Detecção é produto, não regra
Uma detecção tem ciclo de vida: hipótese de comportamento adversário, fonte de telemetria necessária, lógica, conjunto de teste positivo e negativo, taxa de falso positivo observada em produção e critério de aposentadoria.
Regras adotadas sem esse ciclo acumulam-se e degradam. A métrica relevante não é quantidade de regras ativas, e sim cobertura validada por tática e técnica com falso positivo dentro de limite acordado.
Onde a IA agrega e onde não agrega
Modelos são eficazes em compressão de contexto, agrupamento de eventos correlacionados em um único caso, priorização por similaridade com incidentes anteriores e geração de linha do tempo narrada a partir de evidência estruturada.
Modelos não substituem lógica determinística onde a decisão precisa ser reprodutível e auditável — contenção de host, revogação de credencial e bloqueio de rota são ações que exigem condição explícita e trilha verificável.
Critério de promoção para automação
Uma resposta só é automatizada depois de operar em modo de recomendação por período determinado, com decisão humana registrada. A promoção é estatística e reversível.
- Volume mínimo de ocorrências observadas para significância
- Precisão medida contra decisão humana no mesmo período
- Raio de impacto delimitado por escopo de ativo e janela de execução
- Reversão automática e notificação obrigatória ao dono do ativo
- Revisão amostral periódica das execuções automáticas
Validação por exercício adversário
Cobertura declarada e cobertura efetiva divergem. Exercícios de emulação executam técnicas conhecidas contra o ambiente real e medem detecção, alerta e resposta ponta a ponta, incluindo o handoff entre turnos.
O resultado do exercício alimenta o backlog de engenharia de detecção com lacunas específicas por técnica, e não com uma pontuação agregada que não indica ação.