El SOC rep una alerta d?activitat sospitosa. A primera vista no sembla especialment crítica, però abans de determinar si es tracta d'un fals positiu o de l'inici d'un incident, l'analista necessita respondre diverses preguntes: quin actiu està afectat? Qui ha iniciat la connexió? És un servidor crític? Aquesta adreça IP ja havia aparegut abans? Hi ha indicadors relacionats amb la mateixa amenaça?
Les respostes poques vegades es troben en un únic lloc. L'analista consulta diverses eines, revisa diverses fonts d'informació i dedica bona part del seu temps a construir el context necessari per començar la investigació.
Aquesta situació és habitual a molts SOC. El problema no sol ser la manca d'informació, sinó el temps que s'inverteix a reunir-la abans de prendre una decisió.
Precisament per això, el model SOC Critical Path (SCP) identifica la fase d'anàlisi com un element clau dins de la resposta a incidents. Perquè l'eficàcia d'un SOC no depèn únicament de detectar una amenaça, sinó també de la rapidesa amb què un analista pot comprendre què passa.
El context és tan important com l'alerta
Dos SOC poden rebre exactament la mateixa alerta i obtenir resultats molt diferents.
En el primer, l'analista necessita consultar diverses aplicacions per identificar l'actiu afectat, conèixer-ne la criticitat, revisar l'historial de l'usuari implicat i buscar informació addicional sobre l'amenaça.
En el segon, gran part daquest context ja està disponible des de linici de la investigació.
La diferència entre tots dos no està en la qualitat de l'alerta, sinó en la facilitat per interpretar-la.
Reduir el temps d'anàlisi no vol dir investigar més de pressa ni dedicar menys atenció a l'incident. Això vol dir eliminar tasques repetitives i facilitar que l'analista disposi de la informació necessària des del primer moment.
Cinc preguntes per analitzar l'eficiència d'una investigació
Pensa en l'última alerta que va requerir una investigació a la teva organització.
Ara intenta respondre aquestes preguntes:
- Quant temps es va dedicar realment a analitzar l'incident i quant a cercar informació?
- Va caldre consultar diverses eines abans de poder prendre una decisió?
- L'alerta incloïa prou informació sobre l'actiu afectat i la seva criticitat?
- L'analista disposava de context sobre amenaces similars o investigacions anteriors?
- El procés de recerca hauria estat igual d'eficient si l'hagués fet un altre membre de l'equip?
Respondre aquestes preguntes permet identificar si el principal coll d'ampolla es troba en la investigació o, per contra, en l'accés al context necessari per fer-la.
Quatre aspectes que poden millorar el procés d'anàlisi
No hi ha una única manera d'optimitzar una investigació, però sí que hi ha pràctiques que ajuden a reduir temps sense comprometre la qualitat de l'anàlisi.
Incorporar context des de l'inici
Sempre que sigui possible, l'alerta hauria d'anar acompanyada d'informació rellevant sobre l'actiu afectat, l'usuari implicat o la intel·ligència disponible sobre l'amenaça. Com menys temps es dediqui a cercar informació, més temps es podrà invertir a analitzar l'incident.
Reduir la dependència de múltiples eines
Quan una investigació obliga a alternar contínuament entre diferents plataformes, augmenta el temps necessari per obtenir una visió completa de la situació. Facilitar l'accés al context des d'un nombre reduït de punts de consulta millora l'eficiència del procés.
Documentar els criteris de recerca
Disposar de procediments homogenis ajuda a fer que tots els analistes segueixin una metodologia similar i redueix la variabilitat en les investigacions. A més, facilita la incorporació de nous membres a l'equip i millora la consistència dels resultats.
Aprendre de les investigacions anteriors
Cada incident resolt aporta coneixement que pot resultar útil en investigacions futures. Revisar quina informació va ser determinant per prendre decisions i com podria estar disponible des de bon començament ajuda a millorar progressivament el procés d'anàlisi.
Sovint, reduir el temps de recerca no depèn d'incorporar noves eines, sinó de facilitar que el context adequat arribi a l'analista en el moment oportú. Quan la informació necessària està disponible des del principi, les decisions es prenen amb més rapidesa i la resposta davant de l'amenaça és més eficaç.
