Analyste sécurité (SOC) — tâches, une par une

Travailler la file d'alertes

C'est la même tâche qu'un agent devant des images de caméras et elle échoue pour la même raison : la vigilance prolongée s'effondre en une vingtaine de minutes et le taux de base de vrais positifs est brutal, donc la performance humaine de référence est faible et un logiciel ne s'ennuie pas. La corrélation et l'enrichissement sont aussi vérifiables par machine d'une manière dont le reste de ce métier ne l'est pas — l'alerte correspond à un motif connu ou non.

La file d'alertes est là où ce métier embauche : l'automatiser retire donc le terrain de formation plutôt que le travail — le jugement nécessaire plus haut se construit aujourd'hui en usant cette file, et personne n'a dit ce qui remplace cela. Automatiser le tri ne réduit pas non plus les alertes ; cela fait passer l'analyste de les lire à régler ce qui les génère, ce qui est un autre métier, moins pourvu.

Déclarer l'incident

Le coût des deux erreurs est follement asymétrique et les deux sont chères : sortir un système de production sur un faux positif et manquer une intrusion réelle sont l'un et l'autre des événements de carrière, et la décision se prend avec de l'autorité plutôt qu'avec de la certitude. Aucun système ne reçoit cette autorité là où nous pouvons le vérifier, et la raison est la responsabilité plutôt que l'exactitude.

Que la décision reste à une personne ne veut pas dire que cette personne est dans votre bâtiment : c'est la tâche la plus souvent confiée à un prestataire, ce qui la déplace sans l'automatiser. Lisez la direction comme portant sur la nature de la chose, non comme une garantie que votre employeur continuera d'employer quelqu'un pour la faire.

Écrire la détection

Écrire la requête est désormais bon marché et les modèles le font bien, parce qu'une règle de détection est du code dont la sortie est testable. Décider quoi détecter, non : cela exige de savoir à quoi ressemble la normale dans ce parc précis, un savoir détenu par des personnes et écrit à peu près nulle part.

Écrire des règles à bas coût aggrave le problème des faux positifs plutôt que de l'améliorer, parce que la contrainte n'a jamais été l'écriture. Une équipe capable de produire dix fois plus de détections doit être dix fois plus disciplinée pour en retirer, et personne ne dote de moyens cette discipline — c'est ainsi qu'un outil qui aide un individu dégrade la file sur laquelle tout le monde travaille.

Chercher ce qui n'a déclenché aucune alerte

La chasse se définit par l'absence de déclencheur, ce qui retire l'entrée dont tout outil de détection a besoin. Ce qui remplace le déclencheur est une supposition sur l'objectif d'un adversaire dans cette organisation précise, et cette supposition se fait en sachant ce que l'entreprise possède qui vaut la peine d'être pris.

C'est la première activité coupée quand la file est bruyante, parce qu'elle ne produit ni ticket ni indicateur. Une tâche peut être entièrement humaine et disparaître quand même de la semaine d'une équipe sans que personne n'ait décidé de la retirer — et dans ce métier c'est la manière habituelle dont cela se passe.