आप कैसे तय करते हैं कि कोई alert true positive है या false positive?

true positive का मतलब है detection का logic उसी व्यवहार पर चला जिसे पकड़ने के लिए वह बनाया गया था। फैसला यह देखकर करें कि host पर असल में हुआ क्या, न कि यह देखकर कि वह malicious निकला या नहीं। malicious होना एक अलग धुरी है, इसीलिए benign true positive नाम का फैसला मौजूद है। process lineage, यूजर की मंशा, change record और baseline से तुलना इस्तेमाल करें, फिर वह सबूत दर्ज करें जिसने फैसला तय किया।

मैं दो सवाल अलग रखता हूं। क्या rule उसी पर चला जिसके लिए वह लिखा गया था, और क्या वह व्यवहार malicious था। अगर remote service creation का rule इसलिए चला कि किसी sysadmin ने patch window में PsExec इस्तेमाल किया, तो detection के हिसाब से वह true positive है और मंशा के हिसाब से benign। उसे false positive कहना ही वह तरीका है जिससे आप PsExec को पूरी तरह दबा देते हैं और छह महीने बाद असली वाला चूक जाते हैं। व्यवहार में मैं क्रम दोबारा खड़ा करता हूं: parent process, command line, account, समय, यह कि वह किसी change record से मेल खाता है या नहीं, और यह कि वही पैटर्न बगल की मशीनों पर भी दिखता है या नहीं। अगर एक ही organizational unit की नब्बे मशीनों ने पांच मिनट के भीतर यह किया, तो वह लगभग पक्के तौर पर automation है। अगर यह रात तीन बजे interactive logon के साथ एक ही host है, तो मैं escalate करता हूं। मैं वह ठोस सबूत हमेशा लिख देता हूं जो मेरा मन बदल देगा, क्योंकि अगली shift में शायद उसे कोई और ढूंढे।