Perché si verifica l'affaticamento da avvisi?
L'affaticamento da avvisi ha solitamente tre cause principali:
- Progettazione inadeguata dei rilevamenti
Quando le regole sono troppo ampie, troppo generiche o non rispecchiano il comportamento reale degli autori degli attacchi, generano rumore anziché informazioni utili. Un SIEM può raccogliere grandi volumi di dati, ma ciò non significa che i rilevamenti basati su tali dati siano utili. - Scarsa igiene della telemetria
Se i registri sono incompleti, incoerenti, scarsamente normalizzati o privi di informazioni contestuali essenziali, il SIEM dispone di meno elementi su cui lavorare. Ciò rende meno efficace la correlazione e più difficile l'interpretazione degli avvisi. - Operazioni frammentate
Un pattern sospetto può coinvolgere attività relative alle identità, comportamenti degli endpoint, eventi cloud e segnali di rete. Se questi elementi non vengono correlati correttamente, gli analisti finiscono per gestire in fase di triage sintomi isolati anziché incidenti significativi.
Perché l'affaticamento da avvisi è un problema così grave?
L'affaticamento da avvisi non è solo frustrante. Cambia il modo in cui opera il SOC. Gli analisti impiegano più tempo a considerare attendibili gli avvisi, hanno maggiori probabilità di ignorare segnali significativi e sono più vulnerabili al sovraccarico. Le notifiche di scarso valore assorbono l'attenzione che dovrebbe essere riservata alle attività a rischio più elevato.
Crea inoltre un problema operativo più ampio. Se il SOC dedica troppo tempo a verificare segnalazioni irrilevanti, dispone di meno risorse per la ricerca delle minacce, l'ottimizzazione dei contenuti, lo svolgimento di indagini di qualità e il miglioramento dei processi. In questo senso, l'affaticamento da avvisi non è semplicemente il sintomo di un numero eccessivo di avvisi. È un segnale che l'ingegneria del rilevamento e i flussi di lavoro di triage devono essere migliorati.
In che modo le organizzazioni possono ridurre l'affaticamento da avvisi?
Cinque misure pratiche possono fare la differenza:
- Affinare i casi d'uso del rilevamento: ogni avviso deve avere una ragione di esistere. Deve corrispondere a un comportamento rilevante per l'organizzazione, a un rischio significativo o a un percorso di indagine realistico.
- Migliorare la qualità dei dati: l'efficacia dei rilevamenti dipende dalla qualità della telemetria. Ciò significa selezionare le sorgenti pertinenti, gestire i parser, normalizzare i campi in modo coerente e assicurarsi che il contesto critico non vada perso durante l'acquisizione.
- Arricchire gli avvisi prima che raggiungano un analista: un avviso è molto più facile da valutare quando include informazioni contestuali come la criticità delle risorse, il ruolo utente, le attività recenti o gli eventi correlati.
- Ridurre le notifiche duplicate e a cascata: gli analisti non dovrebbero essere costretti a esaminare cinque o dieci avvisi che fanno tutti riferimento allo stesso comportamento o sistema. Raggruppare gli eventi correlati in un unico incidente può fare una notevole differenza.
- Automatizzare illavoro di triage ripetitivo, laddove sia possibile farlo in sicurezza: la raccolta delle evidenze, le attività di arricchimento, la creazione dei ticket, l'instradamento e le consultazioni standard sono tutti buoni candidati. L'obiettivo non è eliminare il giudizio umano, ma riservarlo ai momenti in cui apporta effettivamente valore.
Cos'altro contribuisce a ridurre nel tempo le segnalazioni irrilevanti?
I team migliori considerano la qualità degli avvisi una disciplina continua, anziché un'attività di ottimizzazione una tantum. Eliminano le regole obsolete, rivedono le soglie, verificano quali rilevamenti generano il maggior numero di attività di scarso valore e adeguano i casi d'uso all'evoluzione dell'ambiente.
Questo è importante perché gli ambienti sono in continua evoluzione. Nuovi strumenti, nuovi processi aziendali, l'espansione del cloud, le acquisizioni e persino i cambiamenti nel comportamento degli utenti possono influire sull'efficacia dei rilevamenti. Una regola che funzionava sei mesi fa potrebbe ora generare troppe segnalazioni irrilevanti, essere incompleta o non più allineata ai rischi.
In cosa sbagliano le organizzazioni?
Un errore comune consiste nel considerare l'affaticamento da avvisi esclusivamente un problema di personale. Un maggior numero di analisti può essere d'aiuto, ma il solo aumento dell'organico non risolve il problema dei rilevamenti che generano troppe segnalazioni irrilevanti, dei dati incoerenti o di una logica di correlazione inadeguata.
Un altro errore consiste nel presumere che una maggiore quantità di dati produca automaticamente risultati migliori in termini di sicurezza. Una maggiore quantità di dati di telemetria può migliorare la visibilità, ma solo se tali dati sono pertinenti, utilizzabili e associati a obiettivi di rilevamento ragionevoli. In caso contrario, non fa altro che aumentare i costi e le segnalazioni irrilevanti.
Un terzo errore consiste nel trascurare l'esperienza degli analisti. L'affaticamento da avvisi non è soltanto un problema tecnico di ottimizzazione. Influisce sulla concentrazione, sulla fiducia, sul morale e sulla capacità di trattenere il personale.
Punto chiave
Ridurre l'affaticamento da avvisi significa, in sostanza, migliorare la qualità dei segnali. Sviluppa rilevamenti più mirati, migliora la qualità dei dati di telemetria, arricchisci gli avvisi con informazioni contestuali, accorpa i duplicati e automatizza, ove opportuno, le attività ripetitive di triage.
Vuoi potenziare il rilevamento e le indagini in tutto il SOC?
Scopri in che modo la soluzione SIEM di Kaspersky può aiutare il tuo team a centralizzare i dati di sicurezza, arricchire gli avvisi con informazioni contestuali e ridurre le segnalazioni irrilevanti in ambienti aziendali complessi.
Fonti a supporto e ulteriori letture:
- Blog di Kaspersky SIEM
- ACM Digital Library
- MITRE ATT&CK
- Best practice per la registrazione degli eventi e il rilevamento delle minacce
