网络安全分析师 / 安全运营

一个班次过几百条告警,判断其中哪两条值得看。

拍板:把人叫起来、把一套系统从网络上摘下来、告诉业务方出事了 —— 在信息不完整、而且还不能确定的时候。

把从一次事件里学到的东西,变成一条能抓住下一次、又不会把队列淹掉的规则。

从一个假设而不是一条告警出发 —— 先假定东西已经在里面了,然后去找它。

这一行的入门台阶就是告警队列,而它正是自动化机制最清楚地对着的那一级。这对整个行业都是一个真问题,不只是对你:资深分析师的判断就是靠磨这条队列磨出来的,而没有人设计过替代品。尽早去做事件响应,并且把「肯让你旁听一次真实事件」的团队看得比一次涨薪更重。

有两个数字决定你团队的未来,而且两个都该由你产出:你们队列的真阳性率,以及上个季度你们下线了多少条检测规则。答不出第二个的团队,会发现工具预算被花在「产出更多它本来就读不完的东西」上。

保住并强化

往队列的上游走,不要顺着它走

在研判自动化里活下来的人,是那些去调「产生告警的东西」的人,不是那些读得更快的人。

调整职责

成为那个了解这套环境的人

每一件工具都需要一条「正常」的基线,而没有任何厂商能替你的公司提供它。那份知识是买不到的输入,也正是威胁狩猎赖以运转的东西。

研判确实在挪动,而理由值得理解:它和保安盯监控画面是同一项任务,人在上面失效的方式也一样 —— 持续警戒大约二十分钟就崩塌,而软件不会无聊。没有在挪的是「判定这是一次事件」,因为那个决定靠的是权限而不是确定性,而且两类错误的代价都很重。这个职业真正的风险不是被替代,而是把研判自动化之后,分析师的判断原本赖以建立的那一级台阶没了。

不给日期。信号是你们自己队列的真阳性率,以及你的班次里有多大比例花在「系统不需要你也能关联出来」的告警上 —— 两个这一周就能量。而要盯的组织层面的信号是另一个、也更有预测力:你的雇主有没有在谈托管服务 —— 因为外包是在完全不自动化的情况下把这份工作挪走,而且它来得比任何工具都快。

写规则是便宜的那一半,模型也做得好,因为一条规则是「有可测输出的代码」。决定该检测什么是另一半,它取决于知道你这套具体环境里「正常」是什么样 —— 那份知识握在人手里,几乎没被写在任何地方。需要提醒的是:规则变便宜会让误报问题变糟,因为瓶颈从来不是「写」—— 一个产出十倍检测规则的团队,必须在下线规则上自律十倍,而几乎没有人为这件事定编。

不会被自动化,这是对的 —— 狩猎的定义就是「没有触发」,而这恰好拿掉了每一件检测工具都需要的那个输入。但当队列很吵的时候,它是最先被砍掉的活动,因为它不产出工单也不产出指标。这才是值得记住的模式:一项任务可以完全属于人,同时在没有任何人决定拿掉它的情况下从一个团队的一周里消失 —— 而在这个职业里,这正是常见的走向。