LO
Analista de seguridad (SOC) — tareas, una a una
La unidad de análisis es la tarea, no el nombre del puesto. Cada una de las siguientes lleva su dirección, si el juicio se apoya en evidencia o en una inferencia de la plataforma, el razonamiento y lo que no establece.
Todas las tareas de esta página#
Trabajar la cola de avisos
Automatizándose✓ Con evidenciaPasar por cientos de avisos en un turno y decidir cuáles dos merecen que se les mire.
Esta es la misma tarea que la de un vigilante mirando señales de cámara y falla por la misma razón: la vigilancia sostenida se desploma en unos veinte minutos y la tasa base de verdaderos positivos es brutal, así que el nivel humano de partida es pobre y al software no se le hace aburrido. La correlación y el enriquecimiento son además verificables por máquina de un modo que el resto de este puesto no lo es: el aviso encaja con un patrón conocido o no encaja.
La cola de avisos es donde contrata esta ocupación, así que automatizarla quita el campo de entrenamiento y no el trabajo: el criterio que hace falta más arriba se construye hoy a base de moler esa cola, y nadie ha dicho qué la sustituye. Automatizar el triaje tampoco reduce los avisos; traslada al analista de leerlos a ajustar lo que los genera, que es otro puesto y con menos gente.
Decidir que es un incidente
Sigue llevándola una persona≈ Inferencia de la plataformaDar el paso: despertar a gente, sacar un sistema de la red, decirle al negocio que tiene un problema, con información incompleta y antes de poder estar seguro.
El coste de los dos errores es tremendamente asimétrico y los dos son caros: tirar un sistema en producción por un falso positivo y pasar por alto una intrusión real son ambos sucesos que marcan una carrera, y la decisión se toma con autoridad y no con certeza. En ningún sitio que podamos verificar se le da esa autoridad a un sistema, y la razón es la responsabilidad, no la precisión.
Que la decisión se quede con una persona no significa que esa persona esté en tu edificio: esta es la tarea que más comúnmente se externaliza a un servicio gestionado, lo que la traslada sin automatizarla. Lee la dirección como algo sobre qué clase de cosa es, no como una garantía de que tu empleador vaya a seguir empleando a alguien para hacerla.
Escribir la detección
Aumentada por la máquina≈ Inferencia de la plataformaConvertir lo que aprendiste de un incidente en una regla que cace el siguiente sin ahogar la cola.
Escribir la consulta ahora sale barato y los modelos lo hacen bien, porque una regla de detección es código con una salida comprobable. Decidir qué detectar no lo es: exige saber qué aspecto tiene lo normal en este parque concreto, y ese conocimiento lo tienen personas y casi nunca está escrito.
Escribir reglas barato empeora el problema de los falsos positivos en vez de mejorarlo, porque la restricción nunca fue escribirlas. Un equipo que ahora puede producir diez veces más detecciones tiene que ser diez veces más disciplinado retirándolas, y nadie dota personal para eso, que es como una herramienta que ayuda a un individuo degrada la cola en la que trabaja todo el mundo.
Buscar aquello que no disparó ningún aviso
Sigue llevándola una persona✓ Con evidenciaPartir de una hipótesis en vez de un aviso: dar por supuesto que algo ya está dentro e ir a buscarlo.
La caza se define por la ausencia de disparador, lo que quita la entrada que necesita toda herramienta de detección. Lo que sustituye al disparador es una conjetura sobre el objetivo de un adversario en esta organización concreta, y esa conjetura se hace sabiendo qué tiene la empresa que merezca la pena llevarse.
Esta es la primera actividad que se recorta cuando la cola está ruidosa, porque no produce ni ticket ni métrica. Una tarea puede ser enteramente humana y aun así desaparecer de la semana de un equipo sin que nadie decida quitarla, y en esta ocupación es así como suele ocurrir.