En calquera Centro de Operacións de Seguridade (SOC), a capacidade de detectar unha ameaza depende directamente da información que recibe. Ningunha regra de detección, algoritmo ou analista pode identificar o que non se está a monitorizar.
Por este motivo, o modelo de Ruta Crítica do SOC (SCP), proposto no artigo "SOC Critical Path: A Defensive Kill Chain Model" (IEEE, 2022), sitúa a recollida de datos como a primeira fase do proceso de detección e resposta. Antes de analizar, detectar ou responder, é esencial ter a visión máis completa posible dos activos e a actividade que se producen dentro da organización.
Non obstante, ter máis fontes de información non sempre implica unha mellor visibilidade. A cuestión non é cantos datos se recollen, senón se permiten que un SOC responda ás preguntas que necesita facer ao investigar unha posible ameaza.
Como avaliar a cobertura de monitorización do SOC
Un xeito sinxelo de avaliar esta fase é analizar se o SOC recibe información de todas as áreas que poden ser relevantes para detectar un incidente.
Estas preguntas poden servir como punto de partida:
Activos
- Temos un inventario actualizado dos activos que deben ser monitorizados?
- Hai algún sistema ou servizo crítico que aínda non estea a xerar eventos para o SOC?
Puntos finais
- Recíbese información do equipo e servidores do usuario?
- A cobertura esténdese tanto aos sistemas corporativos como a aqueles con sistemas críticos funcións?
Rede
- Temos visibilidade das comunicacións que ocorren dentro e fóra da organización?
- Hai segmentos de rede con monitorización limitada?
Identidade
- Podemos detectar actividade anómala relacionada cos usuarios ou as credenciais?
- A información de autenticación está integrada nos procesos de detección?
Servizos na nube
- Os entornos na nube xeran eventos co mesmo nivel de detalle que a infraestrutura tradicional?
- Hai visibilidade das actividades realizadas nestes servizos?
O incumprimento de calquera destes requisitos non implica necesariamente que exista un problema, pero pode indicar que certas ameazas serán máis difíciles de detectar.
A importancia de detectar as deficiencias antes de que se convertan en puntos cegos
Os puntos cegos adoitan aparecer gradualmente. Unha nova aplicación, un servizo despregado con urxencia ou un cambio na infraestrutura poden quedar fóra do alcance do SOC sen que ninguén sexa plenamente consciente diso.
Por este motivo, revisar periodicamente as fontes de información dispoñibles é tan importante como incorporar novas capacidades de detección.
Algunhas accións que poden axudar a identificar posibles lagoas son:
- Revisar periodicamente que activos forman parte do alcance do SOC e cales permanecen fóra da monitorización.
- Comparar as fontes de eventos dispoñibles coa arquitectura actual da organización para detectar posibles lagoas.
- Verificar que as plataformas ou servizos recentemente incorporados xeren información útil para o SOC desde o momento en que se poñen en produción.
- Avaliar non só a cantidade de eventos recibidos, senón tamén a súa calidade e utilidade durante as investigacións.
- Revisar periodicamente se a información dispoñible permite reconstruír un incidente de principio a fin ou se hai fases nas que falta información. contexto.
A recollida de datos é o punto de partida de todo o ciclo de detección. Unha cobertura insuficiente pode limitar a eficacia das fases restantes, mentres que unha estratexia de recollida de datos ben planificada proporciona aos analistas a información necesaria para investigar máis rapidamente e tomar decisións máis eficaces.
