Дадено правило за откриване може да се показва като внедрено в таблото за покритие и въпреки това никога да не се задейства, когато атакуващ използва техниката, за чието прихващане е създадено.
Conifers оцени 14 652 откривания в своята клиентска база, включително правила, написани от клиенти, и откривания, управлявани от доставчици в инструменти за SIEM, крайни точки, облачни среди, идентификация, електронна поща и мрежи. Изследването установи, че 47% от откриванията в средностатистическата организация се нуждаят от внимание.
Провалите се разделят на пет групи
Логическите грешки означават, че дадено откриване работи, но няма да се задейства при използване на целевата техника поради грешни оператори, развален парсинг или условия, които никога не могат да бъдат истина. Липсващата телеметрия оставя откриването да работи спрямо източници на данни, които са спрели да подават информация, никога не са били интегрирани или са променили формата си.
Откриването може също да прави заявка към грешна таблица или индекс — такъв, който не съдържа необходимите събития — и все пак да изглежда изправно на всяко табло за управление. Дублираните откривания покриват едно и също поведение с леки вариации, увеличавайки обема на предупрежденията и работата по поддръжка, без да добавят реално покритие. Шумните откривания се задействат толкова често и с толкова ниска точност, че аналитиците се научават да ги пренебрегват.
„Основният проблем при откриването на заплахи не е, че откриванията са лошо написани. Проблемът е, че телеметрията под тях се променя, което прави откриванията остарели и неефективни, без някой да го осъзнае“, заявява Рутгер де Боер, технически директор в DTX.
Той отбелязва, че изследването „потвърждава това, което виждаме при нашите клиенти всеки ден“.
„Чрез непрекъснато тестване на откриванията в мащаб, организациите придобиват увереност в състоянието на сигурността си, докато значително намаляват ръчните усилия, изисквани от аналитиците“, добавя де Боер.
Откривания, които екипите по сигурност не могат да редактират
Според констатациите, SIEM системата представлява малка част от повърхността за откриване. Платформите за крайни точки, инструментите за облачна сигурност, доставчиците на идентичност, пощенските портали и мрежовите сензори предоставят свои собствени откривания и заедно генерират по-голямата част от това, което постъпва в опашката на аналитиците.
Екипите по сигурност не могат да виждат вътрешната логика или да я променят при откриванията, контролирани от доставчиците. Това им оставя две опции, когато едно от тези откривания е шумно, казват изследователите. Те могат да го подтиснат и да приемат наличието на сляпо петно, или да го оставят да продължи да залива опашката.
Известни заплахи без покритие
Conifers също така измери до каква степен от ландшафта на заплахите за всяка организация — идентифициран от нейните собствени разузнавателни данни за заплахи — има съответстващи откривания, търсения (hunts) или компенсираща видимост. В средния случай организациите са имали покритие за 63% от заплахите, определени като релевантни от собствените им разузнавателни данни, оставяйки повече от една трета от тезиKnown заплахи без оперативна защита.
Пролуката идва от ръчния и бавен процес по превръщането на разузнавателните доклади, емисии от данни (feeds) и брифинги в логика за откриване и хипотези за търсене, според изследователите.
Изследователите твърдят, че затварянето на тези пропуски изисква изкуствен интелект, който се свързва директно с разузнавателните данни за заплахи и ги превръща автоматично в откривания и търсения. При този подход инженерите по откриване и специалистът по търсене на заплахи насочват стратегията и вземат решенията, докато системата управлява цикъла от разузнавателни данни към търсения, от търсения към откривания и от пропуски в покритието към корекции на телеметрията.
Измерена спрямо техниките от MITRE ATT&CK, релевантни за всяка организация на база нейния ландшафт на заплахите, технологичен стек, инструменти и контроли, средната защита възлиза на 64%. Това оставя една от три релевантни техники без надеждно откриване.
„С години индустрията измерваше силата на откриването чрез броене на правила и инструменти. Но внедреното не е същото като защитеното“, казва Том Финдлинг, главен изпълнителен директор на Conifers.
Според Финдлинг екипите по сигурност трябва да знаят „кои откривания работят, кои заплахи остават непокрити и колко бързо разузнавателните данни се превръщат в защита“.