Le scénario
Un centre opérationnel de sécurité a besoin d’une base de données pour suivre les incidents issus des alertes, gérer les dossiers d’enquête, affecter les analystes et enregistrer les actifs et éléments de preuve concernés.
Ce que contient ce dessin
Comprenez les décisions qui le sous-tendent.
01
Séparer les entités Incident et Case afin de n’escalader les incidents en dossiers que lorsque cela est nécessaire
02
Utiliser une relation plusieurs-à-plusieurs entre Incident et Asset via une table de jonction IncidentAsset
03
Relier directement Evidence à Case pour assurer la chaîne de conservation
Convient aux plateformes de SOC, aux systèmes SIEM/SOAR ou aux bases de données de renseignement sur les cybermenaces.