برداشت من از مقاله زیر

در SOC فقط تهدید را مانیتور نکنیم؛ سلامت Telemetry را هم مانیتور کنیم

یکی از اصول مهم در Detection Engineering، اطمینان از سلامت Telemetry است. سؤال فقط این نیست که چه Eventهایی دریافت کرده‌ایم؟؛ بلکه باید بپرسیم: آیا Eventهایی که انتظار داشتیم، واقعاً دریافت شده‌اند؟

برای این کار می‌توان از Heartbeat استفاده کرد تا مشخص شود Agentهایی مانند EDR، Sysmon یا Splunk Forwarder همچنان فعال‌اند. همچنین با ایجاد Event Volume Baseline می‌توان کاهش غیرعادی حجم رویدادها را تشخیص داد؛ مثلاً Domain Controller که معمولاً هزاران Event تولید می‌کند، نباید ناگهان تقریباً ساکت شود.

روش دیگر، بررسی Expected Events است. اگر سرور فعال است اما Process Creation Event دریافت نمی‌شود، باید سلامت Telemetry بررسی شود. Cross-source Correlation نیز اهمیت زیادی دارد؛ برای مثال Network Telemetry فعالیت یک Host را نشان می‌دهد، اما EDR درباره همان Host ساکت است.

علاوه بر Agentها، کل زنجیره تا خود رول
باید مانیتور شود. حتی می‌توان Synthetic Event ایجاد کرد و رسیدن آن به Detection Engine را سنجید.

بنابراین Detection Engineering بالغ دو حوزه دارد:

Detection of Malicious Activity + Detection of Loss of Visibility

گاهی خطرناک‌ترین Event در SOC، Eventی است که باید می‌آمد، اما نیامده است.




https://blog.otterpwn.com/research/In-depth-Windows-Telemetry