soc-alert-triage

فريق متخصص في فرز تنبيهات SOC للأمن السيبراني.

نظرة عامة

soc-alert-triage هو فريق كامل يغطي خط أنابيب فرز تنبيهات الأمان بالكامل:

1. تصنيف التنبيهات — تصنيف آلي حسب النوع والخطورة وتعيين MITRE ATT&CK من مصادر متعددة (SIEM، IDS، EDR، السحابة)
2. تصفية الإيجابيات الكاذبة — تحديد وتصفية FP باستخدام الأنماط التاريخية وخطوط الأساس السلوكية والقوائم البيضاء السياقية
3. تحديد أولويات التهديدات — تسجيل المخاطر بناءً على قابلية الاستغلال ونطاق التأثير وحرجية الأصول والتأثير على الأعمال
4. إثراء استخبارات التهديدات — IOC وتعيين MITRE ATT&CK الكامل ودرجات السمعة والارتباط التاريخي
5. إنشاء الملخصات — مستندات قابلة للتنفيذ مع جدول زمني ودليل تشغيل موصى به وIOC وإجراءات استجابة ذات أولوية

نقطة الألم: يواجه محللو SOC أكثر من 4000 تنبيه يومياً، مع 80%+ إيجابيات كاذبة — مما يسبب إرهاق التنبيهات والإنهاك وخطر تفويت التهديدات الحقيقية.

الوكلاء

سير العمل

الأوامر المتاحة

البداية السريعة

# تفعيل محدد الأولويات (المُنسق الرئيسي)
/sat:agents:threat-prioritizer

# خط أنابيب فرز التنبيهات الكامل
*triage-full

# التصنيف السريع
*rapid-classify

# تصنيف التنبيهات فقط
*classify-alerts

# إنشاء الملخص فقط
*generate-brief

المستخدمون المستهدفون

• محللو SOC (L1، L2، L3)
• مهندسو الأمن
• صيادو التهديدات (Threat Hunters)
• CISO وقادة الأمن
• فرق الاستجابة للحوادث

المتطلبات

• الوصول إلى SIEM (Splunk، QRadar، Sentinel، Elastic SIEM)
• الوصول إلى مصادر استخبارات التهديدات (VirusTotal، AbuseIPDB، MISP)
• الوصول إلى أدوات EDR (CrowdStrike، SentinelOne، Defender)
• إطار MITRE ATT&CK كمرجع تصنيفي