この記事では、XOps ストーリー疲労を軽減するためミュート可能なストーリーを特定するための推奨事項を提供します。
概要
XOpsは、ストーリーワークベンチを通じてセキュリティイベントに対する高度な可視性と制御を提供します。 ただし、過剰または反復的なアラートは、セキュリティチームを混乱させ、真の脅威を覆い隠すことがあります。これはアラート疲労として知られています。 アナリストが低価値または冗長な通知を含む大量のストーリーに直面すると、即時の対応が必要な重大な事件を見落とすリスクがあります。
この記事の推奨事項は、ストーリー生成を不要とするストーリーを特定し、アラート管理を効率化する ミュートストーリー ルールを作成します。 これにより、組織は高優先度のストーリーに集中し、不要なノイズを減らすことができます。
この変更の影響を、アラートボリュームの比較、アナリストのワークロードレビュー、重大な検出がミュートされていないことの確認により確認し、アラート削減がセキュリティの可視性を犠牲にすることなく効率を向上させることを保証してください。
ミュートするストーリーの特定
これは、ストーリー疲労を軽減するためにミュート可能なストーリーのいくつかの例です。 これらのベストプラクティスは、Catoの経験に基づいて推奨されています。 ただし、これらは必須ではなく、トリアージプロセスに関連性のないストーリーはミュートできます。
ゲストネットワークから発信されたストーリー
ゲストネットワークは、訪問者や一時的なアクセスのために設計された通常隔離された環境です。 これらのネットワーク上のアクティビティは、日常的なブラウジング、更新、あるいは低レベルの脅威行動に似ている正当な外部通信を含むことがよくあります。 ゲストネットワークから生成されたストーリーをフィルタリングまたはミュートすることで、管理された企業環境への可視性を損なうことなく、ストーリーの数を減らすことができます。
ゲストネットワークから発信されたストーリーをミュートするには、ミュートストーリー ルールを作成し、ソースをゲストネットワークのIP範囲に設定します。
管理外のモバイルデバイスから発信されたストーリー
従業員所有のスマートフォンやタブレットなどの管理されていないデバイスは、企業のセキュリティツールによって中央管理されておらず、監視されていません。 これらのエンドポイントは、組織のセキュリティベースラインの範囲外で動作するため、異常に見えるストーリーを生成する可能性があります。 このようなデバイスからのストーリーを特定し抑制することで、アナリストは管理された高価値資産に関連付けられたストーリーに集中することができます。
管理外のモバイルデバイスから発信されたストーリーをミュートするには、ミュートストーリー ルールを作成し、デバイスをiOSとAndroidに設定します。
ペネトレーションテストやセキュリティアセスメントツールによってトリガーされたストーリー
セキュリティテストプラットフォームや内部のレッドチームツールは、システムのレジリエンスを検証するために攻撃をシミュレートすることがよくあります。 これらのアクションは、分析ビューを混乱させる予測可能で反復的なストーリーを生成することがあります。 スケジュールされたテストに関連するストーリーを認識しミュートすることで、チームは誤検知を防ぎつつ、現実の脅威活動を監督することができます。
ペネトレーションテストやセキュリティアセスメントツールによってトリガーされたストーリーをミュートするには、ミュートストーリー ルールを作成し、ソースをテストを実行するユーザーまたはネットワーク内のセキュリティスキャナーのIPに設定します。
影響の測定
1か月後に、ミュートルールの効果および全体的なアラート調整プロセスをレビューし、ストーリーボリュームが減少したことを確認してください。しかし、重要な脅威に対する可視性を損なわないことを確認します。 この検証をサポートするために、ストーリーミュートルールに有効期限を設定できます。 ルールは定義された期間内でのみ適用され、あまりにも広範でないことや重要なアラートを意図せず抑制していないことを確認するのに役立ちます。 その精度に自信が持てたら、ルールの有効期限を延長するか、調整ワークフローの一部として恒久化することができます。
総ストーリー数とミュートストーリー数の比較
ミュートルールを実装する前後に生成されたストーリーの総数を追跡します。 低リスクまたは反復的なストーリーの大幅な減少は、フィルターが意図した通りに動作していることを示します。 このデータは、アラート削減と可視性のバランスを維持するために追加の微調整が必要な領域を強調することもできます。
アナリストのワークロードとストーリートリアージ時間のレビュー
管理者またはアナリストが新しいストーリーの調査に費やす時間を評価します。 トリアージ時間の目立った減少は、誤検知が少なくなっていることを示し、チームが実際の事件に注力できるようになります。 これらの改善は、直接的に迅速な対応時間と全体的な運用効率の向上をもたらすことができます。
ミュートルール基準の精緻化または拡張
結果に基づいて、特定のミュートルールを拡張することができるか、または縮小する必要があるかを判断します。 しきい値またはエンティティの範囲を調整して、アラートカバレッジの最適化を継続して確保します。 この反復的なアプローチにより、騒音を減らしつつ強力なセキュリティ姿勢を維持する持続可能なフレームワークを構築します。