Una coda di livello 1 è il flusso di lavoro di prima linea in un centro operativo di sicurezza (SOC), in cui gli avvisi in arrivo vengono esaminati, assegnati a una priorità e inoltrati. Gli analisti - o i sistemi automatizzati - svolgono una classificazione iniziale, cercando informazioni utili e segnali che indichino la necessità di indagare più a fondo su un avviso o di avviare una risposta agli incidenti.
Una classificazione efficace aiuta i team a concentrare il tempo limitato sugli avvisi più importanti. Nelle operazioni reali, una coda può essere gestita da analisti umani, assistenti basati sull’intelligenza artificiale che riepilogano gli avvisi oppure agenti in grado di aggiornare i ticket e far avanzare i flussi di lavoro. Quanto maggiore è l’autorità di cui dispone un sistema automatizzato, tanto più è importante applicare il principio del privilegio minimo, richiedere un’approvazione per le azioni rilevanti e conservare registri verificabili. Prima di affidarsi all’automazione nella gestione della coda, i team dovrebbero testarla con falsi positivi, avvisi ambigui e input creati in modo malevolo.