एक rule रोज सैकड़ों alert पैदा कर रहा है। आप उसे बिना कोई अंधा कोना बनाए tune कैसे करते हैं?

rule को छूने से पहले शोर का विश्लेषण करें। alert को host, यूजर, process और command line के हिसाब से समूह में बांटकर पता करें कि कौन से थोड़े से स्रोत ज्यादातर मात्रा पैदा कर रहे हैं, फिर टिकाऊ गुणों पर टिकी संकरी exclusion लिखें, जैसे कोई signed binary path साथ में एक तय parent process, न कि कोई चौड़ा wildcard। दबाए गए event खोजने लायक रखें, समीक्षा की तारीख तय करें, और जो बचा हुआ जोखिम आपने माना है उसे लिखें।

पहले मैं उस rule के तीस दिन निकालकर hit को समूहों में बांटता हूं। आमतौर पर अस्सी प्रतिशत तीन स्रोतों से आता है। एक नौकरी में certutil का एक rule हमें डुबो रहा था, और निकला कि एक software deployment agent हर install पर certificate chain जांचने के लिए certutil call कर रहा था। मेरी exclusion certutil नहीं थी। वह था वही तय parent process, उसी install path से, उसी deployment service account के तौर पर चलता हुआ। certutil call करने वाली बाकी हर चीज पर alert चलता रहा। मैंने alerting बंद करके भी event data lake में बहते रहने दिए, ताकि अगर बाद में उनमें hunt करना पड़े तो इतिहास मौजूद रहे। फिर मैंने exclusion पर नब्बे दिन की समीक्षा लगाई और change record में एक लाइन लिखी कि इसका दुरुपयोग करने के लिए हमलावर को किस पर कब्जा चाहिए, जो यहां deployment server था, और उस मशीन पर हमारी अलग monitoring पहले से थी। मात्रा रोज करीब चार सौ से घटकर दस से नीचे आ गई और हमने technique नहीं गंवाई।