Конечно, запусти синтетическую конвейер обработки данных – подай известные шаблоны атак и посмотри на процент попаданий. Держи логи анонимными, хэшируй все идентификаторы, и рассчитай показатели ложных срабатываний и пропусков. Отслеживай метрику времени обнаружения, а потом включи это в дашборд ключевых показателей. Так ты будешь измерять эффективность, не рискуя пролить какую-то информацию.