Wie entscheidest du, ob ein Alert ein True Positive oder ein False Positive ist?

Ein True Positive heißt, die Detection-Logik hat auf das Verhalten gefeuert, für das sie gebaut wurde. Entscheide, indem du rekonstruierst, was auf dem Host tatsächlich passiert ist, nicht danach, ob es sich als bösartig herausstellte. Bösartige Aktivität ist eine eigene Achse, deshalb existiert Benign True Positive als Verdikt. Nutz Prozess-Lineage, Absicht des Users, Change Records und Baseline-Vergleich, und halt dann die Belege fest, die deine Entscheidung getragen haben.

Ich halte zwei Fragen getrennt. Hat die Regel auf das gefeuert, wofür sie geschrieben wurde, und war dieses Verhalten bösartig. Wenn eine Regel für Remote Service Creation feuert, weil ein Sysadmin während eines Patch-Fensters PsExec genutzt hat, ist das ein True Positive auf der Detection und harmlos in der Absicht. Es False Positive zu nennen ist der Weg dahin, PsExec komplett zu unterdrücken und das echte sechs Monate später zu verpassen. Praktisch baue ich die Sequenz nach: Elternprozess, Command Line, das Konto, die Uhrzeit, ob es zu einem Change Record passt, und ob dasselbe Muster auf vergleichbaren Maschinen auftaucht. Wenn neunzig Maschinen in derselben Organisationseinheit es innerhalb von fünf Minuten gemacht haben, ist es fast sicher Automatisierung. Wenn es ein Host um drei Uhr morgens mit interaktivem Logon ist, eskaliere ich. Ich schreibe immer auf, welcher konkrete Beleg meine Meinung ändern würde, denn in der nächsten Schicht findet ihn womöglich jemand anders.