Trois listes de surveillance sont installées (utilisateurs VIP, actifs critiques, comptes de service) : quand une alerte touche une entité listée, l'analyste le voit tout de suite. Tables : alerts, watchlists, watchlist_items.
- Listez les alertes qui touchent une entité surveillée : colonnes
id, title, sans doublon. La comparaison est exacte, insensible à la casse : lower(valeur) égale à lower(user), lower(host) ou lower(src_ip)
- L'ERP est saisi
srv-erp01.acme.test : correspondra-t-il à une alerte sur l'hôte srv-erp01 ? → answer suffixe <oui|non>
- Créez la liste
IP attaquants (identifiant 4, type ip) et ajoutez-y 45.155.205.233 avec une note
- Relancez la requête 1 : l'alerte 1 doit maintenant apparaître