مراجعة False Positives وAllowlisting

قد تطابق threat intelligence أحياناً بنية تحتية يعتبرها العميل شرعية في بيئته. يساعد workflow مراجعة متسق على التمييز بين false positive حقيقي وحظر متوقع.

جمع الأدلة

اجمع:

• المؤشر الذي طابق.
• timestamp والمنطقة الزمنية.
• اسم قاعدة firewall أو policy.
• source وdestination.
• التطبيق أو الخدمة المتأثرة.
• أثر الأعمال.
• ما إذا كان المرور قد حُظر أو رُفض أو سُجل فقط.

Allowlisting محلي

إذا كان firewall يدعم استثناءات محلية، فأنشئ أضيق إدخال allowlist ممكن. فضّل destination أو source أو application أو نطاق policy محدداً بدلاً من تجاوز الموجز كاملاً على مستوى عام.

الإرسال للمراجعة

أرسل الأدلة المجموعة إلى دعم Cybora عندما تعتقد أن مؤشراً يجب إزالته أو مراجعته عالمياً. أرفق logs وسبب اعتبار الوجهة آمنة.

المتابعة

بعد مراجعة المؤشر، أزل الاستثناءات المحلية المؤقتة إذا لم تعد ضرورية. احتفظ بسجل قصير يوضح سبب وجود الاستثناء ومتى أُغلق.