Como você decide se um alerta é um verdadeiro positivo ou um falso positivo?

Um verdadeiro positivo significa que a lógica da detecção disparou no comportamento que ela foi desenhada para pegar. Decida reconstruindo o que de fato aconteceu no host, e não pelo resultado ter sido malicioso ou não. Atividade maliciosa é um eixo separado, e é por isso que verdadeiro positivo benigno existe como veredito. Use linhagem de processo, intenção do usuário, registros de mudança e comparação com a baseline, e depois registre a evidência que sustentou a decisão.

Eu mantenho duas perguntas separadas. A regra disparou naquilo para que foi escrita, e aquele comportamento era malicioso. Se uma regra de criação de serviço remoto dispara porque um sysadmin usou PsExec durante uma janela de patch, isso é verdadeiro positivo na detecção e benigno na intenção. Chamar de falso positivo é como você acaba suprimindo PsExec inteiro e perdendo o de verdade seis meses depois. Na prática, eu reconstruo a sequência: processo pai, linha de comando, a conta, o horário, se bate com um registro de mudança, e se o mesmo padrão aparece em máquinas pares. Se noventa máquinas da mesma unidade organizacional fizeram isso em cinco minutos, é quase certamente automação. Se é um host só às três da manhã com logon interativo, eu escalo. Eu sempre anoto a evidência específica que mudaria a minha opinião, porque no próximo turno outra pessoa pode ser quem vai encontrá-la.