Erraza da pentsatzea SOC batek zenbat eta datu gehiago jaso, orduan eta handiagoa dela mehatxuak detektatzeko duen gaitasuna. Hala ere, errealitatea askotan guztiz kontrakoa da. Gertaeren bolumena handitzen den heinean, zarata eta benetan garrantzitsua dena aurkitzeko behar den denbora ere handitzen dira.
Horregatik, SOC Bide Kritikoa (SCP) ereduak informazioaren prozesamendua bilketatik independentea den fase gisa kokatzen du. Detekzio bat sortu aurretik, gertaerak analistentzat informazio baliagarri bihurtu behar dira.
Beste era batera esanda, ez da nahikoa datuak biltzea; prestatu egin behar dira detekzio eraginkor bihur daitezen.
Arazoa ez da normalean informazio falta izaten
SOC askok gertaerak suebakietatik, EDRetatik, autentifikazio sistemetatik, sareko gailuetatik, aplikazioetatik edo hodeiko zerbitzuetatik jasotzen dituzte. Arazoa da informazio hori formatu desberdinetan iristen dela, xehetasun maila desberdinekin, eta batzuetan datu bolumen handiarekin, ezen zaila baita benetan arreta merezi duena aurkitzea.
Hori gertatzen denean, analistek denboraren zati handi bat balio gutxi gehitzen duten zereginetan eskaintzen dute, hala nola, hainbat tresnatan testuingurua bilatzea, formatu desberdinak interpretatzea edo ikerketa hasi aurretik gertaera bikoiztuak berrikustea.
Bost galdera gertaeren prozesamendua berrikusteko
Gertaera nahikoa jasotzen ari diren galdetu beharrean, lagungarria izan daiteke informazio hori detekzioa errazteko prestatuta dagoen aztertzea.
1. Teknologia desberdinetako gertaerek egitura homogeneoa erabiltzen al dute haien analisia errazten duena?
- Tresna bakoitzak informazioa modu ezberdinean aurkezten duenean, korrelazioa eta ikerketa konplexuagoak bihurtzen dira.
2. Gertaerek beharrezko testuingurua barneratzen al dute analistak azkar interpretatu ahal izateko?
- Kaltetutako aktiboari, inplikatutako erabiltzaileari edo kritikotasun mailari buruzko informazioa izateak analisi denborak nabarmen murriztu ditzake.
3. Gertaera bikoiztu edo balio operatibo gutxiko gertaera kopuru handia al dago?
- Informazio gehiagok ez du beti emaitza hobeak esan nahi. Batzuetan, zarata areagotzen du soilik.
4. Datuen kalitateak detekzio-arau eraginkorrak eraikitzea errazten al du?
- Detekzioa oinarritzen den informazioaren araberakoa da soilik.
5. Analistek denbora gehiago ematen al dute informazioa prestatzen gertakaria ikertzen baino?
- Erantzuna baiezkoa bada, ziurrenik hobekuntzarako tartea dago prozesuaren fase honetan.
Zer ekintzek eragin dezakete aldea?
Hobekuntza guztiek ez dute tresna berriak sartzea eskatzen. Kasu askotan, eskuragarri dagoen informazioa nola prozesatzen den berrikusteak eragin askoz handiagoa du bildutako gertaeren bolumena handitzeak baino.
Hobekuntzak ekar ditzaketen ekintza batzuk hauek dira:
- Aldizka berrikusi zein iturrik sortzen duten detekziorako benetan erabilgarria den informazioa.
- Teknologia desberdinetako gertaeren egitura homogeneizatu.
- Testuingurua ematen duten prozesuak txertatu, informazioa analistarengana iritsi aurretik.
- Zarata handitzen duten gertaera bikoiztu edo garrantzirik gabekoen presentzia murriztu.
- Aldizka egiaztatu eskuragarri dagoen informazioak detekzio fidagarriak eraikitzeko aukera ematen duela eta ondorengo ikerketa errazten duela.
Detekzio baten kalitatea arau batek alerta bat sortu baino askoz lehenago hasten da. Neurri handi batean, SOCra interpretatzeko prest iristen den informazioan oinarritzen da.
