Comment savez-vous que vos détections fonctionnent réellement ?

Testez-les. Menez de l'émulation d'adversaire dans votre propre environnement, soit des tests atomiques rattachés à des identifiants de technique, soit un scénario complet, et notez chaque test en bloqué, alerté, journalisé seulement, ou manqué. Alimentez le backlog de détection avec les manques et retestez après correction. En parallèle, surveillez en continu la santé de la télémétrie, parce que la plupart des échecs de détection sont des pipelines de données cassés plutôt qu'une logique de règle défaillante.

Une règle qui ne s'est jamais déclenchée est une hypothèse. Donc on faisait tourner des tests atomiques rattachés à des identifiants de technique de façon planifiée, dans un segment contrôlé avec l'équipe poste de travail en ligne, et on notait chacun en bloqué, alerté, journalisé seulement, ou rien. Journalisé seulement est la catégorie la plus utile, parce que ça veut dire que la donnée est déjà là et qu'il ne manque que la détection, ce qui est un gain rapide. Chaque manque devenait un ticket portant l'identifiant de technique, et la règle n'était pas finie tant que le même test n'avait pas été rejoué et n'avait pas alerté. Deux fois par an, on menait un scénario plus long avec une chaîne complète plutôt que des atomiques, ce qui attrape les problèmes de coordination, comme l'alerte qui se déclenche correctement à trois heures du matin et personne qui n'a de runbook pour elle. Séparément, je surveille la santé de la télémétrie, parce que la raison la plus fréquente d'un échec de détection n'est pas la logique. C'est un capteur qui a cessé de remonter il y a trois semaines, donc j'alerte sur le silence d'une source de journaux par groupe d'hôtes.