Объяснение
Detection-as-code хранит правила, тестовые события и ожидаемые результаты. После инцидента важно исправить и защиту, и наблюдаемость. Число правил само по себе не измеряет качество обнаружения.
Задача для самостоятельного решения
Как проверить обновлённое правило?
Показать разбор ответа
Прогнать положительные и легитимные отрицательные примеры, оценить ложные срабатывания и документировать ограничение источников логов.