Detection Engineering
Aus Angriffsmöglichkeiten gezielt Signale, Datenquellen und Erkennungslogik ableiten.
Detection Engineering beginnt mit Angriffen
Erkennungslogik sollte aus relevanten Angriffsszenarien abgeleitet werden – nicht nur aus den Daten, die ein Tool zufällig liefert.
Relevanten Angriff beschreiben.
Beobachtbare Angreiferaktivität ableiten.
Benötigte Telemetrie bestimmen.
Detection-Logik implementieren.
Regel mit plausiblen Ereignissen validieren.
Kontext und Entscheidungsweg festlegen.
Erkennen, welche Szenarien noch nicht ausreichend sichtbar sind.
Eine Detection ist erst nützlich, wenn jemand mit dem Signal etwas anfangen kann
Ein technischer Treffer ohne Kontext erzeugt nur ein Event. Ein Detection Use Case verbindet Angriffsszenario, Telemetrie, Regel, erwartete Qualität und einen Triage-/Reaktionsweg.
Signalqualität
Welche legitimen Vorgänge können ähnlich aussehen und welche Informationen reduzieren Fehlalarme?
Abdeckung
Welche Assets, Identitäten und Angriffsschritte werden tatsächlich gesehen – und welche nicht?
Testbarkeit
Kann das erwartete Verhalten kontrolliert erzeugt werden und löst die Regel nachvollziehbar aus?
Handlung
Welche Entscheidung soll der Analyst treffen können und welche Eskalation folgt bei Bestätigung?