EP 18 / EPISODE BRIEF
検知ルールの過検知調整
アラートと承認記録を比較する
Northstar Labのalerts.jsonlをallowlistとchange-ticketへ照合し、true positive（TP）候補とfalse positive（FP）候補を分けます。抑制条件を検討しますが、ルール変更は実行せず、見逃しを増やさない条件を判断します。
このエピソードで学ぶこと
TPは検知対象を捉えたもの、FPは誤検知です。allowlistは照合対象の一覧であり、一致だけで抑制を承認するものではありません。
対象・時間窓・ownerを照合します。再生テストは過去の記録を使い、検知すべき事象が残るか確かめる方法です。
ミッション
- 高重要度アラートを読むalerts.jsonlから高重要度の候補を抽出し、識別子と対象を記録する
- 変更チケットを照合するA-1002に対応するchange-ticketの状態と対象範囲を確認する
- 承認範囲を列で確認するchange-ticketからapprovedで対象範囲が記録された行だけを抽出する
- allowlist一致を検討するallowlistとアラートを比較し、対象一致と範囲外を区別する
- 抑制しない判断を報告するTP・FP候補、見逃しリスク、ルール変更前の確認条件を報告する