概要

検出では、ルールベースと動作主導のアラートを組み合わせることが重要です。さらに、社内外のスタッフがセキュリティ上の問題に関するチケットを送信できるメカニズムを用意する必要があります。人はセキュリティイベントの最も価値ある情報源の 1 つとなる可能性があるため、懸念をエスカレーションするプロセスを設けることが重要です。検出コントロールの構築を開始するには、環境の脅威モデルを使用する必要があります。脅威モデルは、環境に最も関連性の高い脅威に基づいてアラートを作成することに役立ちます。最後に、MITRE ATT&CK などのフレームワークを使用して、脅威アクターの戦術、技術、手順 (TTP) を理解できます。MITRE ATT&CK フレームワークは、さまざまな検出メカニズム間の共通言語として使用するのに役立ちます。