MSP Insights

Услугата започва след алармата

TL;DR

Генерирането на аларма е само началната точка на една управлявана услуга по сигурност.

Истинската услуга започва, когато екипите по сигурност разследват събитието, определят неговия бизнес контекст, вземат решение за подходящата реакция и управляват инцидента до неговото разрешаване.

Именно този оперативен процес клиентите преживяват в реална ситуация и именно той определя качеството на една управлявана услуга по сигурност.

Въведение

В предишните статии от тази серия разгледахме как клиентите оценяват управляваните услуги по сигурност и защо мониторингът сам по себе си не определя услугата.

Това естествено води до следващия въпрос.

Какво всъщност се случва, след като бъде генерирана една аларма?

Тази част от процеса често остава по-малко видима от самия мониторинг, въпреки че представлява голяма част от оперативната работа зад една управлявана услуга по сигурност.

Алармата е входна информация.

Услугата е всичко, което следва след нея.

Всяка аларма има нужда от контекст

Алармите рядко пристигат с цялата необходима информация.

Системата за детекция може да идентифицира подозрително поведение, но не може автоматично да отговори на няколко важни въпроса.

Дали това е очаквана активност?

Наблюдавано ли е подобно поведение и преди?

Засяга ли критични бизнес системи?

Необходимо ли е незабавно ограничаване на инцидента?

Отговорите на тези въпроси изискват разследване, а не допълнителен мониторинг.

Анализаторите събират контекст от различни източници, преди да определят дали събитието представлява реален оперативен риск.

Разследването превръща информацията в решение

Целта на разследването не е единствено да потвърди дали една аларма е вярна или фалшива.

Неговата задача е да покаже какво означава това събитие за конкретната организация.

Разследването свързва техническите наблюдения с бизнес въздействието.

То включва анализ на:

• засегнатите системи
• засегнатите потребители
• възможния път на атаката
• текущото ниво на риск
• необходимите действия за реакция

Едва след този етап могат да бъдат определени приоритетите за реакция.

Реакцията изисква координация

След като ситуацията бъде разбрана, услугата преминава към изпълнение.

В зависимост от характера на инцидента това може да включва:

• ограничаване на компрометирани системи
• блокиране на злонамерена активност
• координация с ИТ екипа на клиента
• документиране на предприетите действия
• комуникация за текущото състояние
• подготовка на информация за регулаторни изисквания или последващ анализ

Често тези дейности се извършват паралелно.

Целта не е единствено инцидентът да бъде разрешен, а целият процес да остане структуриран и предвидим.

Клиентът преживява процеса

Клиентите рядко виждат самото разследване.

Това, което реално преживяват, е начинът, по който услугата работи, докато инцидентът се управлява.

Те оценяват:

• дали комуникацията е навременна
• дали отговорностите са ясно разпределени
• дали решенията се вземат координирано
• дали получават последователна информация
• дали ситуацията остава под контрол

Именно тези оперативни моменти изграждат доверието много повече от самата аларма, с която е започнал процесът.

Позицията на DIAMATIX

В DIAMATIX разглеждаме всяка аларма като начало на оперативен процес, а не като край на мониторинга.

Детекцията поставя началото.

Разследването създава разбиране.

Реакцията намалява риска.

Комуникацията поддържа всички участници информирани.

Заедно тези дейности превръщат техническата информация в управлявана услуга по сигурност, на която клиентите могат да разчитат.

Заключение

Качеството на една управлявана услуга по сигурност не се определя от броя генерирани аларми.

То се определя от това колко последователно всяка аларма се разследва, управлява, комуникира и довежда до разрешаване.

Мониторингът показва, че нещо изисква внимание.

Услугата започва тогава, когато хората, процесите и технологиите работят заедно, за да определят какво трябва да се случи след това.

В тази поредица

• Статия 1: Клиентите купуват реакция, а не мониторинг
• Статия 2: Мониторингът е възможност. Реакцията е услугата.
• Статия 3: Услугата започва след алармата.

Вижте MDR на практика

В нашия демонстрационен уебинар „MDR 360° на практика“ с Acronis показахме как backend SOC операциите поддържат мащабирането на MSP, без да се добавя оперативен хаос.

Гледайте запис от уебинара