企业如何应对安全产品“误报”?
脚本之家 / 编程助手:解决程序员“几乎”所有问题!
脚本之家官方知识库 → 点击立即使用
雷神Foreground Security的高管Carl Manion 2016年11月7日发布博文分享了他应对虚假警报、避免时间浪费的实用经验。
虚假警报指的是那些让你陷入担忧,但进一步调查后发现虚惊一场的警报通知。
刚开始人们觉得这些误报好像只会带来轻微的不便,但如果每天都有成百上千次误报产生,你会发现它们几乎占去了你每天四分之三甚至更多的时间!
更糟糕的是,这的确发生在全球大多数安全操作中心(SOC)网络安全分析师的身上,因为他们一直遵循着传统的、被动的威胁监测方式。
在大多数SOC中,误报是一个关键难题。它们不但需要花一定的时间和资源来处理,而且还会分散安全分析师处理真正安全威胁的精力。
这些分析师可能会因为每天处理许许多多的虚假警报而产生“警报疲劳症”,对各种警报的敏感度降低,最终遗漏真正会发生网络攻击行为的迹象。
那么什么原因造成了虚假警报呢?
据悬镜服务器卫士的工作人员了解到:误报最常见的成因是配置不良或调整不佳的安全工具,例如SIEM、入侵检测系统、入侵防御系统、终端检测与响应工具。
这些系统利用了很多基于一套预定义规则(如已知签名、模式、预期的用户行为等)的攻击检测技术。
当这些工具中的某个规则、签名或模式定义得太宽泛或缺少某些逻辑时通常就会产生误报。根据当前逻辑识别安全事件,就容易产生虚假的威胁事件报警。
下面推荐7个基本习惯可供企业或组织参考借鉴,最大程度地降低误报率:
1)主动出击。
将你的威胁管理方式变得积极主动,如果你所做的就是等待警报响起和警报消失,那么你的时间都会花在误报的处理上而不是发现真正的威胁。主动发现威胁,这是检测最新网络威胁唯一经过验证的方法。
2)目标优先
正确使用报警技术能够大大提高我们识别可疑或恶意活动的能力,这也是悬镜服务器卫士一直在追求的的目标。但很多企业、组织大范围地应用该技术,忽视了重点关注你计划检测的威胁类型这一关键点。
评估你所在企业的风险与安全需求,然后再将报警技术应用于最高风险威胁事件。重点关注你的最终目标,也就是和你计划检测最相关的威胁类型,这会大大降低误报率。
3)高风险警报优先
优先化是SOC减少因误报而造成时间浪费最好的工具之一。可靠性最高并带有检测高风险事件的报警无疑应该被列为优先处理项。
利用这种方法分析人员就可以根据优先级分别处理,确保首先解决风险最高的事件。
4)双赢思维
把人们看做是一个合作性的群体而不是竞争性的。选择合作性的情报源,为你的安全操作中心带来不同的真实性、相关性和价值资源。
(当然要进行明智地选择;如果不够小心,盲目地整合情报站点资源而不评估其真实性,这样产生的误报率会对安全操作中心带来负面影响。)
5)注重理解
处理误报问题首先应该全面理解已有工具想要处理的是什么威胁以及它的运作方式。使用某个工具时,你也应该彻底明确你部署它的原因,而不是根据“常见”情况而作出假设,切忌在默认设置的情况下安装某个工具。
6)协同处理(利用相关性)
很多情况下,一个事件可能不足以引起重视,除非它与其它利益事件一起被观察到。出现这样的情况时,你应该使用一套定义清晰的相关性规则,若各个事件满足所有相关性标准,那么只发送一条警报至分析师的处理安排表中。
7)保持更新。
复查以前的警报,不断吸取教训,更好地制定报警规则。警报复查能够让你明白如何调整、改善现有规则。
如今的网络威胁十分复杂,降低误报率需要智能化、有针对性的警报逻辑来提取重要事件。因此持续调整这种逻辑非常重要。
虽然虚假警报在网络安全操作中总是会存在,但通过遵循以上7条好习惯,降低虚假警报的数量还是有可能的。
以下是描述这7个习惯的汉化版信息图。
*本文原创作者:Carrie_spinfo,转载来自FreeBuf(FreeBuf.COM)
悬镜小编认为:网络安全在当今社会也越来越重要,所以这也是为什么很多企业花很多钱专门组建相应的团队的原因。
相关文章
- Cloudfront 是 Amazon 提供的 CDN 服务,有每月免费 1T 的流量,该流量不可累计,个人小站的话,这个 CDN 是足够用的了,而且主要是国内访问的速度还不错,但是需要注意不要2023-10-19
免费为你的网站加速,全球访问加速还可以防御ddos攻击的cloudflare
CDN加速通俗来讲就是把网站在全国各地的服务器上复制一份(即镜像服务器),用户在访问的时候,路由自动分配到最近的服务器,提升访问速度,大家在访问软件下载站的时候,经2023-10-09什么是AMP(加速移动页面)Web开发?AMP的好处以及它与响应式网页设计的
AMP技术是一项用于加速移动Web页面加载速度的技术,它通过限制页面的HTML、CSS和JavaScript的使用,从而提高页面加载速度和性能,下面我们将从以下几个方面对AMP技术进行拓展2023-10-09谷歌站长(Search Console)工具的注册安装及功能介绍
Google Search Console 是一项由 Google 提供的免费服务,可帮助您监控和维护您的网站在 Google 搜索结果中的展示情况以及排查问题,Search Console 可帮助您了解并改善 Go2023-05-13打开网站出现Internal Server Error的原因和解决方法
这篇文章主要介绍了打开网站出现Internal Server Error的原因和解决方法的相关资料,需要的朋友可以参考下,解决方法:登陆FTP或文件管理器,检查站点目录文件权限设置,将2022-01-08inxy:超低价“综合型”国外CDN提供商,专业POP节点覆盖亚洲\欧洲\美洲
inxy,这个2005年成立运作至今的商家不但提供11个机房的VPS、24个机房独立服务器,更重要的核心业务还有CDN,之所以要来推荐inxy的CDN是因为在性价比上面有着独到的优势2020-11-16- 大部分服务商(如阿里云,网易蜂巢,京东云等)的CDN服务是按使用量收费的,也有一些服务商提供免费的CDN服务,这篇文章主要介绍了分享盘点10个可免费使用的网站CDN加速服2020-08-17
INXY:运作全球26个国家和地区的 独立服务器、VPS、CDN业务,价格超便
INXY主要运作独立服务器、VPS、CDN、DNS四大类业务。inxy有自己的机房,也卖全球其他国家和地区的相关业务,可以说是一个超大型的reseller2019-09-29- 这篇文章主要介绍了新手干货之网站建设中常见的一些问题,小编觉得挺不错的,现在分享给大家,也给大家做个参考。一起跟随小编过来看看吧2019-09-18
- 本篇文章主要介绍了手把手教搭建电影网站,今天我们就来搭建一个VIP电影网站,本文主旨在于,从基础的搭建一个简单的解析网站来引入一些思路,手把手什么的最贴心了。2019-08-22
最新评论