412 Findings, drei Konsequenzen — Triage als Disziplin, nicht als Queue
Eine Alert-Queue abzuarbeiten ist keine Triage. Triage ist die Entscheidung, was Konsequenz trägt — und die Disziplin, den Rest bewusst liegen zu lassen.
Eine Queue mit 412 offenen Alerts ist kein Backlog, das man aufholt. Es ist ein Signal, dass die Sortierung vor der Queue fehlt. Wer versucht, 412 Findings der Reihe nach abzuarbeiten, betreibt keine Triage — er betreibt Buchhaltung über Rauschen.
Triage ist der Schritt davor: die Entscheidung, welche drei Findings eine Konsequenz haben, und die bewusste, dokumentierte Entscheidung, die anderen 409 nicht anzufassen. Das Weglassen ist der eigentliche Skill. Alles zu bearbeiten ist die Kapitulation, die sich nach Gründlichkeit anfühlt.
Konsequenz schlägt Severity
Der Severity-Score aus dem Tool ist ein Input, kein Urteil. Ein “High” auf einem isolierten Test-Host ohne Pfad zu produktiven Daten trägt weniger Konsequenz als ein “Medium” auf einem Identity-Provider. Triage bewertet den Blast Radius, nicht das Label.
Die Frage ist nie “wie schlimm klingt das”, sondern “was passiert als Nächstes, wenn das echt ist”. Findings, deren nächster Schritt Lateral Movement, Privilege Escalation oder Datenabfluss wäre, gewinnen. Der Rest ist Kontext.
Die Disziplin ist das Liegenlassen
Der schwierige Teil ist kulturell, nicht technisch. Ein Finding unbearbeitet zu schließen fühlt sich falsch an, besonders unter Audit-Druck. Aber eine Detection-Pipeline, die 412 Findings produziert und drei meint, hat ein Tuning-Problem — und das löst man nicht dadurch, dass Analysten die Lücke mit Überstunden füllen.
Triage als Disziplin heißt: die drei Konsequenzen finden, sie sauber durchziehen, und die 409 dokumentiert als das behandeln, was sie sind — Background. Er bleibt Background, und das ist die richtige Antwort, nicht die faule.