Ratchet Pengecualian: Penekanan Positif Palsu Menumpuk dan Bertahan di Repositori Aturan Deteksi

Aturan deteksi adalah inti operasional pemantauan keamanan modern. Ketika sebuah aturan menghasilkan terlalu banyak alarm palsu, analis menambahkan pengecualian agar aturan tersebut menolak memberi peringatan dalam keadaan itu. Setiap keputusan semacam itu wajar secara lokal: ia mengurangi derau, menjaga perhatian analis, dan mempertahankan aturan tetap terpasang. Namun, apa yang terjadi pada keputusan-keputusan ini secara kolektif belum diketahui. Karya longitudinal terbaru menetapkan bahwa kurasi tidak konvergen, tetapi karya itu hanya mengukur waktu pemulihan untuk revisi yang kemudian dikembalikan. Ukuran itu tidak menangkap penyempitan yang tidak pernah dibatalkan. Makalah ini mengatasi celah tersebut dengan mengukur penekanan secara semantik pada sembilan tahun dan 8.234 revisi korpus SigmaHQ. Penulis mendefinisikan penekanan sebagai pertumbuhan himpunan predikat yang dipegang di bawah negasi tanpa pertumbuhan cakupan yang mengimbangi, dan mereka memvalidasi deteksi tersebut terhadap pelabelan tangan tersamar dengan presisi 0,828 dan recall 0,911. Uji ini deterministik: tidak ada yang dipelajari dari data, dan definisinya dirilis sebagai kode. Temuan utamanya adalah pengecualian ditambahkan 1.642 kali dan ditarik 304 kali, rasio 5,4 banding 1 yang naik menjadi 13 banding 1 pada tingkat aturan individual. Tiga puluh satu persen penyempitan tidak terlihat oleh perbandingan struktural, yang berarti catatan struktural yang ada kurang menghitungnya. Diestimasi dengan Kaplan-Meier, 86,7 persen pengecualian tetap berlaku tiga tahun kemudian, dan persistensi tidak bergantung pada apakah aturan tersebut satu-satunya cakupan untuk teknik ATT&CK-nya (p = 0,49). Dari pengecualian bernilai path, 64,1 persen dapat dipenuhi oleh proses tanpa hak istimewa yang memilih nama berkas. Penyempitan menumpuk, jarang ditinjau kembali, dan tidak ditriase berdasarkan konsekuensi. Penulis memberikan kriteria untuk memutuskan pengecualian mana yang harus diperiksa lebih dulu.

Studi ini menganalisis korpus SigmaHQ selama sembilan tahun, mencakup 8.234 revisi. Penekanan dideteksi secara semantik, bukan struktural. Secara formal, misalkan revisi aturan direpresentasikan oleh pasangan $(P,N)$ dengan $P$ adalah himpunan predikat yang harus berlaku agar peringatan muncul dan $N$ adalah himpunan predikat yang dipegang di bawah negasi (pengecualian). Cakupan adalah himpunan peristiwa log yang memenuhi $P\wedge \neg N$. Revisi dari $(P_1,N_1)$ ke $(P_2,N_2)$ diklasifikasikan sebagai penekanan ketika himpunan pengecualian tumbuh tanpa pertumbuhan cakupan yang mengimbangi: