Unha das métricas máis empregadas para avaliar a actividade dun SOC é o número de alertas xestionadas. Non obstante, significa isto que o SOC está a detectar mellor as ameazas?
A resposta non sempre é afirmativa. Un gran volume de alertas pode reflectir boas capacidades de monitorización, pero tamén pode ser o resultado de regras imprecisas, información insuficientemente contextualizada ou unha alta taxa de falsos positivos. Nestes casos, o principal desafío pasa de detectar máis ameazas a detectalas mellor.
O modelo de Ruta crítica do SOC (SCP) sitúa a detección como unha fase cuxo obxectivo non é xerar máis alertas, senón identificar aquelas actividades que realmente requiren investigación.
Cando as alertas deixan de ser útiles
Nun SOC maduro, a eficacia da detección non se mide unicamente polo número de alertas xeradas, senón pola súa capacidade para identificar ameazas reais e minimizar o ruído operativo.
Isto suscita unha pregunta importante: as alertas recibidas polo SOC axudan a detectar un ataque ou simplemente crean máis traballo para os analistas? Responder a esta pregunta pode axudar a identificar oportunidades de mellora.
Algúns problemas que paga a pena revisar
- Que porcentaxe de alertas acaban sendo descartadas como falsos positivos?
- Hai regras que apenas xeran incidentes relevantes, pero que permanecen activas?
- As deteccións revísanse periodicamente ou simplemente se acumulan co tempo?
- As ameazas recentemente detectadas levan a novos casos de uso ou só se seguen a usar as regras existentes?
- As alertas proporcionan contexto suficiente para facilitar a investigación?
Se varias destas preguntas suscitan dúbidas, o problema probablemente non sexa a capacidade de monitorización, senón o propio modelo de detección.
Máis alá dos IOC
Tradicionalmente, gran parte da detección baseouse en Indicadores de Compromiso (IOC), como enderezos IP maliciosos, dominios, URL ou hashes de ficheiros. Esta estratexia segue sendo útil e segue desempeñando un papel importante na detección de ameazas coñecidas.
Non obstante, numerosos estudos coinciden en que depender exclusivamente dos IOC ten limitacións significativas. Estes indicadores poden cambiar rapidamente ou volverse obsoletos axiña, o que require actualizacións constantes.
Por este motivo, cada vez máis SOC complementan esta estratexia con deteccións baseadas en Tácticas, Técnicas e Procedementos (TTP), é dicir, en como operan os atacantes en lugar dos indicadores específicos que usan en cada campaña.
Este cambio permite a detección de comportamentos que permanecen relativamente estables, mesmo se cambian os enderezos IP, os dominios ou as ferramentas utilizadas durante o ataque.
Non se trata de substituír un modelo por outro, senón de combinalos para lograr unha cobertura máis robusta e adaptada a ameazas cada vez máis sofisticadas.
Tres accións para mellorar as capacidades de detección
A evolución do modelo de detección non implica necesariamente incorporar novas tecnoloxías. En moitos casos, pequenas revisións periódicas poden mellorar significativamente a eficacia dun SOC.
Algunhas accións que poden engadir valor son:
- Revisar periodicamente as regras de detección para identificar aquelas que xeran un alto volume de falsos positivos ou que se volveron obsoletas.
- Complementar as deteccións baseadas en Indicadores de Compromiso (IOC) con casos de uso centrados nos comportamentos e técnicas empregadas polos atacantes.
- Medir a eficacia das deteccións non polo número de alertas xeradas, senón pola súa capacidade para identificar incidentes reais e facilitar o traballo dos analistas.
A detección é un dos aspectos máis visibles do traballo dun SOC, pero tamén un que require unha revisión constante. É importante manter regras eficaces, incorporar novos coñecementos sobre as ameazas e avaliar periodicamente os resultados obtidos para que o SOC evolucione ao mesmo ritmo que os atacantes.
