Todo incidente percorre este caminho — e o Blue Team atua em cada seta:
ATAQUE → EVENTO → LOG → DETECÇÃO → ALERTA → INVESTIGAÇÃO → RESPOSTA → CORREÇÃO
- Se você não registra (log), não detecta. Se não detecta, não responde. Visibilidade vem primeiro.