Alarmüberflutung verlangsamt SOCs und drängt Verteidiger zu ergebnisorientierten Abläufen

Eine Führungskraft von Rapid7 argumentiert, dass das Hinzufügen weiterer Alarme zu einem Security Operations Center die Reaktionszeit tatsächlich verlangsamen kann, statt sie zu verbessern. Das Kernproblem ist, dass Angreifer zunehmend gestohlene Anmeldedaten und legitime Tools wie PowerShell verwenden, die laute, aber mehrdeutige Telemetriedaten erzeugen. Der Artikel hebt ein reales Beispiel hervor, bei dem Angreifer einen Helpdesk-Prozess manipulierten, um ein privilegiertes Cloud-Konto zurückzusetzen, und in nur wenigen Minuten Tausende von Passwörtern offenlegten. Außerdem wird darauf hingewiesen, dass Ransomware-Betreiber von initialem Zugriff bis zur Bereitstellung der Nutzlast in unter drei Stunden gelangen können. Der vorgeschlagene Ansatz ist ein ergebnisorientiertes SOC, das sich darauf konzentriert, die Zeit bis zur Aktion zu verkürzen, anstatt einfach das Alarmvolumen zu erhöhen. Das ist wichtig, weil viele Organisationen Sicherheit immer noch an der Anzahl der Dashboards statt an der Eindämmungsgeschwindigkeit messen.

Quelle: Help Net Security