Can We Have “Detection as Code”?

Интересные мысли на тему возможности существования “Detection as Code" от Антона Чувакина, автора множества статей про обнаружение событий и SOC. Данная концепция идет от принципа "event-driven security", который также был упомянут в BSIMM 11.

Ключевые аспекты:
- Правила обнаружения как код (на примере Python здесь и Jupyter notebooks здесь)
- Отслеживание событий по мере работы пайплайна
- Кросс-вендорский и кросс-инструментальный подход для работы с событиями (правда пока что одинаково распространены Sigma, YARA-L и ATT&CK)
- Версионноcть и повторная воспроизводимость правил
- Надлежащий QA для сформированных правил
- Формирование метрик и их улучшение (от широты покрытия и failure rate)

https://medium.com/anton-on-security/can-we-have-detection-as-code-96f869cfdc79

#ops