Como você sabe que as suas detecções funcionam de verdade?

Teste. Rode emulação de adversário no seu próprio ambiente, seja com testes atômicos mapeados a IDs de técnica ou com um cenário completo, e classifique cada teste como prevenido, alertado, só logado ou perdido. Alimente as perdas no backlog de detecção e reteste depois da correção. Em paralelo, monitore a saúde da telemetria continuamente, porque a maioria das falhas de detecção é pipeline de dados quebrado e não lógica de regra falha.

Uma regra que nunca disparou é uma hipótese. Então a gente rodava testes atômicos mapeados a IDs de técnica em uma agenda, em um segmento controlado com o time de endpoint na chamada, e classificava cada um como prevenido, alertado, só logado ou nada. Só logado é a categoria mais útil, porque significa que o dado já está lá e só a detecção falta, o que é uma vitória rápida. Toda perda virava um ticket com o ID da técnica, e a regra não estava pronta até o mesmo teste ser rodado de novo e alertar. Duas vezes por ano a gente rodava um cenário mais longo com a cadeia completa em vez de atômicos, o que pega os problemas de coordenação, como o alerta disparar corretamente às três da manhã e ninguém ter runbook para ele. Em paralelo eu vigio a saúde da telemetria, porque o motivo mais comum de uma detecção falhar não é a lógica. É um sensor que parou de reportar três semanas atrás, então eu alerto em silêncio de fonte de log por grupo de host.