Hälytysten väsymisen vähentäminen SIEM ja SOC ympäristöissä

Miksi hälytysväsymystä esiintyy?

Väsymysvaroituksella on yleensä kolme perussyytä:

1. Huono tunnistussuunnittelu
   Kun säännöt ovat liian laajoja, liian yleisiä tai irrallaan todellisesta hyökkääjän käyttäytymisestä, ne aiheuttavat enemmän melua kuin oivalluksia. SIEM saattaa kerätä suuria määriä tietoa, mutta se ei tarkoita, että sen päälle rakennetuista havainnoista olisi hyötyä.
2. Heikko telemetrian hygienia
   Jos lokit ovat epätäydellisiä, epäjohdonmukaisia, heikosti normalisoituja tai avainkonteksti puuttuu, SIEM on helpompi käsitellä. Tämä tekee korrelaatiosta heikomman ja hälytyksiä vaikeammin tulkittavissa.
3. Hajanaiset toiminnot
   Epäilyttävä kuvio voi kattaa identiteettitoiminnan, päätepisteen käyttäytymisen, pilvitapahtumat ja verkkosignaalit. Jos näitä osia ei yhdistetä kunnolla, analyytikot päätyvät kokeilemaan yksittäisiä oireita merkityksellisten tapausten sijaan.

Miksi valppausuupumus on niin vakava ongelma?

Valpas väsymys ei ole vain turhauttavaa. Se muuttaa SOC toimintaa. Analyytikot luottavat varoituksiin hitaammin, huomaavat todennäköisemmin merkityksellisiä signaaleja ja he ovat alttiimpia ylikuormitukselle. Pieniarvoiset ilmoitukset vievät huomiota, joka tulisi varata riskialttiimpaan toimintaan.

Se aiheuttaa myös laajemman toiminnallisen ongelman. Jos SOC käyttää liikaa aikaa kohinan tarkistamiseen, sillä on vähemmän kapasiteettia uhkien etsintään, sisällön viritykseen, tutkinnan laatuun ja prosessien parantamiseen. Tässä mielessä valpas väsymys ei ole vain oire liian monista hälytyksistä. Se on merkki siitä, että tunnistussuunnittelu ja triage-työnkulut vaativat työtä.

Miten organisaatiot voivat vähentää valppausuupumusta?

Viisi käytännön vaihetta tekevät suurimman eron:

1. Kiristä havaitsemisen käyttötapauksia: Jokaisella hälytyksellä on oltava syy olemassaoloon. Sen tulee kuvata käyttäytymistä, josta organisaatio välittää, merkityksellinen riski tai realistinen tutkimuspolku.
2. Paranna tiedon laatua: Hyvät havainnot edellyttävät hyvää telemetriaa. Tämä tarkoittaa osuvien lähteiden valitsemista, jäsentimien ylläpitoa, kenttien normalisointia johdonmukaisesti ja sen varmistamista, että kriittinen konteksti ei katoa käsittelyssä.
3. Paranna hälytyksiä ennen kuin ne saavuttavat analyytikon: Hälytys on paljon helpompi arvioida, kun se sisältää kontekstin, kuten resurssien kriittisyyden, käyttäjän roolin, viimeaikaisen toiminnan tai siihen liittyviä tapahtumia.
4. Vähennä päällekkäisiä ja peräkkäisiä ilmoituksia: Analyytikoiden ei pitäisi joutua tutkimaan viittä tai kymmentä hälytystä, jotka kaikki viittaavat samaan toimintaan tai järjestelmään. Liittyvien tapahtumien ryhmitteleminen yhdeksi tapahtumaksi voi vaikuttaa merkittävästi.
5. Automatisoi toistuva triage -työ missä se on turvallista: Todisteiden kerääminen, rikastusvaiheet, lipun luominen, reititys ja vakiohaut sopivat kaikki hyvin. Tarkoituksena ei ole poistaa inhimillistä harkintakykyä, vaan varata se hetkiin, jolloin se todella tuottaa lisäarvoa.

Mikä muu auttaa vähentämään melua ajan myötä?

Vahvimmat joukkueet pitävät valppautta jatkuvana kurina eikä kertaluonteisena viritysharjoituksena. He poistavat vanhentuneet säännöt, tarkistavat kynnysarvot, tarkistavat, mitkä havainnot luovat eniten arvokasta työtä, ja mukauttavat käyttötapauksia ympäristön muuttuessa.

Tällä on merkitystä, koska ympäristöt eivät pysy paikallaan. Uudet työkalut, uudet liiketoimintaprosessit, pilvipalvelujen laajentaminen, yritysostot ja jopa muutokset käyttäjien käyttäytymisessä voivat kaikki vaikuttaa havaintojen toimintaan. Sääntö, joka toimi kuusi kuukautta sitten, voi nyt olla meluisa, epätäydellinen tai ristiriidassa riskin kanssa.

Missä organisaatiot ymmärtävät tämän väärin?

Yksi yleinen virhe on, että varoitunutta väsymystä käsitellään pelkkänä henkilöstöongelmana. Lisää analyytikoita voi auttaa, mutta henkilöstömäärä ei yksin korjaa meluhavaintoja, epäjohdonmukaista tietoa tai heikkoa korrelaatiologiikkaa.

Toinen on oletus, että enemmän tietoja johtaa automaattisesti parempiin tietoturvatuloksiin. Telemetrian lisääminen voi parantaa näkyvyyttä, mutta vain, jos se on olennaista, käyttökelpoista ja sidottu järkeviin tunnistustavoitteisiin. Muuten se vain lisää kustannuksia ja lisää melua.

Kolmas virhe on analyytikkokokemuksen huomiotta jättäminen. Valvova väsymys ei ole vain tekninen viritysongelma. Se vaikuttaa keskittymiseen, itseluottamukseen, moraaliin ja säilyttämiseen.

Key takeaway

Hälytysten väsymyksen vähentäminen tarkoittaa signaalin laadun parantamista. Rakenna tiukempia havaintoja, paranna telemetrian hygieniaa, täydennä hälytyksiä kontekstilla, kutista kaksoiskappaleet ja automatisoi toistuva triage-työ silloin, kun se on järkevää.

Oletko valmis vahvistamaan havaitsemista ja tutkintaa SOC?
Katso, miten Kasperskyn SIEM ratkaisu voi auttaa tiimiäsi keskittämään tietoturvatiedot, täydentämään hälytyksiä kontekstilla ja vähentämään melua monimutkaisissa yritysympäristöissä.

Tutustu

Tukilähteet ja lisätietoa:

• Kaspersky SIEM -blogi
• ACM Digital Library
• MITER ATT&CK
• Tapahtumien kirjaamisen ja uhkien havaitsemisen parhaat käytännöt