tgoop.com/hackproglib/4653
Create:
Last Update:
Last Update:
🧩 Blue vs Red: как править правила для реальных атак, а не тестов
Теория ≠ практика: срабатывания в тестах часто бесполезны в реале — либо потому что слишком много шума, либо потому что злоумышленник меняет маршрут и «обходит» правило за минуту.
Какие правила/метрики детектинга реально работают против сложных атак, а какие — только шум?
Пишите реальные примеры эффективных правил и способы борьбы с false positives.
— Какие сигнатуры показали себя в продакшне?
— Какие метрики (precision, recall, MTTR и т.д.) вы считаете приоритетными для оценки качества детектинга?
— Как настроили пороговые значения и автоматическую фильтрацию шума?
— Какие практики снижают шум без потери обнаружения (enrichment, дедупликация, контекстные эвристики)?
Делитесь реальными кейсами, примерами правил и скриптами/паттернами для снижения false positives
#ask_the_community
