Смотрят coverage TTP, true positive rate через IR feedback, время тюнинга, процент inline block успешных остановок, пробелы на шифрованном трафике, стоимость FP для бизнеса. Purple team проверяет, что сигнатуры/поведение реально ловят сценарии.
Разбор
- Контент-as-code и lifecycle правил.
- Не гонитесь за числом enabled signatures.
- Endpoint + network корреляция важнее одного сенсора.
- SLA на retune после changes приложений.
Итог
IDS/IPS зрелы, когда ловят приоритетные TTP с приемлемым FP и измеримым эффектом.