Quiz: Detection Engineering

Question 1

Quale e la struttura principale di una regola Sigma e a cosa serve?

Accepted Answer

Un formato YAML vendor-agnostic per descrivere pattern di rilevamento negli eventi di log, convertibile per qualsiasi SIEM

Question 2

Nella tassonomia MITRE ATT&CK, cosa rappresenta una 'Technique' rispetto a una 'Tactic'?

Accepted Answer

La Tactic e l'obiettivo dell'avversario (es. Persistence); la Technique e il metodo specifico usato per raggiungerlo (es. T1053 Scheduled Task)

Question 3

Cos'e il 'alert fatigue' e quale strategia lo riduce in un SOC?

Accepted Answer

Il sovraccarico di falsi positivi che porta gli analisti a ignorare gli alert; si riduce con tuning delle regole, scoring del rischio e SOAR

Question 4

Quale metrica e usata per valutare la qualita di una detection rule in termini di falsi positivi e negativi?

Accepted Answer

Precision (TP/(TP+FP)) e Recall (TP/(TP+FN)) applicate agli alert generati

Question 5

Cos'e il 'Pyramid of Pain' nel contesto della threat detection?

Accepted Answer

Un modello che classifica gli indicatori di compromissione (IOC) per difficolta di cambiamento per l'attaccante: da hash (facile) a TTP (difficile)