Шесть инновационных метрик для измерения эффективности автоматизированного реагирования на инциденты

По мере того как процессы реагирования на инциденты трансформируются автоматизацией, доказать, как это меняет производительность, будет практически невозможно без внедрения этих новых метрик.

Когда команды безопасности переопределяют инфраструктуру безопасности организации для борьбы с меняющимся ландшафтом угроз, им часто нужно показать, как эти изменения положительно повлияют на бизнес-результаты.

Однако в 2016 году институт SANS обнаружил, что 71% организаций не имеют регулярных метрик или измерений производительности реагирования на инциденты (IR). Хотя этот процент снизился в последние годы — 58% заявили об отсутствии метрик в 2017 году — многие команды безопасности увидят необходимость измерять свою производительность только после крупного киберинцидента.

1. Стоимость инцидента (CPI)

Метрика CPI измеряется как длительность инцидента, умноженная на среднюю часовую ставку аналитика первого уровня. Многие команды безопасности прогоняют эту формулу через IR-плейбук для каждой фазы инцидента — от обнаружения до реагирования и устранения.

Автоматизация не только устраняет целые этапы или рабочие процессы, но и обеспечивает ускорение, огромную экономию затрат и повышение эффективности, так как команды могут фокусироваться на подтверждении и завершении инцидентов, а не тратить время на бесполезный поиск.

2. Автоматическое обнаружение против ручного

Команды безопасности могут установить базовую линию для определения соотношения обнаружений, производимых стеком безопасности, к совокупному числу человеческих обнаружений.

Чтобы выявить человеческие обнаружения, нужно определить количество обнаружений персоналом (например, сотрудник замечает неисправность машины или IT-администратор видит аномальное поведение системы). К этому добавляются внешние обнаружения — вызовы от госорганов/IT-админов — и обнаружения, созданные вручную сотрудниками SOC путем синтеза данных из стека безопасности или SIEM. Это даст представление об эффективности текущей системы.

Автоматизация процессов реагирования на инциденты существенно сдвинет соотношение в сторону автоматизации, что означает лучшую эффективность операций безопасности.

3. Процент расследований к объему алертов

Операции безопасности теперь могут определить, что упускается. Измеряя расследования против объема алертов, компании могут измерить рисковый разрыв в текущих операциях безопасности. С автоматизированными процессами IR процент расследований на объем резко возрастает.

Например, если организация обычно проводит 3 расследования на 100 алертов (3%), а после внедрения автоматизации достигает 10% алертов-к-завершению и дополнительных 2 расследований (5/10 или 50%), это дает массивный рост эффективности операций безопасности на 1500%.

4. Соотношение расследования к реагированию

В интересах любой организации обеспечить, чтобы команда операций безопасности тратила как можно меньше времени впустую. Метрика соотношения расследования к реагированию помогает определить, сколько исследованных элементов привели к завершению рабочего процесса реагирования.

Автоматизация IR приведет к сходимости расследований и реагирования, так как больше расследований будут проводиться против подтвержденных выводов, а не просто подозрительных атак.

5. Скорость принятия решения

Эта метрика измеряет время, необходимое для принятия решения после генерации алерта. Не редкость «паралич анализа» и неопределенность операций безопасности увеличивают время пребывания угрозы и риск распространения атаки. Также это отнимает время от расследования и реагирования на другие атаки, происходящие одновременно.

Измеряя скорость принятия решения до и после внедрения автоматизации, команда операций безопасности может продемонстрировать свою ловкость и увеличить способность к реагированию без добавления дефицитных человеческих ресурсов.

6. Реагирование на устранение против переустановки образа

Эта метрика измеряет прерывание бизнеса. Чем более точечные, удаленные реагирования позволяют автоматизированные процессы, тем меньше «грубых» исправлений переустановки образа конечной точки пользователя приходится делать — значит, меньше прерывания бизнеса и неудобств для сотрудников. Легко представить, как изъятие чьего-то ноутбука на день или отключение сервера обработки платежей может серьезно нарушить операции безопасности — даже при наличии горячих бэкапов и кластеров отказоустойчивости.

Автоматизация процессов IR избегает таких прерываний за счет создания действующих правил, которые могут автоматически запускать точечное устранение и глубокий анализ.

Метрики как драйверы

По мере того как процессы реагирования на инциденты продолжают трансформироваться автоматизацией, доказать, как это меняет производительность IR, будет практически невозможно без включения этих новых метрик.

Просто скажем: каждая из этих новых метрик может продемонстрировать, как автоматизация процессов реагирования на инциденты не только укрепит вашу инфраструктуру безопасности, но и повлияет на итоговую прибыль.

Источник: Эндрю Бушби, директор UK в Fidelis Cybersecurity