Detection Drift: как переносить правила между SIEM и не потерять логику обнаружения
Хабр, привет!На связи Владимир Шнейдмюллер, аналитик-исследователь угроз кибербезопасности R-Vision.Когда компания меняет SIEM или хочет переиспользовать накопленный набор правил, быстро выясняется, что правило — это не только поисковый запрос. За ним стоят конкретные источники событий, нормализация, модель данных, временные окна, связи между событиями и принятые в команде требования к оформлению.Поэтому механическая замена операторов одного языка на операторы другого может дать формально аккуратный текст, который либо не запускается, либо, что хуже, запускается, но обнаруживает уже не то, что было задумано.
