Comment décidez-vous si une alerte est un vrai positif ou un faux positif ?

Un vrai positif signifie que la logique de détection s'est déclenchée sur le comportement qu'elle était censée attraper. Décidez en reconstituant ce qui s'est réellement passé sur l'hôte, pas selon que c'était malveillant au final. L'activité malveillante est un autre axe, et c'est pourquoi le verdict de vrai positif bénin existe. Utilisez la filiation des processus, l'intention de l'utilisateur, les enregistrements de changement et la comparaison à la base de référence, puis notez les preuves qui ont motivé votre décision.

Je garde deux questions séparées. La règle s'est-elle déclenchée sur ce pour quoi elle a été écrite, et ce comportement était-il malveillant. Si une règle sur la création de service distant se déclenche parce qu'un administrateur système a utilisé PsExec pendant une fenêtre de correctifs, c'est un vrai positif sur la détection et une intention bénigne. Appeler ça un faux positif, c'est comme ça qu'on finit par supprimer PsExec entièrement et rater le vrai six mois plus tard. En pratique, je reconstruis la séquence : processus parent, ligne de commande, le compte, l'heure, si ça correspond à un enregistrement de changement, et si le même motif apparaît sur des machines voisines. Si quatre-vingt-dix machines de la même unité d'organisation l'ont fait en cinq minutes, c'est presque certainement de l'automatisation. Si c'est un seul hôte à trois heures du matin avec une ouverture de session interactive, j'escalade. J'écris toujours la preuve précise qui me ferait changer d'avis, parce que sur l'équipe suivante c'est peut-être quelqu'un d'autre qui la trouvera.