Una de les mètriques que s'utilitzen més sovint per avaluar l'activitat d'un SOC és el nombre d'alertes gestionades. Això, però, significa que el SOC està detectant millor les amenaces?
La resposta no sempre és afirmativa. Un volum elevat d'alertes pot reflectir una bona capacitat de monitorització, però també pot ser conseqüència de regles poc precises, informació insuficientment contextualitzada o una taxa elevada de falsos positius. En aquests casos, el repte principal deixa de ser detectar més per passar a detectar millor.
El model SOC Critical Path (SCP) situa la detecció com una fase l'objectiu de la qual no és generar més alertes, sinó identificar aquelles activitats que realment requereixen una investigació.
Quan les alertes deixen de ser útils
En un SOC madur, l'eficàcia de la detecció no es mesura únicament pel nombre d'alertes generades, sinó per la capacitat per identificar amenaces reals minimitzant el soroll operatiu.
Això planteja una qüestió important: les alertes que rep el SOC ajuden a detectar un atac o simplement generen més feina per als analistes? Respondre aquesta pregunta pot ajudar a identificar oportunitats de millora.
Algunes qüestions que convé revisar
- Quin percentatge de les alertes acaba descartant-se com a fals positiu?
- Hi ha regles que amb prou feines generen incidents rellevants, però continuen actives?
- Les deteccions es revisen periòdicament o simplement s'acumulen amb el temps?
- Les noves amenaces detectades donen lloc a nous casos d'ús o es continuen utilitzant únicament les regles existents?
- Les alertes aporten prou context per facilitar la investigació?
Si diverses d'aquestes preguntes generen dubtes, probablement el problema no és la capacitat de monitorització, sinó el model de detecció mateix.
Més enllà dels IOC
Tradicionalment, gran part de les deteccions s'han basat en Indicadors de Compromís (IOC), com ara adreces IP malicioses, dominis, URLs o hashes de fitxers. Aquest enfocament continua sent útil i continua fent un paper important en la detecció d'amenaces conegudes.
No obstant, nombrosos estudis coincideixen que recolzar-se exclusivament a IOC presenta limitacions importants. Aquests indicadors poden canviar ràpidament o quedar obsolets en poc temps, cosa que obliga a actualitzar-los de forma constant.
Per aquest motiu, cada vegada més SOC complementen aquest enfocament amb deteccions basades en Tàctiques, Tècniques i Procediments (TTP), és a dir, en la forma en què els atacants actuen més que en els indicadors concrets que utilitzen en cada campanya.
Aquest canvi permet detectar comportaments que romanen relativament estables, encara que canviïn les adreces IP, els dominis o les eines emprades durant l'atac.
No es tracta de substituir un model per un altre, sinó de combinar-los per aconseguir una cobertura més robusta i adaptada a amenaces cada cop més sofisticades.
Tres accions per millorar la capacitat de detecció
Evolucionar el model de detecció no implica necessàriament incorporar noves tecnologies. En molts casos, petites revisions periòdiques permeten millorar significativament l‟eficàcia del SOC.
Algunes accions que poden aportar valor són:
- Revisar periòdicament les regles de detecció per identificar aquelles que generen un elevat volum de falsos positius o han perdut utilitat.
- Complementar les deteccions basades en IOC amb casos dús orientats a comportaments i tècniques emprades pels atacants.
- Mesurar l'eficàcia de les deteccions no pel nombre d'alertes generades, sinó per la seva capacitat per identificar incidents reals i facilitar la feina dels analistes.
La detecció constitueix un dels elements més visibles del treball d'un SOC, però també un dels que requereixen una revisió més constant. És important mantenir regles eficaces, incorporar nous coneixements sobre les amenaces i avaluar periòdicament els resultats obtinguts perquè el SOC evolucioni al mateix ritme que ho fan els atacants.
