soc-alert-triage

साइबर सुरक्षा के लिए SOC अलर्ट ट्राइएज विशेषज्ञ स्क्वाड।

अवलोकन

soc-alert-triage एक पूर्ण स्क्वाड है जो पूरे सुरक्षा अलर्ट ट्राइएज पाइपलाइन को कवर करता है:

1. अलर्ट वर्गीकरण — कई स्रोतों (SIEM, IDS, EDR, क्लाउड) से प्रकार, गंभीरता और MITRE ATT&CK मैपिंग द्वारा स्वचालित वर्गीकरण
2. फॉल्स पॉजिटिव फ़िल्टरिंग — ऐतिहासिक पैटर्न, व्यवहार बेसलाइन और संदर्भ व्हाइटलिस्ट का उपयोग करके FP पहचान और फ़िल्टरिंग
3. खतरा प्राथमिकता — शोषणीयता, विस्फोट त्रिज्या, संपत्ति गंभीरता और व्यावसायिक प्रभाव पर आधारित जोखिम स्कोरिंग
4. खतरा इंटेल संवर्धन — IOC, पूर्ण MITRE ATT&CK मैपिंग, प्रतिष्ठा स्कोर और ऐतिहासिक सहसंबंध
5. ब्रीफ जनरेशन — टाइमलाइन, अनुशंसित प्लेबुक, IOC और प्राथमिक प्रतिक्रिया कार्यों के साथ कार्रवाई योग्य दस्तावेज़

समस्या: SOC विश्लेषक प्रतिदिन 4,000+ अलर्ट का सामना करते हैं, जिनमें 80%+ फॉल्स पॉजिटिव होते हैं — जो अलर्ट थकान, बर्नआउट और वास्तविक खतरों को छोड़ने का जोखिम पैदा करते हैं।

एजेंट

कार्यप्रवाह

उपलब्ध कमांड

त्वरित प्रारंभ

# प्राथमिकता निर्धारक को सक्रिय करें (मुख्य ऑर्केस्ट्रेटर)
/sat:agents:threat-prioritizer

# पूर्ण अलर्ट ट्राइएज पाइपलाइन
*triage-full

# त्वरित वर्गीकरण
*rapid-classify

# केवल अलर्ट वर्गीकरण
*classify-alerts

# केवल ब्रीफ जनरेशन
*generate-brief

लक्षित उपयोगकर्ता

• SOC विश्लेषक (L1, L2, L3)
• सुरक्षा इंजीनियर
• खतरा शिकारी (Threat Hunters)
• CISO और सुरक्षा नेता
• घटना प्रतिक्रिया टीमें

आवश्यकताएं

• SIEM तक पहुंच (Splunk, QRadar, Sentinel, Elastic SIEM)
• खतरा इंटेल फ़ीड तक पहुंच (VirusTotal, AbuseIPDB, MISP)
• EDR उपकरणों तक पहुंच (CrowdStrike, SentinelOne, Defender)
• MITRE ATT&CK फ्रेमवर्क वर्गीकरण संदर्भ के रूप में