Опорная идея
Инцидент оформляют не эмоционально, а доказательно: краткое описание, affected assets, timeline, root cause, impact, containment, eradication, recovery и lessons learned. Даже если alert оказался ложным, результат полезен: правило уточняют, добавляют allowlist или повышают качество логов.
NIST CSF помогает не забыть полный цикл: Govern, Identify, Protect, Detect, Respond, Recover.