安全运营中心自动化究竟是好还是坏?

如今,许多安全运营中心(SOC)都在面临着同样的困境——警报太多,而处理它们的人员却又太少。随着时间的推移,这种问题将会变得更加严重,因为生成警报的设备数量的增长速度,要远远快于可用于分析它们的人员数量的增长速度。如此一来,真正重要的警报可能就会淹没其中,得不到响应。



 

大多数企业认为应对这个问题只有两种解决方案:即减少警报数量,或是增加人员数量。幸运的是,还有第三种选择:自动化。它可以极大地提高分析师的时间效率,用更少地时间完成更多的工作量。

传统意义上,人们习惯将自动化视为“不全则无”(all-or-nothing)的主张。但是,如今时代已经发生了变化。企业可以在事件响应过程中的各个位置实施自动化,帮助分析人员从繁复的任务中解脱出来,同时保持他们对警报监视和响应的人为控制。其最终目标应该是,在自动化可以处理的低风险和人为应对的高风险之间取得平衡。

但是,在部署某种程度的SOC自动化之前,应该认真考虑以下几点问题:1)组织是赢了还是输了网络战争?2)如果是赢了,它是否具备正确的工具来持续这种状态?3)如果是输了,它应该怎么做?

不过,无论组织是赢了还是输了网络战争,理解自动化的优缺点对于任何项目的成功与否都是至关重要的。

  自动化的优点

自动化在低影响(low-impact )环境中通常备受青睐,但是由于误报可能导致的负面影响,其在诸如公用事业和医疗保健等高影响(high-impact)环境中一直备受质疑。

SOC自动化的主要优点包括:

  对警报和ticket的响应更一致;

  对于ticket关闭和事件响应量更大;

  提高对正在发生问题的可视性;

  覆盖面积更大,ticket数量更多。

  自动化的缺点

没有什么比处理假阳性(即误报)更令人烦恼的了,所谓假阳性就是系统将合法活动标识为恶意攻击行为。在某些行业中,误报会破坏业务流程,造成收入损失、工业组织停工等后果,在医院环境中,这种误报甚至会危及生命。

SOC自动化的主要缺点包括:

  关闭操作;

  产生误报,导致采取错误的举措;

  自动化处理本该手动处理的ticket;

  关键信息或数据丢失;

  做出错误或不恰当的决定。

  自动化的最佳实践

过去,公司通常会因为考虑到自动化的潜在缺点,而最终选择放弃它,因为他们认为这样做更安全。然而,如今,越来越多的企业已经意识到,如果他们没有实现某种程度的自动化,会增加其错失标记攻击行为的机会,这种情况所造成的损失,可能会比实施自动化所带来的潜在负面影响更为沉重。

鉴于这种情况,安全从业人员应该考虑采用以下自动化最佳实践措施:

  1.创建一个全面的战略

该计划应该旨在解决以下关键问题:

  哪些区域产生的警报最多?

  什么样的警报类型占据了分析师大部分的时间?

  哪些响应是非常有条理的,以及哪些警报分析师可以用可预测的方式做出响应?

  是否可以使用自动化剧本(playbook)来处理某些事件?

  2.采取一种经过实测的方法

安全的关键规则之一就是始终避免极端事件。例如,“自动化一切”可能会招致一堆蠕虫,然后迫使安全管理人员通过指责分析师来证明这一做法是正确的,他们会声称是由于分析师来不及分析ticket才导致的问题。

通过自动化人力密集型、高度重复型任务来实现平衡,将分析师从繁复的任务中解放出来,有精力实现更为重要的职能,这是一个非常好的起点。自动化应该允许公司提高SOC效率,同时保持可接受的风险水平——无论是在运营方面还是安全方面。

诀窍在于管理和控制误报,而不是妄图消除误报。

  3.了解不需要自动化而需要人工分析的任务

其主要包括影响如下系统的警报:

  关键应用程序或系统;

  业务流程、财务和运营系统;

  包含大量敏感数据的系统;

  大规模攻击指标。

  结论

由于网络攻击对手也在利用软件和硬件来开发和实施攻击,威胁的演变速度和复杂性正在急剧上升,对于SOC自动化的需求也在随之增长。想要跟上程序化攻击的步伐,不可避免地需要自动化某些SOC功能和流程。遵循上述列出的建议,可以帮助确定应该自动化和不应该自动化的内容,以便发挥自动化的最大功效。

(责任编辑:安博涛)

分享到:

更多
发表评论
请自觉遵守互联网相关的政策法规,严禁发布色情、暴力、反动的言论。
评价:
表情:
  • 微笑/wx
  • 撇嘴/pz
  • 抓狂/zk
  • 流汗/lh
  • 大兵/db
  • 奋斗/fd
  • 疑问/yw
  • 晕/y
  • 偷笑/wx
  • 可爱/ka
  • 傲慢/am
  • 惊恐/jk
用户名: 验证码:点击我更换图片
资料下载专区
图文资讯

安全运营中心自动化究竟是好还是坏?

安全运营中心自动化究竟是好还是坏?

如今,许多安全运营中心(SOC)都在面临着同样的困境警报太多,而处理它们的人员却又太...[详细]

世界口令日=糟糕建议日?

世界口令日=糟糕建议日?

常换口令就安全?未必! 5月份第一个星期四是世界口令日,本应是提醒人们重新审视自己...[详细]

黑客8大数据变现套路

黑客8大数据变现套路

青少年仅为证明自己能力而突破公司或国防部网络的事,感觉就像几十年前的老电影一样遥...[详细]

李国杰院士:“中兴事件”给科技工作的启示

李国杰院士:“中兴事件”给科技工作的启示

李国杰 美国商务部对中兴通讯公司的芯片禁售令引起广大群众的关注,虽然这一事件未必...[详细]

硬盘驱动恢复软件真的可以完全恢复丢失的数

硬盘驱动恢复软件真的可以完全恢复丢失的数据吗?

我们不可避免地会遇到这些情况:意外地删除了一个文件,并且当想要恢复文件的时候却发...[详细]

返回首页 返回顶部