Detection engineering
termosegurança
Tratar cada detecção como artefato de engenharia, e não como um interruptor: hipótese enunciada, dados de que ela precisa, lógica sob controle de versão, teste que prova que dispara, orçamento de falsos positivos, dono nomeado e resposta documentada.
É a diferença entre uma plataforma que custa dinheiro e uma capacidade que acha invasões, e quase nunca está na ordem de compra - o produto é custo, o conteúdo é a capacidade. O elemento que sustenta o resto é a resposta documentada: um alerta que ninguém sabe o que fazer com ele é pior que alerta nenhum, porque consome a atenção de que um alerta real precisa e ensina o time que o console mente. Detecções sem dono acabam suprimidas ou ignoradas, e as duas coisas parecem idênticas num painel.
Também conhecido como: detection as code, use case development, rule tuning, false positive budget