Detection Coverage on Tarragonhttps://tarrragon.github.io/blog/tags/detection-coverage/Recent content in Detection Coverage on TarragonHugo -- gohugo.iozh-TWTarragon (CC BY 4.0)Thu, 30 Apr 2026 00:00:00 +00007.R11.P17 偵測訊號關聯斷點https://tarrragon.github.io/blog/backend/07-security-data-protection/red-team/problem-cards/fp-detection-signal-correlation-gap/Thu, 30 Apr 2026 00:00:00 +0000https://tarrragon.github.io/blog/backend/07-security-data-protection/red-team/problem-cards/fp-detection-signal-correlation-gap/<p>這個失效樣式的核心問題是高風險事件跨系統資料無法在同一時序關聯。當偵測訊號關聯斷點存在，處置團隊很難快速判斷 <a href="https://tarrragon.github.io/blog/backend/knowledge-cards/impact-scope/" data-link-title="Impact Scope" data-link-desc="說明事故中如何盤點受影響範圍，支持通報、回復與責任判讀">impact scope</a> 與優先序。</p> <h2 id="常見形成條件">常見形成條件</h2> <ul> <li>身分、入口與資料事件缺少共同 <a href="https://tarrragon.github.io/blog/backend/knowledge-cards/correlation-id/" data-link-title="Correlation ID" data-link-desc="說明跨事件或跨服務的關聯識別碼如何支援排障">correlation id</a>。</li> <li>偵測規則過度依賴單一資料來源與 <a href="https://tarrragon.github.io/blog/backend/knowledge-cards/symptom-based-alert/" data-link-title="Symptom-Based Alert" data-link-desc="說明告警應優先偵測使用者可感知症狀">symptom-based alert</a>。</li> <li>事件資料保留時窗短於復盤與調查需求。</li> </ul> <h2 id="判讀訊號">判讀訊號</h2> <ul> <li>高嚴重度事件需人工拼接多系統資料才能定位與判定 <a href="https://tarrragon.github.io/blog/backend/knowledge-cards/incident-severity/" data-link-title="Incident Severity" data-link-desc="說明事故分級如何把產品影響轉成對應處置節奏">incident severity</a>。</li> <li>同類攻擊事件反覆發生但偵測策略未演進。</li> <li>復盤時無法重建完整攻擊時序與責任鏈。</li> </ul> <h2 id="案例觸發參考">案例觸發參考</h2> <ul> <li><a href="https://tarrragon.github.io/blog/backend/07-security-data-protection/red-team/cases/identity-access/uber-2022-mfa-fatigue/" data-link-title="7.R7.1.1 Uber 2022：MFA 疲勞與內部工具擴散" data-link-desc="從社交工程到內部工具存取，拆解身分流程與權限邊界的失效點">Uber 2022</a></li> <li><a href="https://tarrragon.github.io/blog/backend/07-security-data-protection/red-team/cases/data-exfiltration/snowflake-2024-credential-abuse/" data-link-title="7.R7.4.2 Snowflake 2024：憑證濫用與資料竊取" data-link-desc="外洩憑證與 MFA 缺口如何在資料平台形成高風險外送事件">Snowflake 2024</a></li> <li><a href="https://tarrragon.github.io/blog/backend/07-security-data-protection/red-team/cases/supply-chain/solarwinds-2020-sunburst/" data-link-title="7.R7.2.1 SolarWinds 2020：更新鏈被濫用" data-link-desc="合法更新流程遭植入後，攻擊者如何長期潛伏與橫向擴散">SolarWinds 2020</a></li> </ul> <h2 id="來源主題章節">來源主題章節</h2> <ul> <li><a href="https://tarrragon.github.io/blog/backend/07-security-data-protection/red-team/detection-evasion-and-observability-gaps/" data-link-title="7.R10 偵測迴避與觀測缺口" data-link-desc="從攻擊者角度盤點偵測盲區與觀測資料缺口">7.R10 偵測迴避與觀測缺口</a></li> <li><a href="https://tarrragon.github.io/blog/backend/07-security-data-protection/detection-coverage-and-signal-governance/" data-link-title="7.13 偵測覆蓋率與訊號治理" data-link-desc="定義偵測覆蓋、訊號品質與誤報成本的治理問題">7.13 偵測覆蓋率與訊號治理</a></li> </ul> <h2 id="下一步路由">下一步路由</h2> <p>本失效樣式對應的實作 chain：</p> <p><strong>控制面（mitigation 在這裡定義）</strong>：</p> <ul> <li><a href="https://tarrragon.github.io/blog/backend/07-security-data-protection/detection-coverage-and-signal-governance/" data-link-title="7.13 偵測覆蓋率與訊號治理" data-link-desc="定義偵測覆蓋、訊號品質與誤報成本的治理問題">7.12 偵測涵蓋與訊號治理</a></li> </ul> <p><strong>演練 / 控制落地（轉成欄位）</strong>：</p> <ul> <li><a href="https://tarrragon.github.io/blog/backend/07-security-data-protection/blue-team/materials/control-patterns/detection-lifecycle-pattern/" data-link-title="Detection Lifecycle Pattern" data-link-desc="定義偵測規則如何管理來源、邏輯、測試事件、誤報與退場">Detection lifecycle pattern</a></li> </ul>這個失效樣式的核心問題是高風險事件跨系統資料無法在同一時序關聯。當偵測訊號關聯斷點存在，處置團隊很難快速判斷 impact scope 與優先序。

常見形成條件

  • 身分、入口與資料事件缺少共同 correlation id。
  • 偵測規則過度依賴單一資料來源與 symptom-based alert。
  • 事件資料保留時窗短於復盤與調查需求。

判讀訊號

  • 高嚴重度事件需人工拼接多系統資料才能定位與判定 incident severity。
  • 同類攻擊事件反覆發生但偵測策略未演進。
  • 復盤時無法重建完整攻擊時序與責任鏈。

案例觸發參考

來源主題章節

下一步路由

本失效樣式對應的實作 chain：

控制面（mitigation 在這裡定義）：

演練 / 控制落地（轉成欄位）：

]]>