مقوله Detection as Code؛ به‌کارگیری انضباط مهندسی نرم‌افزار در تشخیص تهدیدات
خلاصه مقاله
نویسنده در لینک زیر معتقد است بسیاری از تیم‌های امنیتی هنوز قوانین تشخیص (Detection Rules) را به‌صورت دستی در SIEM تغییر می‌دهند؛ بدون کنترل نسخه، بازبینی همتا، تست یا امکان بازگشت به نسخه قبلی. نتیجه این وضعیت، تولید هشدارهای فراوان، خطاهای منطقی و وابستگی به «دانش شفاهی» افراد است. Detection as Code راهکاری برای حل این مشکل است.
در این رویکرد، قوانین تشخیص همانند کد نرم‌افزار مدیریت می‌شوند. هر قانون در Git ذخیره می‌شود، دارای تاریخچه تغییرات است، پیش از انتشار بازبینی می‌شود و از طریق CI/CD به محیط عملیاتی منتقل می‌گردد. هر قانون باید دارای متادیتا مانند نویسنده، تاریخ بازبینی، تکنیک‌های ATT&CK، منبع داده و نرخ خطای مورد انتظار باشد. همچنین برای هر قانون باید تست مثبت و منفی تعریف شود تا مشخص شود چه رویدادهایی باید شناسایی شوند و چه رویدادهایی نباید هشدار تولید کنند.
مقاله نقش مهم Sigma را به‌عنوان زبان استاندارد و مستقل از فروشنده توضیح می‌دهد. Sigma امکان نوشتن یک قانون واحد و تبدیل آن به فرمت‌های مختلف مانند Splunk SPL، Sentinel KQL و Elastic EQL را فراهم می‌کند. در نتیجه، وابستگی به یک SIEM خاص کاهش می‌یابد و مهاجرت بین پلتفرم‌ها آسان‌تر می‌شود.
برای تشخیص مبتنی بر فایل و حافظه نیز YARA و YARA-X معرفی می‌شوند. YARA-X با کارایی بالاتر و قابلیت ادغام بهتر با CI/CD، امکان اعتبارسنجی خودکار قوانین را فراهم می‌کند.
نویسنده تأکید می‌کند که Detection as Code بدون تله‌متری مناسب و داده‌های باکیفیت موفق نخواهد شد. اگر لاگ‌ها ناقص یا فیلدها نادرست باشند، حتی بهترین فرآیندهای مهندسی نیز ارزشی ایجاد نمی‌کنند. همچنین هر قانون باید مالک مشخص و فرآیند رسیدگی تعریف‌شده داشته باشد.
به‌عنوان نقطه شروع، پیشنهاد می‌شود تنها پنج قانون مهم سازمان انتخاب شوند، در Git قرار گیرند، برای آنها تست تعریف شود و یک خط لوله CI ساده ایجاد گردد. سپس به‌تدریج پوشش ATT&CK، قوانین YARA، Shadow Mode و استقرار خودکار اضافه شوند. تجربه سازمان‌ها نشان داده است که این رویکرد می‌تواند حجم هشدارها را به‌طور محسوسی کاهش داده و مدیریت تشخیص را قابل ممیزی، قابل حمل و پایدار کند.
جمع‌بندی
پیام اصلی مقاله این است که Detection Engineering دیگر یک فعالیت عملیاتی ساده نیست؛ بلکه یک مسئله مهندسی نرم‌افزار است. همان‌طور که زیرساخت‌ها به Infrastructure as Code تبدیل شدند، قوانین تشخیص نیز باید به Detection as Code تبدیل شوند تا قابلیت کنترل، آزمون، ممیزی و توسعه مستمر داشته باشند
#MSSP #هامون
ثبت نام دوره CISSP از طریق بله 09902857290
https://andreafortuna.org/2026/06/17/detection-as-code/
خلاصه مقاله
نویسنده در لینک زیر معتقد است بسیاری از تیم‌های امنیتی هنوز قوانین تشخیص (Detection Rules) را به‌صورت دستی در SIEM تغییر می‌دهند؛ بدون کنترل نسخه، بازبینی همتا، تست یا امکان بازگشت به نسخه قبلی. نتیجه این وضعیت، تولید هشدارهای فراوان، خطاهای منطقی و وابستگی به «دانش شفاهی» افراد است. Detection as Code راهکاری برای حل این مشکل است.
در این رویکرد، قوانین تشخیص همانند کد نرم‌افزار مدیریت می‌شوند. هر قانون در Git ذخیره می‌شود، دارای تاریخچه تغییرات است، پیش از انتشار بازبینی می‌شود و از طریق CI/CD به محیط عملیاتی منتقل می‌گردد. هر قانون باید دارای متادیتا مانند نویسنده، تاریخ بازبینی، تکنیک‌های ATT&CK، منبع داده و نرخ خطای مورد انتظار باشد. همچنین برای هر قانون باید تست مثبت و منفی تعریف شود تا مشخص شود چه رویدادهایی باید شناسایی شوند و چه رویدادهایی نباید هشدار تولید کنند.
مقاله نقش مهم Sigma را به‌عنوان زبان استاندارد و مستقل از فروشنده توضیح می‌دهد. Sigma امکان نوشتن یک قانون واحد و تبدیل آن به فرمت‌های مختلف مانند Splunk SPL، Sentinel KQL و Elastic EQL را فراهم می‌کند. در نتیجه، وابستگی به یک SIEM خاص کاهش می‌یابد و مهاجرت بین پلتفرم‌ها آسان‌تر می‌شود.
برای تشخیص مبتنی بر فایل و حافظه نیز YARA و YARA-X معرفی می‌شوند. YARA-X با کارایی بالاتر و قابلیت ادغام بهتر با CI/CD، امکان اعتبارسنجی خودکار قوانین را فراهم می‌کند.
نویسنده تأکید می‌کند که Detection as Code بدون تله‌متری مناسب و داده‌های باکیفیت موفق نخواهد شد. اگر لاگ‌ها ناقص یا فیلدها نادرست باشند، حتی بهترین فرآیندهای مهندسی نیز ارزشی ایجاد نمی‌کنند. همچنین هر قانون باید مالک مشخص و فرآیند رسیدگی تعریف‌شده داشته باشد.
به‌عنوان نقطه شروع، پیشنهاد می‌شود تنها پنج قانون مهم سازمان انتخاب شوند، در Git قرار گیرند، برای آنها تست تعریف شود و یک خط لوله CI ساده ایجاد گردد. سپس به‌تدریج پوشش ATT&CK، قوانین YARA، Shadow Mode و استقرار خودکار اضافه شوند. تجربه سازمان‌ها نشان داده است که این رویکرد می‌تواند حجم هشدارها را به‌طور محسوسی کاهش داده و مدیریت تشخیص را قابل ممیزی، قابل حمل و پایدار کند.
جمع‌بندی
پیام اصلی مقاله این است که Detection Engineering دیگر یک فعالیت عملیاتی ساده نیست؛ بلکه یک مسئله مهندسی نرم‌افزار است. همان‌طور که زیرساخت‌ها به Infrastructure as Code تبدیل شدند، قوانین تشخیص نیز باید به Detection as Code تبدیل شوند تا قابلیت کنترل، آزمون، ممیزی و توسعه مستمر داشته باشند
#MSSP #هامون
ثبت نام دوره CISSP از طریق بله 09902857290
https://andreafortuna.org/2026/06/17/detection-as-code/
Comments
Be the first to add a comment
Log in to comment