İlk həftələrdə iş yükünün böyük hissəsi triage-dır: növbə boyu gələn alertləri prioritetləşdirmək, təkrarlananları qruplaşdırmaq və hansının real hadisə olduğunu ayırmaq. Bu, alət bilikdən çox nizam-intizam məsələsidir.
İkinci ay adətən qaydaların dəqiqləşdirilməsi ilə keçir. False positive-ləri saymaq, mənbəyini tapmaq və qaydanı yenidən yazmaq analitikin ən dəyərli vərdişidir — komandanın diqqətini boş alertlərdən qoruyur.
Üçüncü ayda artıq hadisəni özün sənədləşdirirsən: nə baş verdi, hansı hostlar toxundu, hansı addım atıldı, nə qalıb. Yaxşı yazılmış hesabat sonrakı hadisədə komandaya bir gün qazandırır.
Laboratoriyada bu üç mərhələni ardıcıl keçiririk: hazır SIEM üzərində növbə simulyasiyası, öz Sigma qaydanın yazılması və yekun insident hesabatı.
Blue Team proqramında praktikada öyrən.
Blue Team →Proqram haqqında məlumat alın
Formu doldurun — proqram məsləhətçisi zəng edib müddət, qrup vaxtı və şərtlər barədə ətraflı məlumat versin.