درخواست مشاورهSIEM شکست می‌خورد وقتی تیم زیر هشدار بی‌کیفیت مدفون میشود. ارزش از use caseهای محدود و خوب‌تنظیم‌شده می‌آید که به Runbook وصل‌اند.
مجموعه اولیه پیشنهادی: login موفق پس از شکست‌های متعدد، ایجاد حساب ممتاز، اجرای ابزارهای credential dumping، انتقال حجم غیرعادی به بیرون، و تغییر قوانین فایروال.
هر use case باید منبع داده، منطق همبستگی، آستانه، شدت، و اقدام اولیه را مستند کند. قانون بدون مالک در کمتر از یک فصل می‌میرد.
پوشش ATT&CK را به‌عنوان نقشه شکاف استفاده کنید، نه هدف نمایشی. ابتدا تکنیک‌هایی را بپوشانید که با دارایی و تهدید شما مرتبط‌اند.
بازبینی ماهانه false positive و زمان پاسخ، کیفیت را بالا می‌برد. قانونی که همیشه نادیده گرفته میشود باید بازنویسی یا حذف شود.
در پیاده‌سازی‌های Hoxy معمولاً با ۲۰ تا ۳۰ use case عملیاتی شروع می‌کنیم و بعد از پایداری، پوشش را گسترش می‌دهیم.