Conceito e funcionamento
Severidade descreve gravidade potencial de evento; prioridade agrega urgência, criticidade de ativos, exposição e impacto esperado. A confiança representa qualidade da evidência. Uma assinatura alta pode ter baixa confiança ou ocorrer em laboratório; uma mudança de privilégio aparentemente simples pode afetar serviço crítico.
Como investigar e correlacionar
Avalie evento bruto, ativo, proprietário, conta, mudança autorizada, extensão e fontes corroborantes. Documente fatores que elevaram ou reduziram prioridade. Reclassifique conforme novas informações, preservando histórico de decisões e a versão do runbook usado.
ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
A mesma regra detecta evento em host de laboratório e em identidade administrativa que controla produção.
Procedimento orientado
Avalie impacto, exposição, ativo, confiança e tempo para mitigação, separando severidade técnica de prioridade operacional.
Resultado esperado
O exercício resulta em duas decisões justificadas e critérios claros de revisão quando surgir nova evidência.
Cuidados adicionais
Escalas numéricas isoladas podem ocultar diferença de consequência e qualidade do dado.
Limitações e interpretações incorretas
Não use CVSS como severidade automática de incidente. Pontuações proprietárias sem explicação não substituem evidência. Tratar toda atividade anômala como incidente confirmado cria ruído e decisões precipitadas.
Checklist de validação
- Distinguir prioridade e gravidade
- Avaliar risco de negócio
- Registrar grau de confirmação
- Definir gatilho de escalonamento
Referências técnicas
Guias para aprofundar
- triagem alertas severidade escalonamento — aguardando publicação editorial