SOC baten jarduera ebaluatzeko gehien erabiltzen den metrika bat kudeatzen diren alerten kopurua da. Hala ere, horrek esan nahi al du SOCak mehatxuak hobeto detektatzen dituela?
Erantzuna ez da beti baiezkoa izaten. Alerta kopuru handiak monitorizazio gaitasun onak islatu ditzake, baina baita arau zehaztugabeen, testuinguruan behar bezala egokitutako informazioaren edo positibo faltsuen tasa handi baten ondorioa ere izan daiteke. Kasu hauetan, erronka nagusia mehatxu gehiago detektatzetik hobeto detektatzera aldatzen da.
SOC Bide Kritikoa (SCP) ereduak detekzioa fase gisa kokatzen du, eta bere helburua ez da alerta gehiago sortzea, baizik eta benetan ikerketa behar duten jarduerak identifikatzea.
Alertak erabilgarriak izateari uzten diotenean
SOC heldu batean, detekzio-eraginkortasuna ez da soilik sortutako alerta kopuruaren arabera neurtzen, baizik eta benetako mehatxuak identifikatzeko duen gaitasunaren arabera, eragiketa-zarata minimizatuz.
Honek galdera garrantzitsu bat sortzen du: SOCak jasotzen dituen alertek eraso bat detektatzen laguntzen al dute edo, besterik gabe, lan gehiago sortzen al diete analistei? Galdera honi erantzuteak hobekuntzarako aukerak identifikatzen lagun dezake.
Berrikusteko moduko gai batzuk
- Alerten ehuneko zein baztertzen da positibo faltsu gisa?
- Ba al dago ia intzidente garrantzitsurik sortzen ez duten baina aktibo jarraitzen duten arauak?
- Detekzioak aldian-aldian berrikusten al dira edo denboran zehar pilatzen al dira?
- Detektatutako mehatxu berriek erabilera kasu berriak sortzen al dituzte edo dauden arauak bakarrik erabiltzen al dira oraindik?
- Alertek testuinguru nahikoa ematen al dute ikerketa errazteko?
Galdera horietako batzuek zalantzak sortzen badituzte, arazoa ziurrenik ez da monitorizazio gaitasuna, baizik eta detekzio eredua bera.
IOC-etatik haratago
Tradizionalki, detekzio gehiena Konpromiso Adierazleetan (IOC) oinarritu izan da, hala nola IP helbide gaiztoak, domeinuak, URLak edo fitxategi hashak. Ikuspegi hau erabilgarria izaten jarraitzen du eta mehatxu ezagunak detektatzeko paper garrantzitsua betetzen jarraitzen du.
Hala ere, ikerketa askok bat datoz IOC-etan soilik oinarritzeak muga handiak dituela. Adierazle hauek azkar alda daitezke edo zaharkitu egin daitezke azkar, etengabeko eguneraketak behar dituztelako.
Horregatik, gero eta SOC gehiagok osatzen dute ikuspegi hau Taktiketan, Tekniketan eta Prozeduretan (TTP) oinarritutako detekzioekin, hau da, erasotzaileek nola funtzionatzen duten kanpaina bakoitzean erabiltzen dituzten adierazle espezifikoetan baino.
Aldaketa honek nahiko egonkor mantentzen diren portaerak detektatzea ahalbidetzen du, IP helbideak, domeinuak edo erasoan erabilitako tresnak aldatu arren.
Ez da eredu bat beste batekin ordezkatzea, baizik eta gero eta sofistikatuagoak diren mehatxuei egokitutako estaldura sendoagoa lortzeko konbinatzea.
Hiru ekintza detekzio gaitasunak hobetzeko
Detekzio eredua eboluzionatzeak ez du zertan esan nahi teknologia berriak txertatzea. Kasu askotan, berrikuspen txiki eta aldizkakoek nabarmen hobetu dezakete SOC baten eraginkortasuna.
Balioa gehi dezaketen ekintza batzuk hauek dira:
- Detekzio arauak aldian-aldian berrikusi, positibo faltsu kopuru handia sortzen dutenak edo zaharkituta geratu direnak identifikatzeko.
- Konpromiso Adierazleetan (IOC) oinarritutako detekzioak erasotzaileek erabiltzen dituzten portaeretan eta tekniketan oinarritutako erabilera kasuekin osatu.
- Detekzioen eraginkortasuna ez neurtu sortutako alerta kopuruaren arabera, baizik eta benetako gertakariak identifikatzeko eta analisten lana errazteko duten gaitasunaren arabera.
Detekzioa SOC baten lanaren alderdirik ikusgarrienetako bat da, baina baita etengabeko berrikuspena behar duena ere. Garrantzitsua da arau eraginkorrak mantentzea, mehatxuei buruzko ezagutza berria txertatzea eta lortutako emaitzak aldian-aldian ebaluatzea, SOC erasotzaileen erritmo berean eboluziona dezan.
