本文轉(zhuǎn)載自微信公眾號「計算機世界」，作者Jaikumar Vijayan。轉(zhuǎn)載本文請聯(lián)系計算機世界公眾號。

測試自身網(wǎng)絡(luò)

Data Theorem的COO Doug Dooley表示，比起處理誤報，SOC分析師通常更厭倦于追蹤影響力較低的安全警報。這種情況可能會出現(xiàn)在，例如當(dāng)安全團隊沒法專注于處理那些對業(yè)務(wù)有重大影響的問題，而是被組織起來尋找在生產(chǎn)應(yīng)用程序中可能都不會被用到的代碼的質(zhì)量問題時。"secops團隊很容易被非關(guān)鍵任務(wù)警報所困擾，而這些警報被不公平地歸類為'誤報'。"Dooley說。

只有當(dāng)安全團隊與業(yè)務(wù)領(lǐng)導(dǎo)密切合作時，他們才能過濾掉干擾因素，專注到真正重要的事情上。“如果你流行最廣的移動應(yīng)用的數(shù)據(jù)泄露可能會嚴(yán)重損害你的品牌，降低你的股價，并讓你失去客戶，那么你就該把關(guān)注應(yīng)用程序堆棧中的可利用漏洞設(shè)為高業(yè)務(wù)優(yōu)先級?！?/p>

Dooley建議企業(yè)不要把注意力放在理論攻擊和情景上，而是在自己的系統(tǒng)上進行漏洞測試，以驗證是否存在任何可以被破壞的、可利用的漏洞。他說，這種測試和驗證可以在安全運營團隊和DevOps團隊之間建立信任和可靠性。

保持良好的記錄和指標(biāo)

保留白費力氣的搜索調(diào)查記錄是減少這種情況再次發(fā)生的好方法。為了改進檢測和調(diào)整警報，SOC 需要從可操作信號中濾除干擾信號，這就需要企業(yè)擁有可以回顧和學(xué)習(xí)的數(shù)據(jù)。

Vectra的Wade說:“在一個時間、資源和注意力都有限的世界里，每當(dāng)我們把精力花在一個誤報上時，企業(yè)就會產(chǎn)生一個可操作的信號被忽視的風(fēng)險。SOC需要保持有效的調(diào)查記錄和指標(biāo)，以不斷提高檢測工程的工作效率，這一點再怎么強調(diào)也不為過?！? 不幸的是，對于許多SOC團隊來說，這種改善進程所必需的長期規(guī)劃工作往往會被當(dāng)下的混亂問題所耽誤。

Bambenek說，安全警報工具應(yīng)該有一個反饋機制和指標(biāo)，允許防御者跟蹤提供商和信息來源的誤報率。如果你使用的是安全遙測數(shù)據(jù)湖，你還可以查看針對以前數(shù)據(jù)的指標(biāo)和新規(guī)則，以了解誤報率。

僅靠自動化是不夠的

自動化如果實施得當(dāng)，可以幫助解決現(xiàn)代 SOC 中的警報過載和技能短缺的問題。但是，企業(yè)需要技術(shù)熟練的員工，或者能從例如托管服務(wù)提供商那里得到人才幫助，才能充分利用自動化技術(shù)。

Invicti首席產(chǎn)品官Sonali Shah表示，團隊人工確認每個漏洞需要一小時，于是他們每年可能需要花費高達10000個小時來處理誤報。然而，在Invicti的調(diào)查中，超過四分之三的受訪者表示他們總是或經(jīng)常手動驗證漏洞。在這種情況下，集成在現(xiàn)有工作流中的自動化可以幫助解決與誤報相關(guān)的困難。

S&P全球市場情報分析師Daniel Kennedy表示，為了充分利用這項技術(shù)，SOC需要能夠調(diào)整日志和檢測工具，并開發(fā)能將供應(yīng)商的工具整合在一起的腳本或定制工具。Kennedy說:“那些能隨著時間的推移，掌握企業(yè)技術(shù)特性中的自定義特性的操作人員尤其有用。他們可以通過檢查每日報告的模式、開發(fā)劇本、調(diào)整供應(yīng)商工具和引入適當(dāng)級別的自動響應(yīng)來幫助SOC節(jié)省時間?！?/p>

Deep Instinct的Everette表示，必須調(diào)整警報、事件和日志。主題專家必須對系統(tǒng)進行配置，以確保只有高保真警報能被呈現(xiàn)出來，并設(shè)置相應(yīng)的事件觸發(fā)器，以確保在需要時提高響應(yīng)的優(yōu)先級。為了有效地做到這一點，企業(yè)必須關(guān)聯(lián)和分析來自如安全日志、事件和威脅數(shù)據(jù)等多個來源的數(shù)據(jù)。Everette說，安全警報工具“不是一成不變的機制”。為了最大限度地利用警報工具，SOC需要伺機而動，擴大和增強每個工具的功能，以減少誤報的數(shù)量并提高其整體安全態(tài)勢的有效性。

作者：Jaikumar Vijayan是一位自由技術(shù)作家，專門研究計算機安全和隱私主題。

原文網(wǎng)址：http://www.csoonline.com/article/3641638/5-tips-for-reducing-false-positive-security-alerts.html