7.B5 Detection Engineering Lifecycle

2026-04-30

本篇的責任是建立偵測規則生命週期。讀者讀完後，能把一條 detection rule 從來源定義、驗證、調校、上線、退場整理成可維護流程。

核心論點

Detection engineering lifecycle 的核心概念是把規則當資產管理。規則資產包含來源、邏輯、測試、誤報處理、owner、驗收門檻與退場條件。

欄位	責任	常見來源
Rule source	描述規則來自哪個威脅假設與資料源	Sigma、事件復盤、演練結果
Detection logic	定義條件、例外、聚合方式	rule repository、query package
Validation evidence	證明規則可命中目標情境	測試事件、回放資料、對照 log
Tuning decision	收斂誤報與漏報	triage 結果、分析註記、例外記錄
Release condition	定義規則上線條件	release gate、變更審查
Retirement condition	定義規則退場條件	覆蓋重疊、威脅變化、資料源變動

生命周期欄位的核心是讓規則維護可以追溯。每次規則更新都能回查它解哪個風險、用哪個證據驗證、為何做這次調整。

規則來源治理的責任是讓規則與威脅假設對齊。來源可來自公開框架、事件教訓、演練情境與稽核要求，並需要在建立時寫清楚 threat hypothesis 與 data dependency。

驗證節奏的責任是確保規則在上線前後都保持有效。建議至少建立三層驗證：

調校策略的責任是把 alert 噪音轉成可判讀訊號。調校時同步記錄 false positive 情境、排除條件、影響範圍與回退方式，並和 incident severity 對齊分級節奏。

上線與退場的責任是讓規則變更進入受控流程。上線前需確認 evidence、owner 與回退路徑；退場時要確認替代規則、覆蓋遷移與歷史證據保留。

與事故流程交接的責任是把規則命中轉成回應路由。規則命中後應直接輸出 triage 問題、owner、升級條件與 runbook 路由，讓 08 模組可以快速接手。

判讀表格的作用是把規則問題轉成維護任務。每一列都能直接對應到 owner 與下一步交接章節。

完稿時要讓讀者能為一條偵測規則設計完整生命週期。輸出至少包含來源、邏輯、驗證證據、調校策略、上線條件、退場條件與回寫位置。