Zaczyna się od zagrożenia, przypadku nadużycia lub celu obronnego, identyfikuje dowody, które aktywność zostawiłaby, i zamienia to rozumowanie w analityki możliwe do zwalidowania na realistycznych danych.
Praca trwa po uruchomieniu reguły. Inżynierowie monitorują jej wydajność, stroją ją wraz ze zmianami systemów i zachowań przeciwników, dokumentują założenia i wycofują, gdy przestaje być użyteczna. Zdrowy program odkrywa też luki telemetrii: teoretycznie poprawna detekcja nie może działać, gdy wymagane zdarzenia są nieobecne, opóźnione, źle sformowane lub niedostępne.
Najważniejsze punkty
Typowy cykl życiaZdefiniuj zachowanie, zmapuj wymagane dane, zbuduj analitykę, przetestuj oczekiwane i nieoczekiwane przypadki, wdrażaj bezpiecznie, mierz, stroj i utrzymuj.
Typowe wejściaInformacje o zagrożeniach, ustalenia incydentowe, techniki przeciwników, znajomość architektury, zachowanie bazowe i własne priorytety ryzyka organizacji.
Użyteczne dowodyPowtarzalne testy, znane zależności danych, historia wersji, własność, wskazówki dochodzeniowe i zapisane powody strojenia lub wyciszania.
Istotne ograniczenieWięcej reguł i szersze pokrycie ATT&CK nie oznaczają automatycznie lepszej detekcji. Słabo przetestowane analityki mogą tworzyć szum, martwe punkty lub fałszywą pewność.