# Come distinguiamo un incidente reale da un falso allarme?

Confrontando l'alert con ciò che sa, rapidamente e ogni volta nello stesso ordine. Si ponga quattro domande: il dispositivo e il suo titolare sono noti, c'è un motivo di lavoro per questo comportamento, la destinazione o l'account sono familiari, ed è successo qualcos'altro di insolito sullo stesso host o nello stesso momento? Un backup, un aggiornamento software o un amministratore che lavora fino a tardi spiegano molti alert in pochi minuti. Ciò che nessuno sa spiegare, che riguarda più host o che segue un altro alert merita un'escalation. Annoti che cosa ha verificato, anche quando era innocuo, così la persona successiva non riparte da zero. NetSenX spiega in ogni alert quali caratteristiche del traffico lo hanno determinato, indica la tecnica MITRE ATT&CK quando ce n'è una e Le permette di segnare un falso positivo, con la decisione conservata nel log di audit.

FAQ: [Risposta agli incidenti](https://netsenx.com/it/faq/incident) · https://netsenx.com/it/faq/how-to-tell-a-real-incident-from-a-false-alarm

## Da leggere dopo

- https://netsenx.com/it/detect-ransomware-on-the-network
- https://netsenx.com/it/nis2-incident-reporting-deadlines

## Domande correlate

- [Come stabiliamo quanto è grave un incidente?](https://netsenx.com/it/faq/how-to-decide-how-serious-an-incident-is)
- [Chi prende le decisioni durante un incidente informatico?](https://netsenx.com/it/faq/who-makes-decisions-during-a-cyber-incident)
- [Che cosa deve decidere la direzione nel primo giorno di un incidente informatico?](https://netsenx.com/it/faq/what-management-decides-in-the-first-day-of-an-incident)
- [Come comunichiamo durante un incidente se la posta aziendale potrebbe essere compromessa?](https://netsenx.com/it/faq/how-to-communicate-when-email-may-be-compromised)
- [Perché tenere un registro scritto durante un incidente?](https://netsenx.com/it/faq/why-keep-a-written-log-during-an-incident)