Skopiuj do notatki labu. Puste pole = reguła niegotowa.
ID / nazwa:
Źródło logu: (kanał, dekoder)
Warunek: (co musi być prawdą)
Test pozytywny: (jak wygenerować zdarzenie w labie)
Test negatywny / FP: (co może wywołać to samo legalnie)
Dane dla analityka: (które pola musi zobaczyć)
ATT&CK: (tylko jeśli log naprawdę pokrywa technikę)
Owner:
Status: draft / tested / noisy / disabled
Reguła bez testu pozytywnego zostaje w draft. Alert z tej reguły nadal nie jest incydentem.