БЕЛЫЙ СПИСОК, В КОТОРОМ СПРЯТАЛСЯ АТАКУЮЩИЙ

Иногда детект не срабатывает не потому, что правило написано плохо.

Телеметрия поступает. Парсер работает. Агент на месте. Условия корреляции совпадают.
Но алерта нет.
Потому что несколько месяцев назад кто-то добавил исключение.