セキュリティアナリスト(監視運用) · 業務ごと

警報の待ち行列をさばく

これは警備員がカメラの映像を見張るのと同じ業務であり、同じ理由で行き詰まる——持続的な見張りはおよそ二十分で崩れ、本物の割合は残酷なほど低い。だから人の基準値は低く、ソフトは退屈しない。相関づけと情報の付加もまた、この職の残りとは違って機械的に確かめられる——その警報は既知の型に合うか、合わないかである。

警報の待ち行列こそ、この職業が人を採っている場所である。だからそれを自動化することは、仕事ではなく訓練の場を取り除く——上のほうで要る判断は、いまのところその行列をすり潰すことで築かれており、その代わりを誰も述べていない。仕分けを自動化しても警報は減らない。アナリストを、警報を読む人から、警報を生む設定を調整する人へ移すだけである——それは別の、そしてより人の置かれていない仕事である。

事案だと判断する

二種類の誤りの代償はまったく釣り合わず、しかもどちらも高い——誤報で本番の系を止めることも、本物の侵入を見落とすことも、経歴に残る出来事である。そしてこの判断は、確実さではなく権限によって下される。こちらが確かめられるどこでも、その権限が仕組みに与えられている例はない。そして理由は、正確さではなく責任である。

判断が人に残ることは、その人が自分の建物のなかにいることを意味しない——これは運用受託のサービスへ外に出されることが最も多い業務であり、それは自動化せずにこれを移す。この向きは、これがどんな種類のものかについての言明として読むこと。自分の雇い主がそれをやる人を雇い続けるという保証としてではなく。

検知を書く

問い合わせを書くことはいまや安く、モデルはそれをうまくやる。検知の規則は、出力を試せるコードだからである。何を検知すべきかを決めることはそうではない——この特定の環境で正常がどう見えるかを知っていることが要り、それは人が握っていて、ほとんどどこにも書かれていない知識である。

規則を書くのが安くなることは、誤報の問題を良くするのではなく悪くする。制約はもともと書くことではなかったからである。検知を十倍出せるようになったチームは、それを退役させることについて十倍規律正しくなければならず、そしてそのために人を置く者はいない——そうやって、個人を助ける道具が、全員が働く待ち行列を劣化させる。

何も警報を出さなかったものを探す

探索は、引き金がないことによって定義される営みであり、それは、どの検知の道具も必要としている入力を取り除く。引き金の代わりになるのは、この特定の組織における攻撃側の目的についての推測であり、その推測は、この会社が持っているもののうち何が奪う価値があるかを知っていることから立てられる。

待ち行列が騒がしいとき真っ先に削られる活動である。対応票も指標も生まないからである。ある業務は、まるごと人のものでありながら、誰もそれを取り除くと決めないままチームの一週間から消えうる——そしてこの職業では、それが通例の消え方である。