Analista de segurança (SOC) — tarefas, uma a uma

Trabalhar a fila de alertas

Esta é a mesma tarefa de um segurança a ver imagens de câmaras e falha pela mesma razão: a vigilância continuada desaba ao fim de cerca de vinte minutos e a taxa de base de verdadeiros positivos é brutal, pelo que o ponto de partida humano é fraco e o software não se aborrece. A correlação e o enriquecimento são além disso verificáveis por máquina de uma forma que o resto deste posto não é: o alerta corresponde a um padrão conhecido ou não corresponde.

A fila de alertas é onde esta ocupação contrata, por isso automatizá-la retira o campo de treino e não o trabalho: o critério necessário mais acima é hoje construído a moer essa fila, e ninguém disse o que a substitui. Automatizar a triagem também não reduz os alertas; passa o analista de os ler para afinar aquilo que os gera, que é outro posto e com menos gente.

Decidir que é um incidente

O custo dos dois erros é tremendamente assimétrico e ambos são caros: deitar abaixo um sistema em produção por um falso positivo e deixar passar uma intrusão real são ambos acontecimentos que marcam uma carreira, e a decisão é tomada com autoridade e não com certeza. Em lado nenhum que possamos verificar essa autoridade é dada a um sistema, e a razão é a responsabilidade e não a precisão.

A decisão ficar com uma pessoa não significa que essa pessoa esteja no teu edifício: esta é a tarefa mais frequentemente externalizada para um serviço gerido, o que a desloca sem a automatizar. Lê a direção como algo sobre que espécie de coisa ela é, e não como uma garantia de que a tua entidade patronal vai continuar a empregar alguém para a fazer.

Escrever a deteção

Escrever a consulta é agora barato e os modelos fazem-no bem, porque uma regra de deteção é código com uma saída testável. Decidir o que detetar não é: exige saber o aspeto que o normal tem neste parque em concreto, e esse saber está em pessoas e quase em lado nenhum por escrito.

Escrever regras barato piora o problema dos falsos positivos em vez de o melhorar, porque a restrição nunca foi a escrita. Uma equipa que agora consegue produzir dez vezes mais deteções tem de ser dez vezes mais disciplinada a retirá-las, e ninguém coloca pessoal para isso, que é como uma ferramenta que ajuda um indivíduo degrada a fila em que toda a gente trabalha.

Procurar aquilo que não gerou alerta nenhum

A caça define-se pela ausência de gatilho, o que retira a entrada de que toda a ferramenta de deteção precisa. O que substitui o gatilho é um palpite sobre o objetivo de um adversário nesta organização em concreto, e esse palpite faz-se sabendo o que a empresa tem que valha a pena levar.

Esta é a primeira atividade a ser cortada quando a fila está barulhenta, porque não produz pedido nem métrica. Uma tarefa pode ser inteiramente humana e ainda assim desaparecer da semana de uma equipa sem ninguém decidir retirá-la, e nesta ocupação é assim que costuma acontecer.