Edozein Segurtasun Operazio Zentrotan (SOC), mehatxu bat detektatzeko gaitasuna zuzenean jasotzen duen informazioaren araberakoa da. Ez dago detekzio-araurik, algoritmorik edo analistarik kontrolatzen ez dena identifikatzen duenik.
Horregatik, "SOC Critical Path: A Defensive Kill Chain Model" (IEEE, 2022) artikuluan proposatutako SOC Bide Kritikoaren (SCP) ereduak datuen bilketa detekzio eta erantzun prozesuaren lehen fase gisa kokatzen du. Aztertu, detektatu edo erantzun aurretik, ezinbestekoa da erakundearen barruan gertatzen diren aktiboen eta jardueraren ikuspegi osoena izatea.
Hala ere, informazio-iturri gehiago izateak ez du beti ikusgarritasun hobea esan nahi. Galdera ez da zenbat datu biltzen diren, baizik eta SOC bati mehatxu potentzial bat ikertzean egin behar dituen galderei erantzuteko aukera ematen dion ala ez.
Nola ebaluatu SOCaren monitorizazio-estaldura
Fase hau ebaluatzeko modu erraz bat da SOCak gertakari bat detektatzeko garrantzitsuak izan daitezkeen eremu guztietatik informazioa jasotzen duen aztertzea.
Galdera hauek abiapuntu gisa balio dezakete:
Aktiboak
- Monitorizatu beharreko aktiboen inbentario eguneratua al dugu?
- Ba al dago SOCarentzat oraindik gertaerak sortzen ez dituen sistema edo zerbitzu kritikorik?
Amaierako puntuak
- Erabiltzaileen ekipamendu eta zerbitzarietatik informazioa jasotzen al da?
- Estaldura korporazioko sistemetara eta sistema kritikoetara hedatzen al da? funtzioak?
Sarea
- Erakundearen barruan eta kanpoan gertatzen diren komunikazioen ikusgarritasuna al dugu?
- Jarraipen mugatua duten sare segmentuak al daude?
Identitatea
- Erabiltzaileekin edo kredentzialekin lotutako jarduera anomaloak detektatu ditzakegu?
- Autentifikazio informazioa detekzio prozesuetan integratuta al dago?
Hodeiko Zerbitzuak
- Hodeiko inguruneek azpiegitura tradizionalak bezain xehetasun maila duten gertaerak sortzen al dituzte?
- Zerbitzu hauetan egiten diren jardueren ikusgarritasuna al dago?
Baldintza hauetakoren bat ez betetzeak ez du zertan esan nahi arazorik dagoenik, baina mehatxu batzuk zailagoak izango direla detektatzen adieraz dezake.
Itsugune bihurtu aurretik gabeziak detektatzearen garrantzia
Itsuguneak pixkanaka agertzen dira normalean. Aplikazio berri bat, premiaz zabaldutako zerbitzu bat edo azpiegitura aldaketa bat SOC-aren esparrutik kanpo gera daitezke inork guztiz jabetu gabe.
Horregatik, eskuragarri dauden informazio iturriak aldian-aldian berrikustea bezain garrantzitsua da detekzio gaitasun berriak sartzea.
Hutsune potentzialak identifikatzen lagun dezaketen ekintza batzuk hauek dira:
- Aldian-aldian berrikusi zein aktibo dauden SOC-aren esparruaren parte eta zein geratzen diren monitorizaziotik kanpo.
- Konparatu eskuragarri dauden gertaeren iturriak erakundearen egungo arkitekturarekin hutsune potentzialak detektatzeko.
- Egiaztatu sartu berri diren plataforma edo zerbitzuek informazio baliagarria sortzen dutela SOC-arentzat ekoizpenean jartzen diren unetik.
- Ebaluatu ez bakarrik jasotako gertaeren kopurua, baita haien kalitatea eta erabilgarritasuna ere ikerketetan zehar.
- Berrikusi aldian-aldian eskuragarri dagoen informazioak gertakari bat hasieratik amaierara berreraikitzeko aukera ematen duen, edo informazioa falta den faserik dagoen. testuingurua.
Datuen bilketa detekzio-ziklo osoaren abiapuntua da. Estaldura nahikorik ezak gainerako faseen eraginkortasuna mugatu dezake, eta ondo planifikatutako datuak biltzeko estrategia batek analistei azkarrago ikertzeko eta erabaki eraginkorragoak hartzeko beharrezko informazioa ematen die.
