¿Cómo sabes que tus detecciones funcionan de verdad?

Pruébalas. Ejecuta emulación de adversarios en tu propio entorno, con pruebas atómicas mapeadas a IDs de técnica o con un escenario completo, y califica cada prueba como prevenida, alertada, solo registrada o no detectada. Mete los fallos en el backlog de detección y vuelve a probar tras el arreglo. Aparte, monitoriza la salud de la telemetría de forma continua, porque la mayoría de los fallos de detección son tuberías de datos rotas y no lógica de reglas defectuosa.

Una regla que nunca ha disparado es una hipótesis. Así que ejecutábamos pruebas atómicas mapeadas a IDs de técnica de forma programada, en un segmento controlado y con el equipo de endpoint en la llamada, y calificábamos cada una como prevenida, alertada, solo registrada o nada. Solo registrada es la categoría más útil, porque significa que el dato ya está ahí y solo falta la detección, que es una victoria rápida. Cada fallo se convertía en un ticket con el ID de técnica encima, y la regla no estaba terminada hasta que se volvía a lanzar la misma prueba y alertaba. Dos veces al año hacíamos un escenario más largo con una cadena completa en vez de pruebas atómicas, lo que caza los problemas de coordinación, como que la alerta dispare bien a las tres de la mañana y nadie tenga un runbook para ella. Aparte vigilo la salud de la telemetría, porque el motivo más común de que falle una detección no es la lógica. Es un sensor que dejó de reportar hace tres semanas, así que alerto sobre el silencio de una fuente de logs por grupo de hosts.