Edge logs становятся Tier-0 evidence source
VPN, reverse proxy и router telemetry требуют retention, config diffs и identity context, потому что именно там может быть видна первая стадия.
читать разбор →// soc / detection engineering / telemetry
SOC Research
Отдельный исследовательский поток о том, как строить detection program без самообмана: telemetry contracts, Sigma validation, query budgets, hunt-flow design, KPI шума и нормальная передача lessons learned из пентеста и DFIR обратно в SOC.
stream.map
question -> data contract -> validation dataset -> rule -> analyst feedback -> retest
// новая SOC-волна
Visibility должна доказывать containment, а не только генерировать alerts
Recovery denial должен создавать detections
Backup-policy changes, restore administration и identity reset events должны попасть в SOC coverage до инцидента.
читать разбор →AI reviews нужно логировать как security telemetry
Для AI-assisted triage фиксируйте fact-pack redaction, policy decisions, validator outcomes, denied actions и degraded-mode events.
читать разбор →// текущий control loop
От слабого сигнала до проверенного containment
Response budget должен следовать темпу атакующего
Hand-off доступа за 22 секунды означает, что acknowledgement, preservation evidence, блокировка identity и isolation требуют отдельных измеримых budgets.
читать разбор →Session containment должен включать business workflows
Связывайте sign-ins с mailbox rules, OAuth grants, изменениями MFA, devices, payroll, invoices и administrative actions.
читать разбор →Agent evaluation входит в SOC evidence model
Записывайте attempted и denied tool actions, policy decisions, memory writes, connector calls и redaction outcomes как telemetry.
читать разбор →// updated
Что должен уметь этот поток
- Почему правило шумит и можно ли это измерить заранее.
- Какая телеметрия реально нужна, а какая только сжигает бюджет.
- Как превратить охоту и инцидент в новые детекты, а не в воспоминания.
- Где у программы накопился tuning debt и stale-rule debt.
// focused stream
Материалы потока
Detection-as-code: Sigma как язык между пентестом и SOC
Хороший пентест должен оставлять после себя не только PDF, но и идеи детектирования. Sigma помогает описать сигнал один раз и затем переводить его в SIEM-запросы.
читать разбор →Osquery/Fleet: видимость должна быть безопасной для хоста
Visibility-инструменты ценны, пока не начинают вредить целевой машине. Osquery и Fleet хороши там, где есть query budget, ownership, интервал, label targeting и понимание цены каждой таблицы.
читать разбор →Threat hunting: гипотеза должна переживать смену инструментов
Когда hunting завязан на один SIEM-запрос или одну ручную заметку, он не переживает смену источника логов. Намного полезнее описывать hunt как reusable hypothesis flow: сущности, шаги, enrichment и критерий остановки.
читать разбор →Detection engineering: считайте не только правила, но и шум
Количество rule files почти ничего не говорит о зрелости detection program. Намного важнее coverage intent, false positive burn rate, скорость правки и способность превратить red-team/pentest lessons в стабильные сигналы.
читать разбор →SOC telemetry contracts: данные должны отвечать на конкретный вопрос
Security Onion, Fleet, Zeek, Suricata и endpoint-данные сильны не количеством сенсоров, а качеством контракта между ними: кто отвечает за поле, какую гипотезу оно закрывает и сколько стоит собирать его в production.
читать разбор →Sigma rules без validation dataset быстро теряют доверие
Даже хорошая Sigma-идея может утонуть в шуме, если rule не прогоняется на реальных benign-логах и на контролируемых test-events. Validation dataset нужен не для красоты, а для инженерной честности.
читать разбор →// working logic
Рабочая логика
Хороший SOC stream не начинается с количества rules. Он начинается с вопроса, потом проверяет качество данных, затем валидирует rule на benign/test dataset и только после этого масштабирует покрытие.
logic.flow
question -> data contract -> validation dataset -> rule -> analyst feedback -> retest
// related
Связанные разделы
// current control questions
SOC-приоритеты для machine-speed угроз
Модель может предложить, evidence обязано доказать
SOC и autonomous assessment требуют одной границы: untrusted content, schema-valid планы, deterministic validators и видимые coverage gaps.
читать →Post-upgrade monitoring — часть recovery
Если persistence переживает maintenance, SOC нужен watch window для identity, configuration и control-plane anomalies.
читать →