Сценарий выявления (use case)
Простыми словами
Это не просто запрос в SIEM: сценарий связывает угрозу, нужную телеметрию, правило, ожидаемые ложные срабатывания и действия аналитика.
Как применяется
Use case создают на основе модели угроз, инцидентов и TTP, затем реализуют правилами, тестируют, измеряют покрытие и регулярно настраивают.
Пример применения
Для выявления удалённого запуска PowerShell команда описывает источники событий, допустимые административные процессы, корреляцию с сетевым соединением и шаги проверки аналитика.
Не путать с
- Правило выявленияПравило выявления — техническая реализация логики в конкретном средстве
Как это работает
- ГипотезаФормулируют поведение противника или нарушение, которое важно заметить.
- ТелеметрияПроверяют наличие полей и источников, необходимых для наблюдения.
- ЛогикаСоздают условие, контекст и пороги, затем проверяют на тестовых событиях.
- ЭксплуатацияИзмеряют качество, разбирают ошибки и обновляют сценарий при изменении среды и угроз.
Продолжить изучение
Частые вопросы
Из модели угроз, ATT&CK, расследованных инцидентов, красных команд и особенностей критичных активов.
Как измерять качество?Покрытием, доступностью данных, долей подтверждённых срабатываний, временем разбора и устойчивостью тестов.
Когда сценарий выводят из эксплуатации?Когда угроза или источник данных исчезли, а заменяющий контроль подтверждён и задокументирован.