Bezpečnostní týmy nepotřebují více alertů. Potřebují méně šumu.

Více alertů neznamená vyšší bezpečnost

Moderní bezpečnostní infrastruktura se skládá z celé řady specializovaných nástrojů. Firewally, EDR platformy, SIEM systémy, cloudové bezpečnostní služby nebo nástroje pro správu identit nepřetržitě monitorují prostředí a upozorňují na podezřelé události.

Každý z těchto systémů plní důležitou roli. Současně však každý generuje vlastní upozornění, často bez širšího kontextu. Výsledkem jsou stovky až tisíce alertů denně. Mnohé představují falešně pozitivní nálezy, jiné upozorňují na běžné provozní události a některé pouze opakují informace, které už byly zaznamenány jiným bezpečnostním nástrojem. Bezpečnostní analytici tak paradoxně tráví značnou část pracovní doby tříděním upozornění místo vyšetřování skutečných incidentů.

Právě tento stav bývá označován jako alert fatigue – situace, kdy množství upozornění převýší schopnost týmu efektivně rozpoznat ta opravdu důležitá.

Problémem není nedostatek dat

Při diskusích o kybernetické bezpečnosti se často hovoří o potřebě získávat více dat. Ve skutečnosti ale většina organizací netrpí jejich nedostatkem. Síťové prvky, servery, koncové stanice, cloudové služby i bezpečnostní nástroje produkují obrovské množství informací. Problém spočívá v tom, že jednotlivé události jsou často posuzovány izolovaně.

Samostatně může být přihlášení administrátora, komunikace mezi dvěma servery nebo zvýšený objem přenesených dat zcela legitimní. Teprve propojením těchto událostí vzniká obraz, který může signalizovat probíhající útok. Rozhodující proto není množství dat, ale schopnost pochopit jejich souvislosti.

Od alertů ke kontextu

Moderní bezpečnostní přístup se proto postupně posouvá od prostého generování upozornění k poskytování kontextu. Bezpečnostní tým nepotřebuje vědět o každé jednotlivé události. Potřebuje co nejrychleji zjistit, které aktivity spolu souvisejí, jaké představují riziko a zda vyžadují okamžitou reakci.

Zde získávají stále větší význam síťová observabilita a technologie Network Detection and Response (NDR). Na rozdíl od nástrojů zaměřených na jednotlivé koncové body nebo konkrétní aplikace poskytují přehled o komunikaci napříč celou infrastrukturou. Díky tomu dokážou odhalovat anomálie, laterální pohyb útočníků, neobvyklou komunikaci mezi systémy nebo pokusy o exfiltraci dat v širším kontextu celé sítě.

Progress Flowmon pomáhá oddělit důležité od nepodstatného

Progress Flowmon pomáhá bezpečnostním týmům řešit právě tento problém. Místo generování dalších upozornění se zaměřuje na jejich kontext a vzájemné souvislosti. Kombinací síťové observability, behaviorální analýzy, strojového učení a umělé inteligence pomáhá odhalovat incidenty, které by při posuzování jednotlivých alertů mohly zůstat skryté.

Bezpečnostní analytici tak nemusí začínat každou investigaci od nuly. Získávají ucelený pohled na průběh incidentu, mohou rychleji určit jeho prioritu a soustředit se na události, které skutečně představují riziko.

Umělá inteligence jako pomocník, nikoliv náhrada

S rostoucím objemem síťového provozu roste také význam umělé inteligence při analýze bezpečnostních událostí. Její úloha však nespočívá v nahrazení bezpečnostních analytiků. Mnohem větší přínos představuje schopnost rychle zpracovat rozsáhlé množství dat, identifikovat souvislosti mezi jednotlivými událostmi a upozornit na incidenty, které skutečně vyžadují pozornost.

Lidské rozhodování tak zůstává klíčové. AI pomáhá především odstranit rutinní práci, omezit množství šumu a zkrátit dobu potřebnou k vyšetření bezpečnostního incidentu.

Cílem není více upozornění, ale lepší rozhodování

Moderní SOC dnes nestojí před otázkou, jak získat více dat. Těch má k dispozici více než kdy dříve. Skutečnou výzvou je proměnit nepřehledné množství bezpečnostních událostí v informace, které umožní rychle a správně rozhodnout. Právě schopnost odlišit důležité od nepodstatného bude v následujících letech jedním z hlavních faktorů, které rozhodnou o úspěšnosti bezpečnostních týmů. Protože skutečným problémem dnešních SOC není nedostatek informací. Je jím příliš mnoho upozornění a příliš málo kontextu.