搜索

[10715] 2016-11-14_企业如何应对安全产品“误报”？

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-11-14_企业如何应对安全产品“误报”？ 企 业 如 何 应 对 安 全 产 品 “ 误 报 ” ？ C a r r i e _ s p i n f o   F r e e B u f   2 0 1 6 - 1 1 - 1 4 你 是 否 也 遭 受 着 虚 假 警 报 占 用 大 量 工 作 时 间 的 困 扰 ？ 雷 神 你 是 否 也 遭 受 着 虚 假 警 报 占 用 大 量 工 作 时 间 的 困 扰 ？ 雷 神 F o r e g r o u n d   S e c u r i t y 的 高 管 的 高 管 C a r l   M a n i o n   2 0 1 6 年 年 1 1 月 月 7 日 发 布 博 文 分 日 发 布 博 文 分 享 了 他 应 对 虚 假 警 报 、 避 免 时 间 浪 费 的 实 用 经 验 。 享 了 他 应 对 虚 假 警 报 、 避 免 时 间 浪 费 的 实 用 经 验 。 虚 假 警 报 指 的 是 那 些 让 你 陷 入 担 忧 ， 但 进 一 步 调 查 后 发 现 虚 惊 一 场 的 警 报 通 知 。 刚 开 始 人 们 觉 得 这 些 误 报 好 像 只 会 带 来 轻 微 的 不 便 ， 但 如 果 每 天 都 有 成 百 上 千 次 误 报 产 生 ， 你 会 发 现 它 们 几 乎 占 去 了 你 每 天 四 分 之 三 甚 至 更 多 的 时 间 ！ 更 糟 糕 的 是 ， 这 的 确 发 生 在 全 球 大 多 数 安 全 操 作 中 心 （ 更 糟 糕 的 是 ， 这 的 确 发 生 在 全 球 大 多 数 安 全 操 作 中 心 （ S O C ） 网 络 安 全 分 析 师 的 身 上 ， 因 为 他 们 一 直 遵 循 着 传 统 的 、 被 动 ） 网 络 安 全 分 析 师 的 身 上 ， 因 为 他 们 一 直 遵 循 着 传 统 的 、 被 动 的 威 胁 监 测 方 式 。 的 威 胁 监 测 方 式 。 在 大 多 数 S O C 中 ， 误 报 是 一 个 关 键 难 题 。 它 们 不 但 需 要 花 一 定 的 时 间 和 资 源 来 处 理 ， 而 且 还 会 分 散 安 全 分 析 师 处 理 真 正 安 全 威 胁 的 精 力 。 这 些 分 析 师 可 能 会 因 为 每 天 处 理 许 许 多 多 的 虚 假 警 报 而 产 生 “ 警 报 疲 劳 症 ” ， 对 各 种 警 报 的 敏 感 度 降 低 ， 最 终 遗 漏 真 正 会 发 生 网 络 攻 击 行 为 的 迹 象 。
那 么 什 么 原 因 造 成 了 虚 假 警 报 呢 ？ 那 么 什 么 原 因 造 成 了 虚 假 警 报 呢 ？ 误 报 最 常 见 的 成 因 是 配 置 不 良 或 调 整 不 佳 的 安 全 工 具 ， 例 如 S I E M 、 入 侵 检 测 系 统 、 入 侵 防 御 系 统 、 终 端 检 测 与 响 应 工 具 。 这 些 系 统 利 用 了 很 多 基 于 一 套 预 定 义 规 则 （ 如 已 知 签 名 、 模 式 、 预 期 的 用 户 行 为 等 ） 的 攻 击 检 测 技 术 。 当 这 些 工 具 中 的 某 个 规 则 、 签 名 或 模 式 定 义 得 太 宽 泛 或 缺 少 某 些 逻 辑 时 通 常 就 会 产 生 误 报 。 根 据 当 前 逻 辑 识 别 安 全 事 件 ， 就 容 易 产 生 虚 假 的 威 胁 事 件 报 警 。 下 面 推 荐 下 面 推 荐 7 个 基 本 习 惯 可 供 企 业 或 组 织 参 考 借 鉴 ， 最 大 程 度 地 降 低 误 报 率 ： 个 基 本 习 惯 可 供 企 业 或 组 织 参 考 借 鉴 ， 最 大 程 度 地 降 低 误 报 率 ： 1 ） 主 动 出 击 。 将 你 的 威 胁 管 理 方 式 变 得 积 极 主 动 ， 如 果 你 所 做 的 就 是 等 待 警 报 响 起 和 警 报 消 失 ， 那 么 你 的 时 间 都 会 花 在 误 报 的 处 理 上 而 不 是 发 现 真 正 的 威 胁 。 主 动 发 现 威 胁 ， 这 是 检 测 最 新 网 络 威 胁 唯 一 经 过 验 证 的 方 法 。 2 ） 目 标 优 先 。 正 确 使 用 报 警 技 术 能 够 大 大 提 高 我 们 识 别 可 疑 或 恶 意 活 动 的 能 力 。 但 很 多 企 业 、 组 织 大 范 围 地 应 用 该 技 术 ， 忽 视 了 重 点 关 注 你 计 划 检 测 的 威 胁 类 型 这 一 关 键 点 。 评 估 你 所 在 企 业 的 风 险 与 安 全 需 求 ， 然 后 再 将 报 警 技 术 应 用 于 最 高 风 险 威 胁 事 件 。 重 点 关 注 你 的 最 终 目 标 ， 也 就 是 和 你 计 划 检 测 最 相 关 的 威 胁 类 型 ， 这 会 大 大 降 低 误 报 率 。 3 ） 高 风 险 警 报 优 先 。 优 先 化 是 S O C 减 少 因 误 报 而 造 成 时 间 浪 费 最 好 的 工 具 之 一 。 可 靠 性 最 高 并 带 有 检 测 高 风 险 事 件 的 报 警 无 疑 应 该 被 列 为 优 先 处 理 项 。 利 用 这 种 方 法 分 析 人 员 就 可 以 根 据 优 先 级 分 别 处 理 ， 确 保 首 先 解 决 风 险 最 高 的 事 件 。 4 ） 双 赢 思 维 。 把 人 们 看 做 是 一 个 合 作 性 的 群 体 而 不 是 竞 争 性 的 。 选 择 合 作 性 的 情 报 源 ， 为 你 的 安 全 操 作 中 心 带 来 不 同 的 真 实 性 、 相 关 性 和 价 值 资 源 。 （ 当 然 要 进 行 明 智 地 选 择 ； 如 果 不 够 小 心 ， 盲 目 地 整 合 情 报 站 点 资 源 而 不 评 估 其 真 实 性 ， 这 样 产 生 的 误 报 率 会 对 安 全 操 作 中 心
带 来 负 面 影 响 。 ） 5 ） 注 重 理 解 。 处 理 误 报 问 题 首 先 应 该 全 面 理 解 已 有 工 具 想 要 处 理 的 是 什 么 威 胁 以 及 它 的 运 作 方 式 。 使 用 某 个 工 具 时 ， 你 也 应 该 彻 底 明 确 你 部 署 它 的 原 因 ， 而 不 是 根 据 “ 常 见 ” 情 况 而 作 出 假 设 ， 切 忌 在 默 认 设 置 的 情 况 下 安 装 某 个 工 具 。 6 ） 协 同 处 理 （ 利 用 相 关 性 ） 。 很 多 情 况 下 ， 一 个 事 件 可 能 不 足 以 引 起 重 视 ， 除 非 它 与 其 它 利 益 事 件 一 起 被 观 察 到 。 出 现 这 样 的 情 况 时 ， 你 应 该 使 用 一 套 定 义 清 晰 的 相 关 性 规 则 ， 若 各 个 事 件 满 足 所 有 相 关 性 标 准 ， 那 么 只 发 送 一 条 警 报 至 分 析 师 的 处 理 安 排 表 中 。 7 ） 保 持 更 新 。 复 查 以 前 的 警 报 ， 不 断 吸 取 教 训 ， 更 好 地 制 定 报 警 规 则 。 警 报 复 查 能 够 让 你 明 白 如 何 调 整 、 改 善 现 有 规 则 。 如 今 的 网 络 威 胁 十 分 复 杂 ， 降 低 误 报 率 需 要 智 能 化 、 有 针 对 性 的 警 报 逻 辑 来 提 取 重 要 事 件 。 因 此 持 续 调 整 这 种 逻 辑 非 常 重 要 。 虽 然 虚 假 警 报 在 网 络 安 全 操 作 中 总 是 会 存 在 ， 但 通 过 遵 循 以 上 7 条 好 习 惯 ， 降 低 虚 假 警 报 的 数 量 还 是 有 可 能 的 。 以 下 是 描 述 这 以 下 是 描 述 这 7 个 习 惯 的 汉 化 版 信 息 图 。 个 习 惯 的 汉 化 版 信 息 图 。
* 本 文 原 创 作 者 ： C a r r i e _ s p i n f o ， 转 载 请 注 明 来 自 F r e e B u f （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理