入侵检测系统:它们能捕获什么、又在哪里失效

一份 SIEM 日志治理清单：把九类日志源按调查价值分级，指导解析、留存与检测工程投入，避免检测规则因数据源缺失或字段解析不良而失效。

Bishop Fox 解析紫队（Purple Teaming）：将红队攻击与蓝队防御融合，用于验证安全投入成效、建立可度量安全基线，并向管理层提供基于证据的 ROI 沟通依据。

这篇内容为安全团队开展监测、验证和修复提供最新背景。

GitLab 信号工程团队自研 WATCH 框架：在自有基础设施上周期性模拟真实恶意行为，端到端验证检测规则从日志源、SIEM 到 SOAR 告警路由全链路有效性，弥补检测即代码只验证部署不验证触发的空白。

借 Wald 统计幸存者偏差的经典案例与犯罪学「暗数」概念，作者指出字符串级规则只能命中已被捕获过的攻击痕迹，识别未知威胁只能依靠行为层面的检测。

Falcon Platform IOA 是一类全新的 CrowdStrike 托管检测：通过关联 Falcon 各模块与第三方数据源的遥测识别攻击活动，已在 Falcon Next-Gen SIEM 正式可用，并随新威胁与零日漏洞自动部署。