Wazuh 4.14.9 surveille un poste Ubuntu 24.04. Des scénarios inoffensifs reproduisent 10 techniques MITRE ATT&CK ; chaque alerte est rapprochée du scénario qui l'a produite.
Niveau d'alerte maximal par scénario, sur deux campagnes identiques : règles natives seules (témoin), puis règles natives + personnalisées. Sous le seuil de triage (niveau 7), l'alerte n'est pas traitée.
Secondes entre le début du scénario et la première alerte attendue.
Règle attendue et règle déclenchée avec les règles personnalisées, comparées à la meilleure alerte obtenue par les règles natives seules (campagne témoin).
Campagne avec règles personnalisées, hors audit CIS et hors nettoyage. Les niveaux 0 à 6 sont du contexte ; à partir de 7, l'alerte demande une action.
Actions légitimes d'un administrateur : aucune règle personnalisée ne doit dépasser le seuil de triage. La règle 100120 ramène les documents modifiés au niveau 3.
Les 10 règles qui ont produit le plus d'alertes (hors audit CIS et hors nettoyage).
Les règles personnalisées sont préfixées par [SOC].