Leggere un alert alle 3 di notte: com'è fatto un buon triage
La differenza fra un SOC maturo e un costoso inoltratore di alert si vede nei primi quattro minuti di un incidente. Ecco la sequenza.
SOC console, live detection view
Real console screenshot with a genuine timeline and alert queue, identifiers removed. Do not fabricate alert volumes.
2400×1350 · PNG · @2x
Alle 03:12 scatta un alert. Viaggio impossibile: lo stesso account si è autenticato da Richmond e da un provider di hosting in un altro paese a undici minuti di distanza. Questo te lo può dire uno strumento. Ciò che accade dopo dipende interamente da persone e processo.
Minuto uno — è reale?
Il viaggio impossibile è uno dei rilevamenti più rumorosi che esistano. Una VPN, un proxy aziendale, un operatore mobile che instrada da un'altra regione, un'attività pianificata su una VM cloud con un service account. Prima di ogni altra cosa, l'analista stabilisce se la seconda posizione è spiegabile. Se il tratto «impossibile» arriva dal tuo stesso intervallo di uscita, l'alert è un problema di calibrazione, non un incidente.
Minuto due — cosa ha fatto la sessione?
Qui si fermano quasi tutti i servizi di inoltro alert ed è qui che iniziano le indagini vere. Un accesso non è un incidente. Un accesso seguito da una regola di casella che inoltra tutto a un indirizzo esterno e cancella la copia inviata è un incidente, e i due eventi vivono in log diversi.
- Nuove regole di casella o di flusso di posta, soprattutto inoltro o cancellazione automatica
- Metodo MFA aggiunto, modificato o registrato dalla nuova posizione
- Consenso concesso a un'applicazione OAuth
- Accesso o download massivo sullo storage documentale
- Qualsiasi modifica di privilegi sull'account o su altri
Un accesso non è un incidente. Un accesso più una nuova regola di inoltro è una violazione in corso con quindici minuti di vantaggio.
Minuto tre — delimita prima di agire
L'istinto è disabilitare subito l'account. A volte è giusto. Ma un attaccante che perde l'accesso di colpo sa di essere stato visto, e se ha stabilito un secondo appiglio gli hai appena detto di usarlo. Due minuti per stabilire se quell'account è l'unico coinvolto sono di solito due minuti ben spesi — ed è un giudizio che richiede un analista, non un ramo di playbook.
Minuto quattro — contieni, poi sveglia qualcuno
Revoca sessioni e refresh token, non solo la password: un semplice reset lascia valido un token esistente fino alla scadenza. Rimuovi le regole malevole dopo averle registrate. Poi fai la telefonata. Alle 3 di notte, svegliare la persona giusta per una compromissione reale di un account è la scelta corretta, e un SOC che evita quella chiamata per non disturbare nessuno non sta fornendo il servizio che hai comprato.
Cosa succede la mattina dopo
La parte che separa un servizio da un abbonamento: il rilevamento viene calibrato. Se l'alert era rumore, la regola viene corretta perché lo stesso falso positivo non scatti più. Se era reale, la lacuna che l'ha permesso — nessun accesso condizionale su quell'account, nessuna protezione dei token, nessun alert sui consensi OAuth — diventa una raccomandazione scritta con un responsabile. Un incidente da cui non impari è un incidente che hai accettato di rivivere.