Turvallisuusryhmät ovat hukkuvat hälytyksiin, mutta tilannekuva ei ole enää suurin ongelma. Todellinen haaste on muuttaa sekavat signaalit selkeiksi ja käytännön toimiin johtaviksi päätöksiksi.
Kaiken kaikkiaan… vain yksi varoitus lisää seinällä.
Taas yksi hälytys. Ei taustatietoja. Ei toimia.
Se ei ole turvallisuutta. Se on melua.
Todellinen ongelma ei ole havaitseminen, vaan ymmärtäminen.
Tietoturvatiimeillä ei ole pulaa työkaluista. Useimmilla organisaatioilla on jo palomuurit, päätelaitteiden hallintajärjestelmät, tunnistautumisalustat, pilvipalveluiden valvonta sekä lukuisia hallintapaneeleja, jotka valvovat ympäristön jokaista nurkkaa.
Kyse on siitä, mitä tapahtuu hälytyksen ilmestymisen jälkeen.
Yksi työkalu ilmoittaa epätavallisesta toiminnasta. Toinen laskee vakavuusluokituksen. Kolmas avaa tapauksen. Mutta hälytykset vastaanottavat henkilöt jäävät silti miettimään samoja kolmea kysymystä:
- Mitä tapahtui?
- Miksi sillä on merkitystä?
- Mitä meidän pitäisi tehdä seuraavaksi?
Siinä on se ero.
Monet hälytykset osoittavat toimintaa. Hyvin harvat selittävät sen taustalla olevan tilanteen. Ja kun tilannekuva puuttuu, tiimit joutuvat turvautumaan manuaaliseen selvitystyöhön, intuitioon ja aikaan, jota heillä ei oikeastaan ole.
Miksi vanha toimintamalli ei skaalaudu
Hälytysten määrä kasvaa jatkuvasti, mutta tietoturvatiimit eivät kasva samaa vauhtia. Jopa hyvin hoidetut toiminnot joutuvat lopulta jatkuvan priorisoinnin kierteeseen.
Analyytikot viettävät tunteja merkityksettömien havaintojen perässä, vertailevat eri järjestelmien lokitietoja ja yrittävät selvittää, mitkä tapahtumat ansaitsevat ensisijaisen huomion. Samaan aikaan aidosti tärkeät signaalit joutuvat kilpailemaan huomiosta kaiken muun kanssa.
Tässä vaiheessa väsymys iskee. Reaktiot hidastuvat. Prioriteetit hämärtyvät. Tiimi on kiireinen, mutta ei välttämättä tehokas.
Uuden hallintapaneelin lisääminen ratkaisee harvoin kyseistä ongelmaa. Usein se vain tarjoaa käyttäjille yhden paikan lisää, josta etsiä tietoa.
Määrästä arvoon
Kysymys, jolla on enää merkitystä, ei ole: ”Kuinka monta hälytystä meillä on?”
Kysymys kuuluu: ”Mitkä näistä ovat tärkeitä, ja mitä meidän on tehtävä niiden suhteen?”
Tämä muutos kuulostaa yksinkertaiselta, mutta se muuttaa toimintamallin täysin. Sen myötä tietoturva siirtyy pois pelkästä tiedonkeruusta kohti tiedon hyödyntämistä päätöksenteossa.
Useimmille organisaatioille se on todellinen kypsyysvaihe: kyse ei ole pelkästään paremmasta havaitsemisesta, vaan siitä, että ymmärretään paremmin, mitä havaitseminen tarkoittaa.
Mitä muutoksia rikastaminen tuo käytännössä
Juuri tässä rikastaminen osoittaa todellisen voimansa.
Hyvä tietojen rikastamisprosessi ei pelkästään kerää lisää tietoa. Se tuo siihen merkitystä. Se yhdistää tapahtumia järjestelmien välillä, sovittaa käyttäytymistä tunnettuihin viitekehyksiin, kuten MITRE ATT&CK:iin, sovittaa mahdollisia vastatoimia MITRE D3FEND:iin ja kääntää tekniset havainnot selkokielelle.
Sen sijaan, että analyytikolle toimitettaisiin pelkkä raaka hälytys, järjestelmä voi tarjota paljon selkeämmän kokonaiskuvan:
mitä tapahtui,
miksi sillä on merkitystä,
ja mikä olisi seuraava askel.
Se muuttaa reagointivauhtia välittömästi. Tiimit käyttävät vähemmän aikaa palasten kokoamiseen ja enemmän aikaa jo selvillä olevien asioiden pohjalta toimimiseen.
Mitä yritysten tulisi nyt tehdä
Useimpien organisaatioiden ei tarvitse hävittää sitä, mitä niillä jo on. Niiden on saatava nykyiset valvontamenetelmänsä toimimaan tehokkaammin ja älykkäämmin.
Käytännönläheinen lähtökohta voisi olla seuraava:
- Keskity kontekstiin, älä pelkästään määrään — Lisääntynyt hälytysten määrä ei automaattisesti tarkoita parempaa suojaa. Jos käyttäjät eivät osaa erottaa, mitkä havainnot ovat merkityksellisiä, hälytysten määrä muuttuu häiritseväksi tekijäksi.
- Automatisoi tietojen syventäminen, älä pelkästään tunnistamista — Tunnistaminen kertoo, että jokin saattaa olla vialla. Tietojen syventäminen auttaa selittämään, mitä se tarkoittaa ja mitä seuraavaksi pitäisi tehdä.
- Käytä uhkakehyksiä yhteisenä kielenä — Kehykset , kuten MITRE ATT&CK ja MITRE D3FEND, auttavat tiimejä siirtymään yksittäisten tapahtumien tarkastelusta kohti selkeämpää kuvaa hyökkääjien käyttäytymisestä ja puolustusvaihtoehdoista.
- Aseta etusijalle toimet, ei pelkästään havainnot — Jokaisen vakavan hälytyksen tulisi johtaa käytännönläheiseen seuraavaan vaiheeseen, olipa kyse sitten tilanteen vahvistamisesta, leviämisen estämisestä tai korjaavista toimenpiteistä.
- Vapauta analyytikot tekemään arvioita — Ihmiset tuottavat eniten lisäarvoa silloin, kun he tekevät päätöksiä, kyseenalaistavat oletuksia ja johtavat toimia — eivät silloin, kun he viettävät tunteja kopioimalla tietoja näytöltä toiselle.
Melusta torjuntatoimiin
Tavoitteena ei ole tuottaa lisää hälytyksiä, lisää hallintapaneeleita tai lisää operatiivista toimintaa.
Tavoitteena on selkeys.
Kun tiimit ymmärtävät, mitä heillä on edessään, he voivat asettaa prioriteetit nopeammin, reagoida varmemmin ja vähentää riskejä merkittävällä tavalla. Silloin tietoturva alkaa tuntua vähemmän meluisalta esteeltä ja enemmän toiminnalta, joka tukee liiketoimintaa aidosti.
Päätelmä
Organisaatiot, jotka selviävät parhaiten nykypäivän uhkien määrästä, eivät ole niitä, jotka tuottavat eniten hälytyksiä. Ne ovat niitä, jotka tekevät nopeimpia ja selkeimpiä päätöksiä.
Turvallisuusryhmät eivät tarvitse lisää raakatietoa. He tarvitsevat taustatietoja, varmuutta ja selkeän toimintasuunnitelman.
Näin melusta tehdään torjuntakeinoja.
Ja näin aletaan murtaa muuria.