A qualsevol Centre d'Operacions de Seguretat (SOC), la capacitat de detectar una amenaça depèn directament de la informació que rep. Cap regla de detecció, algoritme o analista no pot identificar allò que no està sent monitoritzat.
Per aquest motiu, el model SOC Critical Path (SCP), proposat a l'article "SOC Critical Path: A Defensive Kill Chain Model" (IEEE, 2022), de detecció i resposta. Abans d'analitzar, detectar o respondre, és imprescindible disposar d'una visió tan completa com sigui possible dels actius i de l'activitat que es produeix a l'organització.
No obstant, disposar de més fonts d'informació no sempre implica una millor visibilitat. La qüestió no és quantes dades es recopilen, sinó si aquestes permeten respondre les preguntes que un SOC necessita plantejar-se quan investiga una possible amenaça.
Com avaluar la cobertura de monitorització del SOC
Una forma senzilla davaluar aquesta fase consisteix a analitzar si el SOC rep informació de tots aquells àmbits que poden resultar rellevants per detectar un incident.
Aquestes preguntes poden servir com a punt de partida:
Actius
- Disposem d'un inventari actualitzat dels actius que cal monitoritzar?
- Hi ha sistemes o serveis crítics que encara no generen esdeveniments per al SOC?
Endpoints
- Es rep informació dels equips d'usuari i servidors?
- La cobertura arriba tant a sistemes corporatius com a aquells amb funcions crítiques?
Xarxa
- Disposem de visibilitat sobre les comunicacions que es produeixen dins i fora de l'organització?
- Hi ha segments de xarxa amb una monitorització limitada?
Identitat
- Podem detectar activitats anòmales relacionades amb usuaris o credencials?
- La informació d'autenticació s'integra als processos de detecció?
Serveis al núvol
- Els entorns cloud generen esdeveniments amb el mateix nivell de detall que la infraestructura tradicional?
- Hi ha visibilitat sobre les activitats realitzades en aquests serveis?
No complir alguna d'aquestes qüestions no implica necessàriament que hi hagi un problema, però sí que pot indicar que determinades amenaces resultaran més difícils de detectar.
La importància de detectar mancances abans de convertir-se en punts cecs
Els punts cecs solen aparèixer de manera gradual. Una nova aplicació, un servei desplegat amb urgència o un canvi a la infraestructura poden quedar fora de l'abast del SOC sense que ningú en sigui del tot conscient.
Per aquest motiu, revisar periòdicament les fonts dinformació disponibles resulta tan important com incorporar noves capacitats de detecció.
Algunes accions que poden ajudar a identificar possibles mancances són:
- Revisar periòdicament quins actius formen part de l'abast del SOC i quins romanen fora del monitoratge.
- Comparar les fonts d'esdeveniments disponibles amb l'arquitectura actual de l'organització per detectar possibles llacunes.
- Verificar que les noves plataformes o serveis incorporats generen informació útil per al SOC des del moment de la posada en producció.
- Avaluar no només la quantitat d'esdeveniments rebuts, sinó també la seva qualitat i utilitat durant les investigacions.
- Revisar de forma periòdica si la informació disponible permet reconstruir un incident de principi a fi o si hi ha fases en què manca context.
El recull constitueix el punt de partida de tot el cicle de detecció. Una cobertura insuficient pot limitar l'eficàcia de la resta de fases, mentre que una estratègia de recopilació ben planificada proporciona als analistes la informació necessària per investigar amb més rapidesa i prendre decisions més eficaces.
