Проблема: совпадение не равно выводу
Лента угроз сообщает, что адрес ранее связывали с подозрительной активностью. Прокси фиксирует соединение с ним. Это два факта, но ещё не доказательство компрометации устройства. Адрес может использоваться несколькими клиентами, перейти другому владельцу или встретиться за пределами периода, к которому относится сообщение.
Решение: восстановить контекст события
Сначала проверьте источник, достоверность и период наблюдения индикатора. Затем установите время, направление, назначение, протокол, действие средства защиты и внутренний актив. Заблокированный запрос, установленное соединение и загруженный файл — разные события.
Сопоставьте доступные журналы прокси, DNS и устройства. Ищите подтверждающие события: необычный процесс, связанный файл или подозрительный вход. Отсутствие телеметрии фиксируйте как ограничение, а не как доказательство безопасности.
Перед блокировкой оцените последствия
IP может принадлежать общей инфраструктуре. Широкая блокировка способна затронуть посторонние сервисы, а узкий индикатор — пропустить связанную активность. Выбирайте меру сдерживания с учётом серьёзности и влияния на работу, фиксируйте ответственного и срок пересмотра, сохраняйте доказательства. При активном инциденте сдерживание и сбор данных могут идти параллельно.
Минимальная карточка аналитика
Индикатор: [тип / значение / источник]
Событие: [время / актив / направление / результат]
Контекст: [процесс / пользователь / DNS / прокси]
Подтверждение: [независимые данные]
Ограничения: [отсутствующие журналы / период]
Решение: [действие / ответственный / пересмотр]Хорошая передача смене отдельно показывает наблюдение, гипотезу, недоступные источники и следующий шаг. Другой аналитик должен восстановить ход проверки, а в карточке не должны оказываться пароли и лишние персональные данные.