Memikirkan Kembali Cara Anda Bekerja dengan Metrik Deteksi dan Respons

Memikirkan Kembali Cara Anda Bekerja dengan Metrik Deteksi dan Respons

Stempel Waktu: 19 April 2024 1
Memikirkan Kembali Cara Anda Bekerja dengan Metrik Deteksi dan Respons PlatoBlockchain Data Intelligence. Pencarian Vertikal. Ai.

Memilah positif palsu dari positif sebenarnya: Tanyakan kepada profesional pusat operasi keamanan mana pun, dan mereka akan memberi tahu Anda bahwa ini adalah salah satu aspek paling menantang dalam mengembangkan program deteksi dan respons.

Ketika volume ancaman terus meningkat, pendekatan yang efektif untuk mengukur dan menganalisis data kinerja semacam ini menjadi semakin penting dalam program deteksi dan respons organisasi. Pada hari Jumat di konferensi Black Hat Asia di Singapura, Allyn Stott, staf insinyur senior di Airbnb, mendorong para profesional keamanan untuk mempertimbangkan kembali bagaimana mereka menggunakan metrik tersebut dalam program deteksi dan respons mereka – sebuah topik yang ia bahas tahun lalu. Topi Hitam Eropa.

“Di akhir pembicaraan itu, banyak masukan yang saya terima adalah, 'Ini bagus, tapi kami benar-benar ingin tahu bagaimana kami bisa menjadi lebih baik dalam metrik,'” kata Stott kepada Dark Reading. “Itu adalah area di mana saya telah melihat banyak perjuangan.”

Pentingnya Metrik

Metrik sangat penting dalam menilai efektivitas program deteksi dan respons karena metrik mendorong perbaikan, mengurangi dampak ancaman, dan memvalidasi investasi dengan menunjukkan bagaimana program tersebut menurunkan risiko terhadap bisnis, kata Stott.

“Metrik membantu kami mengkomunikasikan apa yang kami lakukan dan mengapa orang harus peduli,” kata Stott. “Hal ini sangat penting dalam deteksi dan respons karena sangat sulit untuk dipahami dari sudut pandang bisnis.”

Area paling penting untuk memberikan metrik yang efektif adalah volume peringatan: “Setiap pusat operasi keamanan yang pernah saya bekerja atau pernah saya kunjungi, ini adalah metrik utama mereka,” kata Stott.

Mengetahui berapa banyak peringatan yang masuk memang penting, namun itu saja masih belum cukup, tambahnya.

“Pertanyaannya selalu, 'Berapa banyak peringatan yang kita lihat?'” kata Stott. “Dan itu tidak memberi tahumu apa pun. Maksud saya, ini memberi tahu Anda berapa banyak peringatan yang diterima organisasi. Namun hal ini tidak benar-benar memberi tahu Anda apakah program deteksi dan respons Anda menangkap lebih banyak hal.”

Memanfaatkan metrik secara efektif bisa jadi rumit dan memakan banyak tenaga, sehingga menambah tantangan dalam mengukur data ancaman secara efektif, kata Stott. Dia mengakui bahwa dia juga melakukan kesalahan dalam hal metrik teknik untuk menilai efektivitas operasi keamanan.

Sebagai seorang insinyur, Stott secara rutin mengevaluasi keefektifan penelusuran yang dilakukannya dan alat yang ia gunakan, guna mendapatkan tingkat positif benar dan palsu yang akurat untuk ancaman yang terdeteksi. Tantangan baginya dan sebagian besar profesional keamanan adalah menghubungkan informasi tersebut dengan bisnis.

Menerapkan Kerangka Kerja dengan Benar Sangatlah Penting 

Salah satu kesalahan terbesarnya adalah pendekatannya yang terlalu fokus pada Kerangka MITRE ATT & CK. Meskipun Stott yakin bahwa hal ini memberikan rincian penting mengenai berbagai teknik dan aktivitas ancaman yang dilakukan oleh pelaku ancaman, dan organisasi harus menggunakannya, namun hal ini tidak berarti mereka harus menerapkannya pada semua hal.

“Setiap teknik dapat memiliki 10, 15, 20, atau 100 variasi berbeda,” katanya. “Jadi, memiliki cakupan 100% adalah upaya yang gila.”

Selain MITRE ATT&CK, Stott merekomendasikan penggunaan SANS Institute Model Kematangan Berburu (HMM), yang membantu menggambarkan kemampuan organisasi dalam memburu ancaman dan memberikan cetak biru untuk meningkatkannya.

“Ini memberi Anda kemampuan untuk, sebagai metrik, mengatakan di mana Anda berada pada tingkat kedewasaan Anda saat ini dan bagaimana investasi yang Anda rencanakan atau proyek yang Anda rencanakan akan meningkatkan kedewasaan Anda,” Stott mengatakan.

Dia juga merekomendasikan penggunaan Institut Keamanan kerangka SABRE, yang menyediakan metrik kinerja manajemen risiko dan keamanan yang divalidasi dengan sertifikasi pihak ketiga.

“Daripada menguji seluruh kerangka MITRE ATT&CK, Anda sebenarnya mengerjakan daftar teknik yang diprioritaskan, termasuk penggunaan MITRE ATT&CK sebagai alat,” katanya. “Dengan begitu, Anda tidak hanya melihat informasi ancaman Anda, tetapi juga insiden keamanan dan ancaman yang dapat menjadi risiko penting bagi organisasi.”

Penggunaan pedoman metrik ini memerlukan dukungan dari CISO, karena hal ini berarti memperoleh kepatuhan organisasi terhadap model kedewasaan yang berbeda-beda. Namun demikian, hal ini cenderung didorong oleh pendekatan bottom-up, di mana para insinyur intelijen ancaman adalah penggerak awalnya.

Stempel Waktu:

Lebih dari Bacaan gelap