Začíná hrozbou, případem zneužití nebo obranným cílem, identifikuje důkazy, které by aktivita zanechala, a přeměňuje toto uvažování na analytiky, které lze validovat vůči realistickým datům.
Práce pokračuje i poté, co pravidlo vstoupí do provozu. Inženýři monitorují jeho výkon, ladí jej podle toho, jak se systémy a chování protivníků mění, dokumentují jeho předpoklady a vyřazují jej, když přestane být užitečné. Zdravý program také odhaluje mezery v telemetrii: teoreticky správná detekce nemůže fungovat, když požadované události chybí, přicházejí pozdě, jsou poškozené nebo nedostupné.
Klíčové body
Typický životní cyklusDefinujte chování, mapujte požadovaná data, sestavte analytiku, otestujte očekávané i neočekávané případy, bezpečně nasaďte, měřte, laděte a udržujte.
Běžné vstupyInformace o hrozbách, nálezy incidentů, techniky protivníků, znalost architektury, baseline chování a vlastní priority rizik organizace.
Užitečné důkazyReprodukovatelné testy, známé datové závislosti, historie verzí, vlastnictví, vodítko pro vyšetřování a zaznamenané důvody ladění či potlačení.
Důležité omezeníVíce pravidel a širší pokrytí ATT&CK automaticky neznamená lepší detekci. Špatně otestované analytiky mohou vytvářet šum, slepá místa nebo falešnou jistotu.