| Blok | Wejście | Wynik |
|---|---|---|
| Enrich | Encje z alertu | Reputacja i kontekst dla adresów, skrótów, użytkowników i domen ze skonfigurowanych usług wzbogacania i bazy threat intelligence. |
| Correlate | Alert | Powiązane alerty i zdarzenia z różnych źródeł i okresów oraz korelacja, do której należy alert. |
| Query telemetry | Zapytanie tylko do odczytu na logach, alertach, sprawach lub hostach, ograniczone do organizacji alertu | Do 100 wierszy dołączonych do uruchomienia. |
| AI investigate | Alert i to, co zebrały wcześniejsze bloki | Dodatkowy kontekst z ograniczonych zapytań tylko do odczytu, z listą wykonanych zapytań. |
| Collect file | Plik na hoście alertu, wskazany typem lub dokładną ścieżką | Plik i jego SHA-256 w Response › Collected files. |
| Similar-alert history | Reguła i encja alertu | Jak wcześniej rozwiązywano podobne alerty i ile to trwało. |
| Compare | Zebrane fakty, wzorzec | Wynik porównania wraz z faktami, które o nim przesądziły. |
| Branch / gate | Warunek dotyczący dowolnego wcześniejszego wyniku | Przejście do wybranej ścieżki albo zatrzymanie. |
| Run workflow | Inny playbook | Wyniki tamtego playbooka. |
| Advisory verdict | Wszystko, co zebrano | Werdykt, pewność, rekomendacja, ocena dowodów, podsumowanie. |
| Triage note | Wszystko, co zebrano | Krótka notatka przypięta do alertu. Wymaga modelu AI. |
| Stage response | Akcja, dostawca i tryb | W trybie pre-stage proponowana akcja; w trybie auto akcja wykonana, gdy pozwalają na to werdykt i zabezpieczenia. |
| Notify / ticket | Miejsce docelowe wysyłki | Dostarczona wiadomość lub otwarte zgłoszenie. |
Wynik końcowy
Każdy playbook kończy się jednym z wyników: przekazaniem alertu do kolejki analityka (domyślnie), rekomendacją zamknięcia, eskalacją do sprawy albo przygotowaniem izolacji hosta do potwierdzenia przez analityka. Zamknięcie i eskalacja wykonują się automatycznie tylko przy werdykcie o pewności co najmniej 80 procent i tylko tam, gdzie pozwalają na to zabezpieczenia organizacji; w pozostałych przypadkach są pokazywane jako rekomendacje.