Egy fenyegetésből, visszaélési esetből vagy védelmi célból indul ki, azonosítja, milyen bizonyítékot hagyna maga után az adott tevékenység, és ezt a gondolatmenetet olyan analitikává alakítja, amely valós adatokon validálható.
A munka a szabály élesítése után is folytatódik. A mérnökök figyelik a teljesítményét, a rendszerek és a támadói viselkedés változásával hangolják, dokumentálják a feltételezéseit, és kivonják, amikor már nem hasznos. Az egészséges program a telemetriai réseket is feltárja: egy elméletileg helyes észlelés nem működhet, ha a szükséges események hiányoznak, késnek, hibásan formázottak vagy elérhetetlenek.
Legfontosabb pontok
Tipikus életciklusA viselkedés definiálása, a szükséges adatok feltérképezése, az analitika felépítése, a várt és nem várt esetek tesztelése, biztonságos bevezetés, mérés, hangolás és karbantartás.
Gyakori bemenetekFenyegetésfelderítés, incidenstanulságok, támadói technikák, architektúraismeret, alapviselkedés és a szervezet saját kockázati prioritásai.
Hasznos bizonyítékReprodukálható tesztek, ismert adatfüggőségek, verziótörténet, tulajdonlás, vizsgálati útmutatás, valamint a hangolás vagy elnyomás okainak rögzítése.
Fontos korlátA több szabály és a szélesebb ATT&CK-lefedettség nem jelent automatikusan jobb észlelést. A rosszul tesztelt analitikák zajt, vakfoltokat vagy hamis biztonságérzetet kelthetnek.