01
Tespit Altyapısı
Fark etme ile sınırlama arasındaki sürenin hattını kurar: vardiya kapasitesi ve devir noktasında birleşmeyen vaka, üç biçimdeki günlüğün tek şemaya normalleştirilmesi ve eşlenemeyen alan, bağıntı kuralının birleştirdiği ve kaçırdığı olay, içerik olmadan ağ akış verisiyle yanıtlanabilen soru, yanlış pozitif ile kaçırılanın aynı anda azaltılamadığı eşik noktası, iki kural sürümünün kapsadığı teknik sayısı, hipotez başına elenen kalem, gösterge ile davranışın ömür farkı ve yinelenen müdahalenin otomatikleştirilmesi.
- 01 Güvenlik Operasyon Merkezi Kurgu bir hatta düşen 273 uyarı üç kişilik vardiyaya karşı ölçülür: günün işi 1.506 dakika, kapasite 1.440 dakika; yirmi dört saati eşit bölen plan 64 uyarıya hiç baktırmıyor ve medyan beklemeyi 222 dakikaya çıkarıyor, yoğunluğa yaslanan plan sekiz saati kapsamasız bırakıp bunu 13 uyarıya ve 83 dakikaya indiriyor. 26 vakanın 19'u devir noktasını aşıyor; devir notu boşken 19 vaka hiç birleşmiyor ve medyan vaka kararı 987 dakika, altı kalemlik notta birleşmeyen sıfıra iniyor ve medyan 273 dakikaya düşüyor, on iki kalemde ise devir 72 dakika yiyip hiç bakılmayan uyarıyı 26'ya çıkarıyor.
- 02 Günlük Toplama ve Normalleştirme Üç ayrı biçimdeki kurgu günlük tek şemaya normalleştirilir ve eşlenemeyen alan sayılır: 24 kaynak alanının 15'i sekiz alanlık şemaya oturuyor, 9'u artık kalıyor; ağ akışı kaydında dört şema alanı boş ve 404 kaydın hiçbirinde aktör yok. Kaynaklar aynı olayı 1, 5 ve 8 dakika sonra yazıyor. Aktör alanını iki ara tablo dolduruyor: 139 yönetim düzlemi kaydının 115'i hesaba çevriliyor, 24'ü çevrilemiyor; beş dakikalık pencerede 404 akış kaydının 190'ına aktör atanıyor, 212'si boş kalıyor, altmış dakikada atama 208'e çıkarken belirsiz kayıt 2'den 39'a fırlıyor. İki kaynakta iz bırakan 26 olayın 21'i toplanıyor, bir dakikalık pencerede hiçbiri toplanmıyor.
- 03 Güvenlik Bilgi ve Olay Yönetimi Üç koşullu bir bağıntı kuralı 3.083 kayıtlık kurgu bir olay akışında koşturulur: kural 10 uyarı üretiyor ve bu uyarılar 161 ham olayı birleştiriyor, uyarı başına 16,1 olay. Beş kurgu kampanyanın üçü yakalanıyor; biri eşiğin altında kaldığı, biri üçüncü adımı yalnız ağ akışında bıraktığı için hiç görünmüyor. Huni 3.083 kayıttan 12 adaya, 12 adaydan 10 uyarıya, 10 uyarıdan 3 karara iniyor ve ilk kaydın düşmesinden 43 dakika sürüyor. Eşik, pencere ve gecikme taramasında hiçbir ayar beş kampanyanın beşini birden getirmiyor; en iyi satır 4/5 ve 1 yanlış pozitif.
- 04 Ağ Akış Verisi 2.979 kurgu akış kaydı üzerinde yalnız meta veriye bakan dört ölçüt koşturulur: düzenli aralık 7 çift işaretliyor ve 6'sı sayaç aktarımı, çıkış oranı 23 işaretliyor ve 22'si gecelik yedekleme, yeni hedef 7 işaretliyor ve 6'sı yeni iş kalemi, uzun oturum 6 işaretliyor ve 5'i yönetim oturumu. Dört kurgu kalemin dördü de işaretleniyor, ama toplam 43 çiftin 39'u meşrudur. Aynı kayıt kümesine sorulan on sorunun 6'sı yalnız meta veriden yanıtlanıyor; ne gönderildiği, hangi hesabın yaptığı, isteğin kabul edilip edilmediği ve hangi sürecin başlattığı yanıtsız kalıyor. İşaretlenenlerin tümü kesilirse 630 akış ve 8,8 GB meşru iş durur.
- 05 Yanlış Pozitif ve Yanlış Negatif 900 aday kalemin 20'si kurgu kalemdir ve dört öznitelikten çıkan puanların dağılımları 37–88 bandında üst üste biner: bu bantta 157 meşru ve 17 kurgu kalem vardır, hiçbir eşik ikisini birden ayıramaz. Eşik 40'ta yanlış pozitif 124 ve kaçırılan 1, eşik 80'de yanlış pozitif 1 ve kaçırılan 11; toplam hatayı en aza indiren 70 eşiğinde bile 4 yanlış pozitif ve 4 kaçırılan kalır. Günde 144 analist-dakikalık bütçe eşiği 72'ye çiviliyor: 16 uyarı, 7 kaçırılan kalem ve 42 erişilen ek kalem. Beşinci bir öznitelik bandı 49–75'e ve 15 meşru ile 7 kaleme daraltıyor, bütçe eşiğini 66'ya çekiyor, ama sıfır-sıfır veren eşik yine yok.
- 06 Tespit Mühendisliği Sekiz taktik sütunu ve 26 teknik satırı olan kurgu bir sınıflandırma matrisinde iki kural sürümü karşılaştırılır: sürüm 1'in 6 kuralı 11 tekniği kapsıyor ama yalnız 8'i ateşlenebilir, 15 teknik hiç kapsanmıyor; sürüm 2'nin 11 kuralı 24 tekniği kapsıyor, 19'u ateşlenebilir, hiç kapsanmayan 2'ye iniyor. 51 kurgu örnek üzerinde sürüm 1 10 örnek yakalıyor, sürüm 2 30; kaçırmanın nedeni ayrıştırıldığında kural yokluğu 32'den 3'e inerken kaynak yokluğu 4'ten 11'e çıkıyor. Ek 220 dakikalık yazma işi örnek başına 11 dakikaya geliyor, günlük yanlış pozitif 30'dan 27'ye düşüyor ama inceleme yükü 360 dakikadan 513 dakikaya çıkıyor.
- 07 Tehdit Avcılığı 12.910 kayıtlık kurgu bir telemetri kümesinde altı hipotez koşturulur ve hipotez başına elenen kalem sayılır: h1 üç adımda 12.906 kaydı eleyip 4 kalem bırakıyor, h4 iki adımda 6 kalem, h3 283 kalem bırakıp incelenemez hâle geliyor; h2, h5 ve h6 hiçbir kurgu kalem bulmuyor ama 370 kalemi taban çizgisine yazıyor. Toplam 1.691 dakikalık arama iki kurgu kalem buluyor, kalem başına 846 dakika; kural yazmada örnek başına 11 dakikaydı. Altı hipotezin ikisi günlük on uyarı sınırının altında kaldığı için kurala dönüşüyor, dördü sınırı aşıyor ya da boş dönüyor.
- 08 Tehdit İstihbaratı 900 göstergelik kurgu bir besleme ile 12 davranış tanımı 90 günlük pencerede ömür ekseninde karşılaştırılır: adres göstergesinin medyan ömrü 5 gün, dosya karması 2 gün, ad 15 gün; davranış tanımının medyan ömrü 358 gündür. Doksanıncı günde eklenmiş 900 göstergenin yalnız 72'si geçerli, 828'i ölüdür. 60 kurgu temasın gösterge listesiyle 5'i eşleşiyor, 28'inde gösterge o gün listede henüz yok, 27'sinde ömrü dolmuş. Saklamayı 3 günden 90 güne çıkarmak yakalananı 2'den 5'e taşırken ölü eşleşmeyi 2'den 190'a çıkarıyor ve incelemeyi 36 dakikadan 1.755 dakikaya. Davranış tanımları 27 temas yakalıyor, ölü eşleşme üretmiyor; kalem başına yakalama binde 5,6'ya karşı binde 2.250.
- 09 Yanıt Otomasyonu Sekiz yinelenen müdahale yordamı günde 158 kalem ve 1.215 dakika elle iş üretiyor; tam otomasyon bunu 281 dakikaya indiriyor ama günde 2,65 yanlış otomatik eylem ve 457 dakika bedel getiriyor, net kazanç 477 dakika. Üç yordam tam otomasyonda net eksi veriyor: hesap kilitleme -4, adres engelleme -72, uç nokta yalıtımı -72 dakika. İnsan onaylı kip 715 dakika net ve sıfır yanlış eylem veriyor; yordam başına en iyi kip seçildiğinde günlük net 870 dakikaya çıkıyor ve 3.120 dakikalık yazma işi 4 günde geri ödeniyor. Kesilen meşru iş kaleminin dakika karşılığı 90 alındığında tam otomasyon 1x yanlış oranında -60 dakikaya düşüyor.