프로젝트 결과 보고 기준 · 가이드라인

미탐 원인 표를 재현 가능한 시험 보고서로 바꾸기

규칙을 바꿨다는 기록에 입력 조건·관찰 증거·재시험·한계를 보태어 설명 가능한 결과를 만든다.

1. 증상과 탐지하려는 사건을 같은 문장에 적기리버스 셸 연결 성립과 연결 뒤 특정 명령이 오가는 것은 다른 사건이다. 후속 명령 문자열만 찾는 규칙이 연결 순간을 탐지하지 못했다고 해서 패킷 수집 자체가 실패했다고 결론낼 수 없다.
2. 한 조건만 바꿔 원인 가설을 시험하기임계값을 낮추는 시험이라면 시간 창·규칙 내용·PCAP·실행 옵션은 고정한다. 바꾼 조건과 결과가 연결돼야 '어느 변경이 영향을 주었는가'를 설명할 수 있다.
3. 전체 결과와 남은 한계를 같은 표에 남기기시험별 실제 정답과 경보 결과를 모아 TP·FN·FP·TN을 센다. 경보가 나오지 않은 시험도 결과표에서 빠뜨리지 않아야 규칙 개선 전후를 공정하게 비교할 수 있다.