técnica → você a executa (controlado) → seu SIEM/log viu?
├─ NÃO → escrever a detecção (regra/alerta) → re-executar → viu agora? → documentar
└─ SIM → validar (é robusta? tem falso positivo?) → ajustar
Uma detecção só existe de verdade depois de testada contra a técnica que ela deveria pegar. Regra escrita e nunca testada = detecção imaginária.