¿Qué es la ingeniería de detección y cuáles son sus ventajas?
La ingeniería de detección es un nuevo enfoque de la detección de amenazas. Más que escribir reglas de detección, la ingeniería de detección es un proceso: aplicar el pensamiento sistémico y la ingeniería para detectar amenazas con mayor precisión. El objetivo es crear un sistema automatizado de detección de amenazas que sea personalizable, flexible, repetible y produzca alertas de alta calidad para que los equipos de seguridad actúen en consecuencia. La ingeniería de la detección aún no es una disciplina madura con métodos coherentes y resultados predecibles, pero los pioneros en este campo están trabajando para alcanzar este objetivo. Ahora mismo no hay mucho escrito sobre el concepto, ni normas o marcos de referencia. Parece que las empresas están desarrollando sus propios enfoques para incorporar el concepto con el fin de mejorar sus capacidades de detección y respuesta.

Un concepto llamado detección como código (DaC), acuñado por primera vez por Anton Chuvakin en 2020, está en el corazón de la ingeniería de detección, y apunta a la idea de que las detecciones deben tratarse como código. Básicamente, se trata de aplicar las mejores prácticas de ingeniería de software a las detecciones mediante procesos ágiles modernos de CI/CD.

Las ventajas de la Ingeniería de la Detección incluyen 1) reducción del tiempo medio de respuesta mediante la automatización de las detecciones, 2) las detecciones son más relevantes para el entorno, 3) el proceso está estructurado, es repetible e informa los flujos de trabajo, 4) las reglas de detección y los análisis se controlan por versiones, se reutilizan y se modifican según sea necesario, 5) la revisión por pares y las pruebas automatizadas forman parte del proceso, para detectar errores y lagunas.