Uyarılar özünde anlamlı bir şeye dikkat çekmek için mevcuttur: bir tehlike göstergesi (IOC), bir saldırı göstergesi (IOA) veya araştırmaya değer şüpheli bir davranış. Ancak herhangi bir tespit programında, daha fazla uyarının artık yararlı olmaktan çıkıp bir sorumluluk haline gelmeye başladığı bir devrilme noktası vardır. En iyi tespit programları her konuda uyarı vermeye çalışmaz. Doğru şeyleri uyarmaya odaklanırlar. Bu, eyleme geçirilebilir uyarılar oluşturmak, üzerlerine düşeni yapmayanları devre dışı bırakmak ve analistlerin zamanına kıt bir kaynakmış gibi davranmak anlamına gelir. Her uyarı varlığını haklı çıkarmalıdır ve eğer bir karara, soruşturmaya veya yanıta yol açmıyorsa sıraya hiç girmeyebilir.
Uyarı Yorgunluğunun Gerçek Maliyeti
Uyarı yorgunluğu genellikle bir kapasite sorunu olarak çerçevelenir: çok fazla uyarı, yeterli insan yok. Ancak asıl sorun daha derinlerdedir. Bu güven ile ilgili. Analistler çoğu uyarının gürültü olduğunu varsaymaya başladıklarında, o kadar yakından bakmayı bırakırlar. Sürekli triyajın, hatalı pozitif sonuçların ve sonu olmayan araştırmaların getirdiği zihinsel sürüklenme hızla birikiyor. Zamanla, iyi oluşturulmuş tespit programları bile keskinliğini kaybeder; bunun nedeni aletlerin kırılması değil, insanların dikkat etmeyi bırakmasıdır. Çözüm sadece ayarlama yapmak değil, aynı zamanda analistlere önemli uyarıların tutarlı bir şekilde sunulmasını sağlamaktır. Açık, alakalı, uygulanabilir ve zaman ayırmaya değer olanlar.
Her Uyarı Kendi Sp’sini Kazanmalıbaşka
Tespit çalışmalarına uygulanabilecek en ilgili ilkelerden biri Açıklıktır: Başarının hedefler, eylemler ve niyet konusunda net olmaya bağlı olduğu fikri. Her türlü soruşturmada netlik, çabanın odaklanmasına yardımcı olur. Kötü potansiyel müşterilerin peşinde harcanan zamanın önlenmesini sağlar ve insanların gerçekten önemli olan şeylere odaklanmasını sağlar. Aynı durum siber güvenlik için de geçerlidir: Uyarılar belirsiz, gürültülü veya yanlış hizalandığında, dikkati gerçek tehditlerden uzaklaştıran dikkat dağıtıcı unsurlara dönüşürler. Netlik sadece iyi yazmakla ilgili değildir, amaç ile de ilgilidir. Her uyarı aynı araştırma disiplini ile oluşturulmalıdır: Açık sinyal, açık anlam, açık sonraki adımlar.
İyi bir uyarı üç basit soruyu yanıtlamalıdır:
- Bize ne anlatıyor?
- Hangi eylemi tetiklemeli?
- Göz ardı edilirse ne olur?
Bunlar sadece teorik değil. Analistlerin nasıl düşündüğü ve tepki verdiğiyle doğrudan eşleşen sinyal, niyet ve etki konusunda netliği zorlarlar.
Bu, performans yönetiminde SMART hedeflerinin işleyişine benzer bir zihniyettir: Spesifik, Ölçülebilir, Ulaşılabilir, İlgili, Zamana Bağlı. Bu çerçevenin var olmasının nedeni belirsiz hedeflerin belirsiz sonuçlara yol açmasıdır.
Aynı mantık uyarı tasarımı için de geçerlidir. Tespitin net bir amacı ve sonucu yoksa, sadece gürültü katıyor demektir. Uyarıları keskin tutmanın bir yolu ART filtresini uygulamaktır:
- Uygulanabilir – Uyarı yalnızca bir soruyu gündeme getirmemeli, belirli bir yanıta yol açmalıdır.
- İlgili – Yalnızca geçerli olmayan “en iyi uygulama” mantığını değil, ortamınız bağlamındaki gerçek riski yansıtmalıdır.
- Zamanında – Uyarı hala önemli olduğunda gelmelidir. Geç uyarılar yalnızca zaman damgasıyla dolu bir karmaşadan ibarettir.
Uyarılar, ister sorular ister çerçeveler aracılığıyla, araştırma disiplini ve netliğiyle oluşturulduğu zaman kuyrukta yerlerini alırlar.
OlanlarKonaklamada
Her uyarının mükemmel olması gerekmez, ancak kalanların üzerlerine düşeni yapmaları, kesin, anlamlı ve eyleme bağlı olmaları gerekir.
Yüksek kaliteli uyarıların genellikle birkaç ortak noktası vardır:
- Yüksek sinyallidirler. Bunlar yalnızca anormallikleri veya “kötü olabilir” kalıplarını değil, riskle güçlü bir şekilde ilişkili gerçek tehdit faaliyetini veya davranışı temsil eder.
- Eyleme geçirilebilirler. Bir analist uyarıyı gördüğünde daha sonra ne yapması gerektiğini bilir: bir soruşturma açmak, bir konakçıyı izole etmek, bir av başlatmak.
- Bunlar açık. Başlık ve açıklamanın kodunun çözülmesi gerekmez. Neden ateşlendiğini anlamak için beş kütüğü kazmaya gerek yok.
- Zamanında geldiler. Yanıt hâlâ önemliyken uyarılar ortaya çıkmalıdır.
- Sonuç üretirler. Her zaman imkansızdır, ancak bir tespit hiçbir zaman anlamlı bir eyleme yol açmıyorsa, bu bir uyarı kuyruğuna değil, bir kontrol paneline ait olabilir.
- Uyarılar Kararlar İçindir. Uyarılar yalnızca bilgilendirmek için değil, eyleme geçmek için de vardır. Bir uyarı birinin karar vermesine yardımcı olmuyorsa, bu sadece gürültüdür.
Pek çok algılama programının yan tarafa gittiği yer burasıdır. Uygulanabilir olan her şey yerine ilginç olan her şey hakkında uyarıda bulunmaya çalışırlar. İlginç olan, kuyruklara ve karmaşaya neden olur.
Uyarı Kapsamı Hala Önemli
Uyarıların ayarlanması ve kesilmesi önemli olsa da kapsama alanı göz ardı edilemez. Bir algılama programı, uyarı kuyruğunun sessiz olması nedeniyle tamamlanmış sayılmaz; aynı zamanda bulunması gereken şeyi bulması da gerekir. Uyarıların MITRE ATT&CK gibi çerçevelere haritalanması burada devreye giriyor. Bu çerçeveler, saldırı yaşam döngüsünün tamamının kapsanmasına yardımcı olur; kimlik avı veya rastgele indirmeler gibi yaygın ilk erişim teknikleri değil. Gerçek tehdit kapsamı; yürütme, devamlılık, ayrıcalık artışı, yanal hareket ve ötesine ilişkin görünürlüğe sahip olmak anlamına gelir.
Bir uyarı stratejisinin siber öldürme zincirinin tamamıyla uyumlu olması gerekir. Algılama yalnızca ön kapıya odaklanırsa, evin içinde dolaşan saldırganı gözden kaçırırsınız. Bu, her taktiğin gerçek zamanlı olarak uyarı üretmesi gerektiği anlamına gelmez, ancak her aşamanın, ister uyarı, ister avlanma veya korelasyon yoluyla hesaba katılması gerekir.
Kapsama her konuda uyarıda bulunmak anlamına gelmez. Bu, hiçbir aşamanın tamamen gözden kaçmaması için size toplu olarak izinsiz giriş zinciri boyunca görünürlük sağlayan uyarılar tasarlamak anlamına gelir.
Algılama = Görünürlük
Görünürlüğü algılamayla karıştırmak kolaydır. Bir şeyin günlüğe kaydediliyor olması veya hatta izleniyor olması, onun bir uyarı oluşturması gerektiği anlamına gelmez. Görünürlük kapsamayla ilgilidir. Tespit odaklanmayla ilgilidir.
Güçlü bir günlük kaydı ardışık düzeni, aslında uyarıları tetikleyen şeylerden çok daha fazlasını yakalamalıdır. Şüpheli olan her şey birinin iş akışını kesintiye uğratmaya değmez. Bazı şeylerin gerçek zamanlı önceliklendirme için değil, tehdit avına, grafiklere, gösterge tablolarına veya olay sonrası incelemeye bırakılması daha iyidir. Zayıf görünürlüğü telafi etmek için uyarılar kullanılırsa aşırı geniş ve gürültülü olma eğilimi gösterirler. Ancak görünürlük sağlam olduğunda algılama seçici olabilir.
Son Düşünce: Dikkat Gerçektir l Kaynak
Bir tespit programının amacı, en kapsamlı kurallar dizisini oluşturmak değil, doğru sinyalleri doğru zamanda ortaya çıkarmak ve bunların dikkate alınmasını sağlamaktır. Bu, analistlerin dikkatini sınırlı ve değerli bir kaynakmış gibi ele almak anlamına gelir. İyi uyarılar yalnızca tehditleri yakalamakla kalmaz; insanları daha etkili kılarlar. Bu ancak açıklık, amaç ve disiplinle oluşturulduklarında gerçekleşir.
Daha az belirsiz uyarı. Daha iyi kararlar.
Önemli olan bu.
Yazar Hakkında
Joe Pfaff, DefenseStorm’da Siber Tehdit Gözetleme Operasyonları Direktörüdür. Uyarı programlarını tasarlama, oluşturma ve ölçeklendirme konusunda uygulamalı deneyime sahip bir siber güvenlik lideridir. DefenseStorm’da Siber Tehdit Gözetleme Operasyonları Direktörü olarak, finans sektöründeki kuruluşları korumaktan sorumlu 7/24 bir ekibe liderlik ediyor. Odak noktası anlamlı tespit kapsamı, uyarı kalitesi ve sürdürülebilir SOC süreçlerinin sağlanmasıdır.
Joe’ya şu adresten çevrimiçi olarak ulaşılabilir: [email protected] ve şirketimizin web sitesinde https://www.defensestorm.com/