Investigation

Event คือสิ่งที่ระบบสังเกต Alert คือการแจ้งจากเงื่อนไขตรวจ Incident คือเหตุที่เข้าเกณฑ์ขององค์กรและต้องรับมือ เช่นละเมิดหรือกระทบการปกป้อง ไม่ใช่ทุก alert เป็น incident

การ login ล้มหนึ่งครั้งเป็น event Rule ตามจำนวนอาจสร้าง alert เมื่อพบการเข้าถึงบัญชีโดยผู้ไม่ได้รับอนุญาตและตรงเกณฑ์จึงจัดเป็น incident บันทึกเหตุผลที่ยกระดับหรือปิด

IOC เช่น hash domain IP หรือ artifact ช่วยค้นร่องรอย แต่บางค่าร่วมใช้กับงานปกติและเปลี่ยนเร็ว ต้องมีแหล่ง เวลา confidence และสิ่งที่พบในระบบตัวเอง

IP shared hosting ตรง feed ไม่พิสูจน์เครื่องติด malware ดู process path และความสัมพันธ์การเชื่อม Hash ตรง known malicious มีน้ำหนักต่อไฟล์นั้น แต่ยังต้องตรวจว่า execute หรือเพียงดาวน์โหลดมา

Triage ประเมินความน่าเชื่อ ผลกระทบและความเร่งด่วน ใช้ scope asset criticality กับสิ่งที่ attacker ทำได้ แล้วส่งต่อเจ้าของที่มี authority พร้อมบอกสิ่งที่ยังไม่รู้

Alert บัญชี admin กับบัญชีทดสอบให้ความเสี่ยงต่าง ต้องตรวจสิทธิ์จริงไม่เดาจากชื่อ หาก telemetry ไม่พอให้ขอข้อมูลหรือเก็บเหตุรอตรวจ ไม่ปิดว่า false positive เพราะหาไม่เจอครั้งแรก

ตรวจ hash เริ่มจากไฟล์ byte จริง algorithm และแหล่งอ้างอิง ใช้ reputation เป็นข้อมูลประกอบ ไม่ส่งไฟล์อ่อนไหวไปบริการภายนอกโดยไม่มีสิทธิ์ Hash ไม่ตรง known bad ไม่แปลว่าไฟล์ปลอดภัย

ตรวจ path signature metadata และ process ที่สร้างหรือใช้ไฟล์ร่วมกัน Malware รุ่นใหม่อาจไม่มี reputation ส่วนไฟล์ที่เก็บแต่ไม่รันมีผลต่างจากไฟล์ที่ execute และติดต่อออก

Timeline รวมเหตุหลายแหล่งตามเวลาที่ normalize แล้ว ระบุ source actor action และระดับความแน่ใจ แยกสิ่งที่ log ระบุจากข้ออนุมาน ไม่เติมช่องว่างให้เรื่องดูสมบูรณ์

ไฟล์ถูกสร้างก่อน process รันแล้วมี network หลังจากนั้นช่วยสร้างลำดับ แต่ยังไม่พิสูจน์ causal link ทุกคู่ ระบุ log ที่หายและ clock skew เพื่อให้ผู้อ่านรู้ขอบเขตการสรุป

Severity ดูความเสียหายและศักยภาพผลกระทบ Priority เพิ่มความเร่งด่วนในการจัดการ Validation ตรวจว่าข้อมูลและเงื่อนไขจริง อย่าตั้ง severity จากชื่อ rule โดยไม่ดู asset กับ action

Credential theft ของบัญชีที่ไม่ใช้แล้วต่างจากบัญชีควบคุม backup หากยังไม่ทราบ scope ให้ระบุความไม่แน่ใจและเร่งเก็บข้อมูล การไม่เห็นข้อมูลรั่วไม่พิสูจน์ว่าไม่รั่วเมื่อ log ไม่ครอบคลุม

RCA แยก trigger สาเหตุเชิงกลไก และ contributing factor โดยอิง timeline และการตรวจ ต้องลงไปถึงสิ่งที่แก้ได้ ไม่หยุดที่คำว่าผู้ใช้ผิดหรือ malware

ผู้ใช้เปิดไฟล์เป็น trigger แต่การรันได้ด้วยสิทธิ์สูง การไม่มี detection และ backup ลบได้ทำให้ผลรุนแรง ระบุการแก้แต่ละส่วนพร้อมเจ้าของและวิธีตรวจ ไม่ถือว่าหาสาเหตุเดียวแล้วจบทุกส่วน