
| Colonna | Interpretazione |
|---|---|
| Gravità | Gravità del segnale. |
| Alert | Titolo e origine. |
| Perimetro | Tenant e asset associati. |
| Attività | Occorrenze/eventi e durata osservata. |
| Triage | Stato dell'alert e stato/proposta dell'analisi, separati. |
| Caso | Raggruppamento e informazioni del caso riportate dalla coda. |
| Ultimo visto | Ultima osservazione disponibile. |
Nuovo e Non riuscito possono coesistere: il primo è lo stato dell'alert, il secondo il fallimento dell'analisi. Il fallimento non dimostra benignità. Il conteggio di eventi ripetuti non è il numero degli alert distinti.
Dettaglio e provenienza
Il dettaglio mostra identificativo, titolo, gravità, stato, sorgente, categoria, conteggio, tenant, chiave di correlazione e incidenti collegati. Riepilogo, asset, entità osservate, timeline, eventi e reputazione permettono di verificare il segnale.
Per alert Microsoft Defender sono riportati separatamente gravità, stato, classificazione e determinazione Microsoft, identificativi upstream e incidente Microsoft. Questi valori non sostituiscono gravità, stato e incidente SOC del portale.
Visualizza dettagli log carica il dettaglio dell'evento. I controlli per eventi più vecchi ampliano la porzione caricata; il riepilogo iniziale non garantisce che ogni evento storico sia già nel browser. Nei rapporti reputazionali confronta indicatore, provider e data di verifica.
Associazione di asset
Se il portale propone una corrispondenza di inventario, controlla identità e tenant prima di collegarla. Il modulo manuale può usare l'IP sorgente già selezionato e richiede Nome, Tipo e Criticità; Hostname e Tag sono opzionali. La criticità accetta low, med, high. Il collegamento dell'asset arricchisce il contesto, non cambia da solo la valutazione dell'alert.
Analisi assistita
| Stato | Significato operativo |
|---|---|
queued | Esecuzione in coda. |
running | Analisi in corso. |
awaiting_review | Proposta pronta per revisione. |
applying | Applicazione in corso. |
completed | Esecuzione completata. |
failed | Errore da aprire nel dettaglio. |
cancelled | Esecuzione annullata. |
Rerun accoda una nuova analisi. Load details carica run e proposta; aprendo i passi sono caricati i dettagli degli step. Il pannello riporta decisione, confidenza percentuale, provider/modello, tentativi, aggiornamento ed errore.
Accept proposal e Cancel sono disponibili solo negli stati consentiti dal controllo. Prima di accettare leggi motivazione e azioni proposte: l'accettazione è una modifica operativa, non una semplice presa visione.
Promuovere a incidente
| Campo | Uso |
|---|---|
| Title | Obbligatorio: titolo del caso. |
| Severity | low, med, high, critical. |
| Category | auth, malware, network, backup, other. |
| Assets | Sistemi da associare, scelti tra quelli disponibili. |
| Summary | Sintesi di evidenze, contesto e motivo della promozione. |
Crea incidente esegue la promozione. Il pulsante è disabilitato se l'alert risulta già escalato/collegato a un incidente oppure falso positivo. Usa View incident per aprire il caso già presente. Per la gestione successiva vedi Indagini e incidenti.
Falso positivo e soppressione
Nascondi, Falso positivo e Elimina hanno effetti distinti. Nascondere modifica la visibilità; una soppressione definisce corrispondenze da gestire nel runtime; la cancellazione amministrativa elimina permanentemente alert, eventi, collegamenti e analisi.
La decisione di falso positivo parte da un'anteprima. Verifica eleggibilità, match esatti disponibili e destinazione Data Plane. Se il portale indica No safe runtime match, non presumere che una soppressione sia applicabile.
Campi della decisione
| Campo | Valori / vincoli |
|---|---|
| Reason | Obbligatorio: attività benigna, attività amministrativa nota, comportamento atteso dell'integrazione, test/simulazione, parser/mapping errato, logica regola errata, segnale insufficiente, eccezione ambientale o altro. |
| Audit note | Obbligatoria, non solo spazi; massimo 2000 caratteri. Spiega evidenze e motivo, non limitarti a ripetere il titolo. |
| Duration | Temporanea o permanente; iniziale temporanea. |
| Expiry | 1 ora, 24 ore, 7 giorni, 30 giorni o personalizzata; iniziale 24 ore. I preset decorrono dal momento della conferma. |
| Custom expiry | Data/ora locale valida e futura; convertita in un istante ISO. |
| Conferma permanente | Casella obbligatoria per la durata permanente: resta attiva fino a revoca esplicita. |
| Candidato esatto | In modalità proposta esatta, seleziona il candidato offerto dall'anteprima. |
Standard e proposta esatta
La modalità Standard usa i match sicuri dell'anteprima, basati su correlazione o fingerprint. La modalità Exact salva una proposta riferita a un predicato preciso, per esempio regola/versione oppure valore e ruolo dell'entità. Salvare una proposta non attiva automaticamente una soppressione.
| Stato proposta | Significato |
|---|---|
draft_blocked | Richiede review. |
reviewed_blocked | Review registrata, attende supporto/attivazione runtime. |
promoted | Policy v2 attiva. |
review_stale | Deve essere revisionata nuovamente. |
expired | Scaduta. |
cancelled | Annullata. |
Una proposta temporanea può scadere prima dell'attivazione runtime. Le proposte bloccate non sopprimono alert. L'annullamento richiede una motivazione non vuota, massimo 2000 caratteri nel campo.
Pubblicazione e revoca
La vista False-positive proposals filtra per tenant e stato e legge fino a 100 proposte; se il risultato è troncato, il portale lo segnala. Review proposal è disponibile per proposte da rivedere ai ruoli autorizzati (amministratore piattaforma, owner/admin partner, admin/analista tenant). Promote and publish, riservato all'amministratore di piattaforma su una proposta revisionata, crea una policy FPS v2 attiva e pubblica lo snapshot autorizzato del tenant. Reconcile policy, sulle proposte già promosse, ripubblica solo quando necessario e verifica la rilettura firmata. Il comando di annullamento non è proposto su proposte già annullate o promosse.
Lo storico mostra autore, data, durata, scadenza, pubblicazioni per Data Plane, match soppressi e ultimo match. Gli stati includono published, pending, pending_retry, failed, revocation_pending, revoked, expired, not_configured.
- Retry publication riprova le pubblicazioni eleggibili in errore o in attesa di retry.
- Revoke suppression richiede una motivazione non vuota e conferma. Verifica l'esito runtime:
revocation_pendingnon è ancorarevoked. - Un conteggio di match Unavailable resta sconosciuto e non va trattato come zero.
Operazioni multiple
La coda limita la selezione a 50 alert. Il riepilogo distingue selezionati ed eleggibili. Il pulsante di falso positivo è disponibile solo con permesso e almeno un elemento eleggibile.
Rivedi l'anteprima per ciascun risultato; nei batch possono coesistere successi e fallimenti. Gli elementi riusciti vengono rimossi dalla selezione, quelli da correggere restano verificabili. Non ripetere tutto il batch assumendo che sia fallito integralmente.
Errori e controlli finali
Controlli di demo e amministrazione
Ingest demo alert richiede un tenant selezionato e crea o aggiorna dati dimostrativi: non è un refresh della coda. Reset tenant data, riservato all'amministratore di piattaforma, richiede tenant e conferma ed elimina alert, candidati, incidenti, esecuzioni agente, evidenze e task del tenant; conserva la configurazione. Non usarlo per correggere un filtro o un errore di lettura.
Mostra nascosti imposta l'insieme completo degli stati, azzera la posizione e svuota la selezione. New data ricarica la coda e, se si è su una pagina successiva, torna all'inizio. Il dettaglio offre Hide/Unhide per la visibilità; Delete, quando autorizzato, elimina permanentemente il record e i dati collegati indicati nella conferma. Per gli alert già falsi positivi usa lo storico di soppressione: i controlli di nascondimento e cancellazione non sono proposti nello stesso modo.
Se elenco o faccette non si caricano, usa il retry del pannello corretto. Se il dettaglio rimane incompleto, registra identificativo, pagina, orario e contesto nel canale interno di assistenza.
Dopo ogni modifica verifica stato effettivo, collegamenti e storico. Una decisione del SOC deve conservare evidenze e motivazione; uno stato dell'agente o un messaggio di richiesta accettata non sostituiscono la verifica del risultato.