Раскрытие инвестиционной ценности через стратегическую автоматизацию безопасности

Автоматизация безопасности давно была темой дебатов — что автоматизировать, когда и как. Несмотря на случайные неудачи, консенсус остается: автоматизация — путь вперед. Сегодняшняя реальность подтверждает, что автоматизация больше не опциональна; она необходима.

Пока многие организации уже внедрили базовую автоматизацию для критических задач безопасности и инцидент-респонса (IR), события 2020 года стали катализатором, по словам Нура Булос из ThreatQuotient. Недавний отчет SANS подсвечивает, как глобальная пандемия ускорила принятие автоматизации, заставляя фирмы пересмотреть приоритеты и будущие дорожные карты. Опрос охватил компании всех размеров в Северной Америке, Европе, Азиатско-Тихоокеанском регионе и Африке.

Ключевые выводы включают:

• Почти треть организаций сообщили, что пандемия COVID-19 ускорила их планы автоматизации.
• Более 80% теперь имеют хотя бы частичную автоматизацию ключевых процессов безопасности и IR — вверх от 47% в 2020 году.
• Автоматизация инцидент-респонса выросла наиболее резко, с расширенной автоматизацией, поднявшейся на 18 процентных пунктов с 10,5% в 2020 до 28,3% в 2021.
• Операции безопасности и обработка алертов остаются главным фокусом, с 35,5%, достигшими расширенной автоматизации.
• Взгляд вперед: 85% планируют расширить автоматизацию ключевых процессов безопасности и IR в ближайшие 12 месяцев.

Эти выводы подчеркивают важность тайминга автоматизации в жизненном цикле безопасности для максимизации бизнес-ценности. В ThreatQuotient мы подчеркиваем, что данные — краеугольный камень эффективной автоматизации детекта и респонса. Рассмотрим два основных юз-кейса, подсвеченных в отчете: Alert Triage и Incident Response.

Alert Triage:

Аналитики безопасности сталкиваются с навалом алертов, генерируемых шумными правилами SIEM и дефолтными конфигурациями защиты. Для управления объемом и скоростью аналитики часто прячут внешние данные об угрозах и интеллектуальные фиды прямо в SIEM. Однако две проблемы сохраняются:

Во-первых, обьем внешних данных об угрозах перегружает SIEM, производя множество неконтекстуальных алертов, требующих интенсивного исследования аналитиком. Во-вторых, текущие инструменты лишены надежной поддержки решений для предоставления контекста и релевантности перед интеграцией threat intelligence в SIEM. Приоритизация поэтому критична для фокусировки аналитиков на действенных алертах.

С платформой ThreatQ вы можете устранить бесполезные алерты, подавая в SIEM только релевантную threat intelligence. Платформа автоматически применяет контекст, релевантность и приоритизацию к данным об угрозах до того, как они достигнут SIEM, повышая как эффективность, так и эффективность.

Кастомные скоринговые модели threat intelligence — адаптированные к вашей среде — позволяют точную приоритизацию. Курируя сфокусированное подмножество данных об угрозах, SIEM производит меньше ложных срабатываний и масштабируется грациознее.

Incident Response:

Традиционные решения Security Orchestration, Automation, and Response (SOAR) фокусируются на автоматизации процессов. Однако когда применяются к детекту и респонсу, плейбуки могут стать громоздкими, потому что логика решений захардкожена и должна обновляться в каждом плейбуке. Эта сложность умножается по мере роста плейбуков, и автоматизация шумных данных может усилить шум.

ThreatQ TDR Orchestrator принимает упрощенный, data-driven подход SOAR. Здесь сами данные триггерят плейбуки, а инсайты, собранные от автоматизированных действий, возвращаются в аналитику для улучшения будущих респонсов. Встраивая интеллект в платформу, а не в отдельные плейбуки, конфигурация и обслуживание становятся гораздо проще, ведуя к более эффективным и действенным результатам автоматизации. Пользователи могут предварительно курировать и приоритизировать данные, автоматизировать релевантные действия и стримить процедуры респонса.

Автор — Нур Булос из ThreatQuotient