Materi
Triase adalah memilah peringatan: mana yang nyata, mana yang bukan, dan mana yang didahulukan. Dua istilah NIST jadi dasarnya. Positif palsu (false positive): alat menandai aktivitas benign sebagai berbahaya — misalnya akun pemantauan yang gagal karena kata sandi tersimpan kedaluwarsa. Negatif palsu (false negative): alat gagal menandai ancaman yang sebenarnya ada — misalnya penebak lambat yang lolos ambang per menit. Analis yang baik menekan keduanya, dan tiap peringatan idealnya diperiksa apakah sah.
SP 800-61 membedakan precursor dari indicator. Precursor adalah tanda bahwa insiden mungkin terjadi di masa depan (misalnya baris log yang menunjukkan pemindaian oleh alat pencari kerentanan). Indicator adalah tanda bahwa insiden mungkin sedang atau sudah terjadi (misalnya banyak login gagal dari sistem asing). Precursor jarang; indicator jauh lebih umum. Satu indicator yang akurat pun belum tentu berarti insiden — bisa jadi kesalahan manusia — sehingga tiap indikator ditimbang, bukan langsung jadi vonis.
