На arXiv доступна исследовательская статья The Exclusion Ratchet: False-Positive Suppression Accumulates and Persists in Detection Rule Repositories Судароли Дхананджеяна и Кумарана У. Она посвящена тому, как исключения из правил обнаружения ложных срабатываний накапливаются и сохраняются.

Авторы проанализировали девять лет и 8 234 ревизии корпуса SigmaHQ. Они выявляли подавление по росту числа предикатов под отрицанием без компенсирующего расширения охвата.

Ручная слепая разметка дала precision 0,828 и recall 0,911. Использованный тест детерминированный, не обучается на данных, а его определения опубликованы в виде кода.

31% случаев сужения не видны при структурном сравнении, поэтому существующие структурные подходы недооценивают его масштаб. По оценке Kaplan–Meier, через три года в силе остаются 86,7% исключений, а их сохранение не зависит от того, является ли правило единственным покрытием для соответствующей техники ATT&CK при p = 0,49.

Проверка утверждений:

  • На arXiv доступна исследовательская статья Sudaroli Dhananjeyan и Kumaran U «The Exclusion Ratchet: False-Positive Suppression Accumulates and Persists in Detection Rule Repositories», посвящённая тому, как исключения из правил обнаружения ложных срабатываний накапливаются и сохраняются. (подтверждено самой публикацией: доказательство; «Title: The Exclusion Ratchet: False-Positive Suppression Accumulates and Persists in Detection Rule Repositories Authors: Sudaroli Dhananjeyan , Kumaran U View a PDF of the paper titled The Exclusion Ratchet: False-Positive Suppression Accumulates and Persists in Detection Rule Repositories»)
  • Работа предлагает критерий, по которому можно решить, какие исключения следует проверять в первую очередь. (подтверждено самой публикацией: доказательство; «We give a criterion for deciding which exclusions to examine first.»)
  • Авторы проанализировали девять лет и 8 234 ревизии корпуса SigmaHQ, семантически выявляя подавление через рост числа предикатов под отрицанием без компенсирующего расширения охвата; ручная слепая разметка дала precision 0,828 и recall 0,911. (подтверждено самой публикацией: доказательство; «Across nine years and 8,234 revisions of the SigmaHQ corpus we detect suppression semantically – growth in the set of predicates held under negation without compensating growth in coverage – and validate it against blinded hand labelling (precision 0.828, recall 0.911).»)
  • Использованный тест детерминированный, ничего не обучает на данных, а его определения опубликованы в виде кода. (подтверждено самой публикацией: доказательство; «The test is deterministic: nothing is learned from the data, and the definitions are released as code.»)
  • В корпусе исключения добавляли 1 642 раза и отзывали 304 раза: соотношение составляет 5,4 к 1, а для отдельного правила возрастает до 13 к 1. (подтверждено самой публикацией: доказательство; «Exclusions were added 1,642 times and withdrawn 304, a ratio of 5.4 to 1 that rises to 13 to 1 at the level of the individual rule.»)
  • 31% случаев сужения не видны при структурном сравнении, поэтому существующие структурные подходы недооценивают его масштаб. (подтверждено самой публикацией: доказательство; «Thirty-one per cent of the narrowing is invisible to structural comparison, which existing structural accounts therefore undercount.»)
  • По оценке Kaplan–Meier, через три года в силе остаются 86,7% исключений, а их сохранение не зависит от того, является ли правило единственным покрытием для соответствующей техники ATT&CK (p = 0,49). (подтверждено самой публикацией: доказательство; «Estimated by Kaplan-Meier, 86.7 per cent of exclusions remain in force three years on, and persistence is independent of whether the rule is the only coverage for its ATT&CK technique (p = 0.49).»)
  • 64,1% исключений, заданных путями, может удовлетворить непривилегированный процесс, выбрав имя файла. (подтверждено самой публикацией: доказательство; «Of path-valued exclusions, 64.1 per cent can be satisfied by an unprivileged process that chooses a filename.»)

Первоисточники:

оценка 74.4 · тип research · ревизия 1 · истории st-1h37y1b