Collega i segnali.
Conserva il ragionamento.
Gli eventi cyber, di sicurezza fisica e OT diventano utili insieme quando le loro relazioni sono spiegabili.
LOGICA DI CORRELAZIONE ILLUSTRATIVA · NON È UN RILEVAMENTO IN TEMPO REALE
Tre eventi. Un contesto da indagare.
Tre osservazioni, un contesto condiviso. Segui le prove che potrebbero collegarle, senza presumere una causa.
- 01
Evento di accesso
Porta D-12 · controllo accessi
- 02
Telecamera non disponibile
CAM-07 · sicurezza fisica
- 03
Anomalia di rete
SW-08 · rete IT
- 04
Stessa posizione
Produzione A
- 05
Prossimità temporale
Entro 12 secondi
- 06
Asset correlati
D-12 → AC-042 · CAM-07
- 07
Dipendenza condivisa
Switch di rete SW-08
INDAGINE UMANA
Mantenere aperte spiegazioni alternative.
Esaminare le evidenze prima della qualificazione o dell’escalation. Vicinanza temporale e dipendenza condivisa sostengono una domanda, non una causa confermata.
Verificare la sequenza
Confrontare timestamp, allineamento degli orologi ed eventi mancanti. Una cronologia di replay non misura il traffico di rete.
Verificare altre ipotesi
Manutenzione, guasti locali o fonti incomplete possono spiegare le stesse osservazioni. Verificare sul sito la dipendenza documentata.
Documentare la decisione
Conservare evidenze, regola, ipotesi e motivazione. L’indagine tracciabile è il percorso previsto; non implica che ogni funzione di audit o collaborazione sia disponibile oggi.
SCHERMATA REALE DEL PRODOTTO · SIMULAZIONE ATLAS · GRUPPI DA ESAMINARE
Gruppi calcolati da esaminare.
Il replay Atlas contiene asset ed eventi fittizi. Le correlazioni calcolate sono gruppi da esaminare, non incidenti confermati.
SAFENETIS
Conservare le evidenze dietro la decisione.
SafeNetis attualmente non richiede una risposta attiva automatizzata.