Detektionsregel

Detektionsregler findes i flere logiske typer. Atomare regler eller regler for enkelthændelser matcher én logpost mod betingelser (en proces ved navn rundll32.exe med en kommandolinje, der henviser til en URL). Tærskel- eller aggregeringsregler tæller hændelser pr. nøgle over et tidsvindue (mere end N mislykkede logins pr. konto på fem minutter). Korrelations- eller sekvensregler kræver flere hændelser i rækkefølge, ofte på tværs af kilder (et vellykket login fra et nyt land fulgt inden for en time af oprettelse af en videresendelsesregel i postkassen). Indikatorregler matcher hændelser mod et feed af kompromitteringsindikatorer. Regler kan køre som planlagte forespørgsler over lagrede data eller som streaming-evaluering ved indlæsning; planlagte regler kræver overlappende look-back-vinduer og skal tage højde for forsinkelse i indlæsningen, ellers bliver hændelser, der ankommer sent, i stilhed aldrig evalueret.

Hver platform har sit eget sprog: Splunk SPL, KQL i Microsoft Sentinel og Defender, EQL og ES|QL i Elastic og YARA-L i Google SecOps. Sigma, som Florian Roth og Thomas Patzke startede i 2017, er det leverandørneutrale YAML-format: en regel angiver en logsource (product, category, service), navngivne selections af feltbetingelser, et condition-udtryk, der kombinerer dem, samt metadata som level (informational til critical), falsepositives og ATT&CK-tags; konvertere oversætter den til målsystemets forespørgselssprog. Sigma-specifikationen 2.0 standardiserede korrelationsregler, der tæller og ordner match fra andre regler. Nabostandarder dækker andre lag: YARA til byte- og strengmønstre i filer og hukommelse og Snort- eller Suricata-signaturer til netværkstrafik.

Modne teams behandler regler som kode (detection-as-code). Reglerne ligger i versionsstyring med et unikt id, en ejer, en ATT&CK-kortlægning, en triagevejledning, kendte godartede årsager og testdata; ændringer gennemgår review og CI, der validerer syntaksen, kører reglen mod optagede ondsindede og godartede eksempler og udruller den. Emulering af angribere (fx Atomic Red Team-tests knyttet til ATT&CK-teknikker) bekræfter, at telemetrien og reglen faktisk slår til. ATT&CK-kortlægningen giver et dækningskort, men dækning opgjort pr. teknik-id er kun en grov tilnærmelse: én regel dækker sjældent alle de procedurer, der kan udføre en teknik.

Regelkvalitet er en afvejning langs David Biancos Pyramid of Pain: regler knyttet til hashes eller IP-adresser er præcise, men trivielle at omgå, mens regler på adfærd (værktøjer, teknikker, procedurer) holder længere, men giver flere godartede match og kræver justering. Justering tilføjer som regel undtagelser, som skal være snævre og gennemgås, fordi en bred allowlist-post, fx en hel mappe eller en signeret binærfil, bliver en blind vinkel, angribere kan udnytte. Regler afhænger også af logkonfigurationen: en regel for indholdet af PowerShell-scriptblokke er værdiløs, hvis script block logging (hændelses-id 4104) ikke er slået til, og derfor bør regler dokumentere, hvilke datakilder de kræver.