Traduzido do 日本語 • Ver original 
Alertas são essencialmente sinais importantes para a detecção precoce de ameaças, mas muitos deles aumentam o risco de perder incidentes importantes. A carga mental e a personalização dos analistas também aumentam, resultando em uma diminuição na qualidade geral da resposta do SOC – essa é a essência da fadiga do SOC.
Neste artigo, explicaremos o contexto da fadiga do SOC, os riscos de negligência e os conceitos e pontos práticos do design operacional de segurança exigidos na era dos alertas excessivos.
Contexto: A Era dos Alertas Excessivos
A razão por trás da aparente fadiga do SOC é a rápida mudança no ambiente de segurança.
Primeiro, o número de alvos de detecção aumentou. Diferente dos tempos em que era principalmente on-premise, o escopo do monitoramento agora se expandiu significativamente, incluindo nuvem, SaaS, terminais remotos e IoT. Como cada um gera seus próprios logs e alertas, a quantidade de informações agregadas no SOC continua aumentando ano após ano.
A próxima é a troca entre precisão da detecção e abrangência. Se você estabelecer regras rígidas por medo de perder algo, os falsos positivos disparam. Por outro lado, se você restringir demais seus alertas, não conseguirá detectar os sinais que realmente importam. Há muitos casos em que esse equilíbrio não acompanha e você cai em uma operação de "olhar tudo por enquanto".
Além disso, a escassez de talentos é um fator importante. Há uma escassez crônica de analistas SOC com habilidades analíticas avançadas, e manter um número limitado de pessoas 24 horas por dia, 7 dias por semana, é um fardo significativo. Isso resulta em uma cadeia negativa de burnout, erros de julgamento e rotatividade.
Riscos da fadiga SOC
A fadiga do SOC não se limita a "dificuldades no local", mas está diretamente relacionada ao risco de segurança de toda a organização.
- Incidentes críticos desaparecidos
Pode estar envolvida em um grande número de alertas de baixa prioridade, atrasando a resposta inicial a sinais de intrusão que deveriam ser realmente tratados. - Resposta de baixa qualidade
A fadiga e a habituação podem tornar a análise superficial e, em alguns casos, a identificação da causa raiz e a prevenção de recidivas são insuficientes. - Individualização e caixa preta
Aumentar as decisões baseadas na experiência de analistas veteranos e continuar as operações sem conhecimento compartilhado pode dificultar a tomada e a escala. - Perda de confiança organizacional
Atrasos contínuos e erros de julgamento na resposta a incidentes podem levar a uma diminuição da confiança no próprio SOC, o que pode levar a gestão a vê-lo como um "centro de custos".
Contramedidas: Pontos-chave do projeto operacional para prevenir a fadiga do SOC
Para evitar a fadiga do SOC, é importante revisar o "projeto operacional em si" em vez de apenas adicionar ferramentas.
1. Organização de Alertas e Design de Prioridades
A primeira coisa que você deve começar é fazer um balanço dos seus alertas.
Visualize quais ferramentas estão ocorrendo de quais alertas estão ocorrendo e com qual frequência, e organize-as sob as seguintes perspectivas:
- Alertas realmente precisam de atenção?
- Isso se sobrepõe a outros alertas?
- É possível responder automaticamente (SOAR, etc.)?
O primeiro passo é definir claramente a gravidade (Crítico/Alto/Médio/Baixo) e reduzir intencionalmente o número de alertas que o SOC deve receber manualmente.
2. Design de Detecção Baseado em Casos de Uso
Em vez de simples assinaturas ou eventos, o design de detecção baseado na premissa de "cenários de ataque (casos de uso)" é eficaz.
Por exemplo, ao assumir uma série de fluxos como "intrusão inicial→ escalonamento de privilégios → expansão lateral", múltiplos logs podem ser correlacionados e analisados para melhorar a precisão da detecção enquanto reduzem o ruído.
Essa mentalidade se torna mais prática quando combinada com inteligência de ameaças cibernéticas (CTI).
Artigos relacionados:
3. Automação e Papéis Humanos
Operações que julgam tudo manualmente não são mais realistas.
As seguintes tarefas devem ser consideradas ativamente para automação:
- Alertas falsos positivos conhecidos próximos
- Verificar a reputação do IP e do hash
- Resposta inicial (isolamento de dispositivo, desabilitação da conta, etc.)
Por outro lado, concentrar o tempo dos analistas em "tarefas que só os humanos podem fazer", como julgamentos finais, áreas de influência e propostas de melhoria, pode ajudar a prevenir o esgotamento.
4. Padronização das Regras Operacionais e do Conhecimento
Um dos fatores que aceleram a fadiga do SOC é a ambiguidade dos critérios de julgamento.
Documente cada alerta como um manual do que verificar, como julgar e o que fazer a seguir, para que, não importa quem responda, a qualidade seja mantida.
Isso também está intimamente relacionado ao aumento da maturidade da detecção, resposta e melhora demonstrados pelo NIST CSF 2.0.
Artigos relacionados:
5. Revisão e Ajuste Regular
As operações SOC não são projetadas uma vez e concluídas.
É importante revisar regularmente as regras e prioridades dos alertas à medida que os métodos de ataque e os ambientes de trabalho mudam. Estabeleça revisões mensais e trimestrais para discutir continuamente alertas que podem ser reduzidos e detecções que precisam ser adicionadas.
O que deveria ser
A imagem ideal de um SOC não é uma organização que responde a todos os alertas.
Apenas sinais importantes chegam às pessoas certas na hora certa.
Os analistas se libertam do processamento pesado de logs e podem focar em análise e melhoria.
A gestão pode compreender quantitativamente o valor do SOC e usá-lo para tomar decisões de investimento.
Somente quando esse ciclo virtuoso for criado o SOC evoluirá de um "site cansado" para um "núcleo que protege a organização."
Conclusão
Quando se trata de priorizar alertas e implementar automação, frequentemente ouvimos pessoas dizerem: "Não sei por onde começar." Se você quer entender o estado atual das operações do seu SOC e dar o primeiro passo rumo a um design ideal, consultar um especialista com histórico comprovado é o caminho mais curto.
A Colorkrew Security oferece uma ampla gama de serviços, desde revisão de design operacional de SOC até suporte à automação e ajustamento. Sinta-se à vontade para nos contatar primeiro.
Artigos relacionados: