L'automatització ha esdevingut un dels grans objectius dels SOC moderns. No obstant això, automatitzar més no sempre vol dir treballar millor. De fet, intentar automatitzar processos poc madurs o mal definits pot generar més problemes que beneficis.
El model SOC Critical Path (SCP) situa l'automatització com un element de suport a tot el cicle operatiu del SOC. La seva finalitat no és substituir el criteri de l'analista, sinó eliminar les tasques repetitives que consumeixen temps i retarden la resposta davant d'un incident.
La pregunta, per tant, no és què es pot automatitzar, sinó què val realment la pena automatitzar.
No tota la feina d'un SOC s'hauria d'automatitzar
Una investigació sol combinar tasques de naturalesa molt diferent. Algunes requereixen experiència, anàlisi i presa de decisions. Altres són repetitives i segueixen sempre el mateix procediment.
Per exemple:
- Consulteu automàticament informació sobre una adreça IP, un domini o un hash.
- Obtenir dades de l'actiu afectat o de l'usuari implicat.
- Enriquir una alerta amb informació de diferents fonts.
- Classificar determinats esdeveniments segons criteris prèviament definits.
- Executar comprovacions bàsiques abans d'escalar un incident.
Totes aquestes accions poden reduir significativament el temps dedicat a tasques operatives sense substituir l'anàlisi humana.
En canvi, decisions com determinar l'abast d'un incident, valorar-ne l'impacte o decidir l'estratègia de resposta continuen requerint el criteri de l'analista.
On inverteix realment temps el teu equip?
Abans de plantejar noves automatitzacions, pot ser útil respondre una pregunta senzilla:
Quines tasques fan tots els analistes, cada dia i sempre de la mateixa manera?
Si la resposta inclou activitats com buscar informació en diferents plataformes, recopilar dades per contextualitzar una alerta o executar comprovacions repetitives, probablement hi ha marge per reduir càrrega operativa mitjançant automatització.
Per contra, si les tasques canvien contínuament o depenen de decisions complexes, automatitzar-les pot aportar poc valor i fins i tot dificultar la feina de lequip.
Automatitzar per reduir soroll, no per generar més activitat
Un dels riscos més habituals consisteix a associar l'automatització únicament amb la velocitat. Tot i això, una automatització ben dissenyada també ha de contribuir a millorar la qualitat del treball del SOC.
Algunes pràctiques que poden ajudar a aconseguir-ho són:
- Prioritzar l'automatització de tasques repetitives que consumeixen temps i aporten poc valor analític.
- Automatitzar l'enriquiment de les alertes perquè el context estigui disponible des de l'inici de la investigació.
- Revisar periòdicament les automatitzacions implantades per comprovar que continuen sent útils i responen a les necessitats actuals del SOC.
- Utilitzar l'automatització per reduir el volum de tasques manuals i facilitar la priorització d'alertes realment rellevants, evitant augmentar el soroll operatiu.
L'automatització aporta el seu valor més gran quan permet que els analistes dediquin menys temps a tasques mecàniques i més temps a investigar, comprendre i respondre a les amenaces.
