A automatización converteuse nun dos principais obxectivos dos SOC modernos. Non obstante, unha maior automatización non sempre significa un mellor traballo. De feito, intentar automatizar procesos inmaturos ou mal definidos pode crear máis problemas que beneficios.
O modelo de Ruta crítica do SOC (SCP) posiciona a automatización como un elemento de apoio para todo o ciclo operativo do SOC. O seu propósito non é substituír o xuízo do analista, senón eliminar as tarefas repetitivas que consumen tempo e atrasan a resposta a un incidente.
A pregunta, polo tanto, non é que se pode automatizar, senón que realmente paga a pena automatizar.
Non todo o traballo do SOC debería automatizarse
Unha investigación normalmente combina tarefas de natureza moi diferente. Algúns requiren coñecementos, análise e toma de decisións. Outros son repetitivos e sempre seguen o mesmo procedemento.
Por exemplo:
- Consultar automaticamente información sobre un enderezo IP, dominio ou hash.
- Obter datos sobre o activo afectado ou o usuario implicado.
- Enriquecer unha alerta con información de diferentes fontes.
- Clasificar certos eventos segundo criterios predefinidos.
- Executar comprobacións básicas antes de escalar un incidente.
Todas estas accións poden reducir significativamente o tempo dedicado ás tarefas operativas sen substituír a análise humana.
Non obstante, decisións como determinar o alcance dun incidente, avaliar o seu impacto ou decidir a estratexia de resposta aínda requiren o xuízo do analista.
Onde pasa realmente o tempo o teu equipo?
Antes de considerar novas automatizacións, pode ser útil responder a unha pregunta sinxela:
Que tarefas realizan todos os analistas, todos os días e sempre do mesmo xeito?
Se a resposta inclúe actividades como buscar información en diferentes plataformas, recompilar datos para contextualizar unha alerta ou executar comprobacións repetitivas, é probable que haxa espazo para reducir a carga de traballo operativa mediante a automatización.
Pola contra, se as tarefas cambian constantemente ou dependen de decisións complexas, automatizalas pode engadir pouco valor e mesmo dificultar o traballo do equipo.
Automatiza para reducir o ruído, non para xerar máis actividade
Un dos riscos máis comúns é asociar a automatización unicamente coa velocidade. Non obstante, unha automatización ben deseñada tamén debería contribuír a mellorar a calidade do traballo do SOC.
Algunhas prácticas que poden axudar a conseguilo son:
- Prioriza a automatización de tarefas repetitivas que requiren moito tempo e proporcionan pouco valor analítico.
- Automatiza o enriquecemento das alertas para que o contexto estea dispoñible desde o inicio da investigación.
- Revisa regularmente as automatizacións implementadas para garantir que seguen sendo útiles e satisfagan as necesidades actuais do SOC.
- Usa a automatización para reducir o volume de tarefas manuais e facilitar a priorización de alertas realmente relevantes, evitando un maior ruído operativo.
A automatización ofrece o seu maior valor cando permite aos analistas dedicar menos tempo a tarefas mecánicas e máis tempo a investigar, comprender e responder ás ameazas.
