Опорная идея
SOC оценивают не числом красивых дашбордов, а качеством решений. MTTD показывает время до обнаружения, MTTR — время до восстановления. Precision показывает долю полезных alert среди всех срабатываний, recall — сколько реальных угроз удалось поймать. Alert fatigue возникает, когда правил много, а точности мало.
Хороший аналитик улучшает не только отдельное правило, но и систему: меньше шума, быстрее triage, лучше покрытие критичных активов.