Istotne pytanie brzmi nie po prostu, czy alert doprowadził do incydentu, lecz czy twierdzenie detektora było błędne. Skaner raportujący nieistniejącą podatność i analityka klasyfikująca zwykłą aktywność jako kradzież poświadczeń to fałszywe trafienia.
Alert może też być dokładny bez reprezentowania wrogiej aktywności. Przykładowo reguła może poprawnie wykryć komendy przypominające atak podczas autoryzowanego testu penetracyjnego. Wiele zespołów nazywa to łagodnym trafieniem (benign positive): obserwowane zachowanie i logika detekcji były realne, ale kontekst uczynił aktywność dozwoloną lub nieszkodliwą. Etykiety dyspozycji różnią się między organizacjami, więc każda etykieta powinna mieć udokumentowane znaczenie.
Najważniejsze punkty
Test klasyfikacyjnySformułuj, co detektor twierdzi, zweryfikuj leżące u podstaw dowody, potem osobno oceń autoryzację, zamiar, wpływ i potrzebę reakcji.
Typowe przyczynySzerokie progi, brakujący kontekst, niedokładne dane zasobów lub tożsamości, błędy parsowania, zmiany środowiskowe i założenia, które przestały obowiązywać.
Użyteczne sprzężenie zwrotneZapisuj, dlaczego ustalenie zostało zamknięte, i kieruj powtarzające się wzorce do strojenia reguł, wzbogacania, zarządzania allowlistami lub poprawek danych u źródła.
Istotne ograniczenieNiski wskaźnik fałszywych trafień nie dowodzi, że detekcja jest skuteczna. Reguła może milczeć, bo jest zbyt wąska, otrzymuje niekompletną telemetrię lub w ogóle nie widzi aktywności.