incident-room/1.0.0 · حُدّث في ٠٩‏/٠٧‏/٢٠٢٦

الحوادث وغرفة العمليات

كيفية فتح الحوادث وتنسيقها وإغلاقها باستخدام tasks وevidence واستجابة قابلة للتتبع.

يحوّل ADDA Incidents الإشارات المتفرقة إلى استجابة منسقة تضم المسؤولين والمهام والأدلة والقرارات المرئية.

لا يعني فتح حادث مبكرًا المبالغة، بل يعني ترتيب السياق وتجنب الإجراءات المكررة والحفاظ على سجل تشغيلي تستطيع فرق أخرى استكماله.

تزداد قيمة غرفة الحوادث عندما تجمع mail وWAF وAccess وevidence وreports وtasks وautomations وmanual candidates في مسار عمل واحد.

قائمة التحقق

• فتح incident عندما تتقاطع الحالة بين الوحدات أو تتطلب تنسيقًا.
• تعيين tasks وevidence من التدفق نفسه.
• الإغلاق مع حالة ودروس وخطوات تالية مرئية.

بدء سريع

1. افتح incident عندما يتوقف الاكتشاف عن كونه حدثًا منفردًا.
2. انقل evidence وtasks والعناصر ذات الصلة إلى داخل الحادث.
3. استخدم إغلاق الحادث لترك تعلم تشغيلي قابل لإعادة الاستخدام.

التدفق التشغيلي

الفتح

حدد العنوان والخطورة والنطاق من دون انتظار اكتمال السياق تمامًا.

إنشاء مسار عمل مبكر.

التنسيق

أضف tasks أو evidence أو reports أو automations وفق الحالة.

تركيز الاستجابة والمتابعة.

الإغلاق والتعلم

وثّق النتيجة والعناصر المعلقة والتحسينات للدليل أو المنتج.

تحويل الاستجابة إلى قدرة مؤسسية.

flowchart LR
  S1["الفتح"]
  S2["التنسيق"]
  S3["الإغلاق والتعلم"]
  S1 --> S2
  S2 --> S3

أدوات التحقق والفحوص

تنفذ قراءة سياقية لهذه الواجهة وتعيد خطوات مقترحة بتركيز تشغيلي.

مراجعة تغطية الحوادث

ملخص تشغيلي لفتح الاستجابة وتصعيدها وإغلاقها.

أمثلة

حمولة فتح حادث

{
  "title": "Campaña de phishing contra acceso institucional",
  "severity": "red",
  "summary": "Se detectan múltiples correos con dominio imitador y presión sobre login."
}

الروابط والمراجع

المسارات ذات الصلة

الحوادث في مساحة العمل SOC

APIs

/api/adda/v1/incidents
/api/adda/v1/incidents/[id]
/api/adda/v1/tasks

Docs ومسارات الدعم

docs/ADDA_SOC_OPERATIVO.md
docs/ADDA_API.md

المشكلات الشائعة

• تؤدي الاستجابة من مشاهد متعددة من دون incident إلى آثار مجزأة.
• يؤدي إغلاق incident من دون manual candidate أو تعلم إلى فقدان القدرة المتراكمة.

الإجراءات المقترحة

• صعّد إلى incident عندما تتقاطع الحالة مع mail أو Access أو WAF أو evidence.
• استخدم الإغلاق لإنتاج tasks متبقية أو تحسينات للدليل.

Reason Codes مفيدة

قاموس Score

severity

الأولوية المؤسسية للإشارة على مقياس ADDA.

action

الخطوة التشغيلية التالية التي يوصي بها المحرك.

reasonCodes

أسباب قابلة للتفسير لتبرير التقييم.

ملاحظات البروتوكول

• تنظم Incidents التنسيق، ولا تستبدل الحكم التقني لكل وحدة.

سجل المقالة

٠٩‏/٠٧‏/٢٠٢٦

مقالة جديدة عن incident room وtasks والتعلم التشغيلي.