Uma detecção é útil quando suas condições correspondem à telemetria que você realmente coleta. Uma regra convincente ainda pode usar campos que seu pipeline não produz ou identificar tarefas administrativas normais.
Leve um conjunto pequeno de eventos sintéticos ou higienizados e o formato de regra desejado. Use a conversa para descrever o comportamento, analisar falsos positivos e preparar a validação. A publicação e a execução da regra continuam no seu próprio fluxo de detecção.
Material de partida
- O comportamento a detectar, com evidências de um aviso, análise ou evento observado.
- O formato de regra e os nomes exatos dos campos e fontes de eventos disponíveis.
- Um evento que deve corresponder à regra e vários contraexemplos benignos, sem valores sensíveis.
Analise as evidências
- Descreva o comportamento sem depender do nome de uma família de malware. Identifique os campos de evento capazes de representá-lo.
- Peça uma regra preliminar vinculada ao esquema fornecido. Marque explicitamente campos ausentes e sintaxe não suportada.
- Monte um conjunto pequeno de testes: correspondência esperada, caso parecido que não deve corresponder, tarefa administrativa comum e evento com campo ausente.
- Valide a sintaxe e os resultados no motor real. Documente dependências de dados, premissas de ajuste e os comportamentos que a regra não cobre.
Um prompt para adaptar
Adapte às suas evidências
Escreva uma detecção para o comportamento destes eventos higienizados usando apenas o esquema fornecido. Explique cada condição. Forneça eventos de teste positivos, parecidos mas sem correspondência e administrativos benignos. Identifique falsos positivos prováveis e a telemetria necessária. Não invente campos nem afirme que a regra foi publicada ou testada.
Confira o resultado
- O motor aceita a sintaxe e todos os campos citados existem na telemetria coletada.
- Os testes positivos e benignos produzem os resultados esperados no motor real.
- A documentação da regra informa escopo, dependências, decisões de ajuste e pontos cegos conhecidos.
Leve suas evidências para uma conversa e avance para a próxima pergunta.
Abrir chat