La fatiga de las alertas está afectando duramente a los SOC de EE. UU.: cómo reducir el ruido 

Se enfrentan a un volumen cada vez mayor de alertas, mientras que el tiempo de los analistas y los presupuestos de seguridad siguen siendo limitados. Se dedica demasiado tiempo a comprobar señales que resultan ser de bajo riesgo, lo que ralentiza las investigaciones y facilita que amenazas graves se pierdan en la cola.  Reducir esa presión comienza con una mejor inteligencia sobre amenazas: indicadores más actualizados, más contexto y evidencia más clara que ayude a los analistas a comprender qué alertas necesitan atención primero.  Qué le hace la fatiga de alerta a un SOC  La fatiga de alerta generalmente proviene de algo más que el volumen.

Las detecciones duplicadas, las señales de baja confianza, el contexto débil y el enriquecimiento manual añaden fricción al proceso de investigación.  Fuente de ruido Impacto en el SOC Impacto en el negocio Alertas duplicadas entre herramientas Investigación repetida Mayor costo por caso Detecciones de baja confianza Más validaciones de falsos positivos Menos capacidad de analista Indicadores sin contexto Más cambio de herramientas y enriquecimiento manual Triaje más lento Datos COI obsoletos o amplios Coincidencias irrelevantes Más ruido, poco valor agregado Demasiadas alertas de prioridad similar Más difícil priorización Las amenazas críticas permanecen en cola por más tiempo Correlación manual Más esfuerzo y escalamientos de Nivel 1 Mayor carga de trabajo de Nivel 2 El resultado es un SOC que dedica demasiado tiempo a decidir qué merece atención en lugar de investigar lo que realmente representa un riesgo.  Tres formas en que los SOC de EE. El objetivo es reducir el trabajo repetitivo, brindar a los analistas mejores evidencias y hacer que sea más fácil concentrarse en la actividad que conlleva mayor riesgo.  1. Priorice las señales de mayor calidad  Los SOC de alto rendimiento reducen la sobrecarga de alertas al centrar la atención de los analistas en señales recientes, relevantes y respaldadas por actividad maliciosa real. Esto les brinda a los equipos de SOC acceso a nuevos indicadores observados en ataques reales, lo que les ayuda a priorizar señales más fuertes y dedicar menos tiempo a validar actividades que no conducen a ninguna parte.  Reduzca el ruido de las alertas con IoC nuevos extraídos de actividades maliciosas del mundo real. Fortalecer la detección de amenazas.

Eso deja a los analistas con menos alertas sin salida que perseguir y más tiempo para investigar las que realmente importan.  2. Con las soluciones de inteligencia de amenazas y análisis de malware de ANY.RUN, los equipos de SOC pueden:  Reducir la carga de trabajo del Nivel 1 hasta en un 20 % al reducir la validación repetitiva y el trabajo de investigación de bajo valor. 94 % con un acceso más rápido a la evidencia necesaria para tomar una decisión.  Reducir el MTTR en hasta 21 minutos por caso acortando el camino desde la alerta hasta el veredicto.  Para los líderes de SOC de EE. UU., el valor está en sacar más provecho de la capacidad de los analistas existentes y, al mismo tiempo, reducir las escalaciones innecesarias y el tiempo dedicado a alertas de bajo valor. Está afectando duramente a los SOC de EE.

Consultar publicación original ↗