Специалистите от оперативните центрове за сигурност (SOC) изпитват затруднения поради огромния брой фалшиви аларми от техните инструменти за сигурност.

Проучване на Vectra сред стотици професионалисти в областта на киберсигурността разкрива сериозен проблем, който екипите на SOC имат с доставчиците на софтуер. Те казват, че огромният брой фалшиви сигнали, които техните инструменти дават, води до прегаряне и позволява на реалните заплахи да се промъкнат през шума.

„Нямаше голяма промяна в сравнение с миналогодишните резултати и честно казано, не беше голяма изненада“, казва Марк Войтасяк, вицепрезидент по изследванията и стратегията във Vectra AI. „Практикуващите SOC явно все още са разочаровани от инструментите за откриване на заплахи. И наистина, това, което ни казват данните, е, че повече от проблема с откриването на заплахи, SOC екипите имат проблем със сигналите за атаки. Обещанията за консолидация и платформация все още не са се изпълнили, а това, от което SOC екипите наистина се нуждаят, е точен сигнал за атака.“

Какво казват SOC екипите? БИИИП, БИИИП, БИИИИП!

SOC поглъщат средно 3 832 сигнала за сигурност на ден. За да разберете колко неуправляемо може да бъде това, имайте предвид, че в един средностатистически SOC може да работят няколко десетки души или само няколко, в зависимост от размера на организацията и нейните инвестиции в сигурността.

Резултатът: 81 % от служителите на SOC прекарват поне два часа на ден в пресяване и сортиране на сигналите за сигурност. Затова не е чудно, че 54 % от анкетираните от Vectra казват, че вместо да улесняват живота им, инструментите, с които работят, увеличават ежедневното им натоварване и че 62 % от сигналите за сигурност в крайна сметка просто се игнорират.

Разбира се, операторите на SOC са наясно с последиците от игнорирането на предупрежденията за сигурност. Цели 71 % от тях съобщават, че всяка седмица се притесняват, че ще пропуснат атака, затрупана в потока от по-малко важни предупреждения. А 50 % стигнаха дотам да кажат, че техните инструменти за откриване на заплахи „повече пречат, отколкото помагат“ при откриването на реални атаки.

Конфликтът между това, с което операторите се сблъскват, и това, с което могат да се справят, поражда истинско недоволство към доставчиците. Около 60 % от анкетираните съобщават, че купуват софтуер за сигурност предимно за да отбележат съответствие, а 47 % не се доверяват на тези програми. Подобен процент (62 %) смятат, че доставчиците умишлено и цинично ги заливат със сигнали, така че при нарушение да е по-вероятно да могат да кажат: Ние ви предупредихме! Мнозинството (71 %) от специалистите по SOC казват, че доставчиците трябва да поемат по-голяма отговорност за това, че не са успели да предотвратят нарушения.

Как изкуственият интелект може да направи SOC по-ефективни

Най-достижимото, практическо обещание на изкуствения интелект (ИИ) е, че той ще намали досадната работа, свързана с повтарящи се задачи, и ще повиши производителността. И повече от всички други служители на SOC могат да се възползват точно от това.

Всъщност, казва Войтасяк, ИИ е пътят към цялостна промяна на мисленето. „Сигурността се разглежда като индивидуални повърхности на атака: Имам мрежа, крайни точки, идентичности, електронна поща, а сега и генеративен ИИ (GenAI). ДОБРЕ. Ще отида да купя инструменти за откриване на заплахи в тези изолирани повърхности за атака, след което ще помоля човек да осмисли всичко това. Това е начинът, по който мисленето в областта на сигурността е било в основата си през последните 10 години“, казва той.

„Съвременните нападатели,“ продължава той, “виждат само една огромна повърхност за атака, в която могат да се движат. Така че защо сигурността не мисли по същия начин? Защо не разглеждаме заплахите холистично по цялата повърхност за атака, не използваме изкуствен интелект, за да сглобим открития, които са показателни за поведението на нападателя, да съпоставим тези открития и след това да дадем един интегриран сигнал на анализатора на SOC?“

Много SOC вече започват да правят точно това. Около 67% от участниците в проучването на Vectra са установили, че ИИ вече подобрява способността им да идентифицират и да се защитават от заплахи, а 73% твърдят, че това е помогнало да се облекчи чувството им за прегаряне. Почти девет от всеки десет респонденти вече са увеличили инвестициите си в ИИ и планират да продължат.

„Чувам [вече] за положителните резултати, които те изпитват при въвеждането на тези нови инструменти – намалено работно натоварване, по-малко прегаряне и по-малко разточителство“, съобщава Войтасяк. „Надеждата е, че сегашните разочарования ще намалеят, тъй като изолираните наследени инструменти се заменят с инструменти, задвижвани от изкуствен интелект, способни да предоставят точен сигнал за атака.“