Que doit contenir chaque alerte de sécurité ?

De quoi agir sans travail de détective : quel hôte et quel compte, ce qui a été observé, quand cela a commencé, pourquoi c'est inhabituel pour cet hôte, quel est le degré de confiance de l'outil et quoi vérifier ensuite. Une bonne alerte indique aussi où se trouvent les éléments de preuve, par exemple les connexions concernées, pour que le lecteur puisse la confirmer, et quelles autres alertes relèvent de la même histoire. Une alerte qui ne donne qu'un nom de règle ou un score renvoie l'analyste aux données brutes, et dans une petite équipe cela signifie le plus souvent qu'elle sera ignorée. Lorsque vous évaluez un outil, demandez trois alertes réelles et donnez-les au collègue qui les lirait à 8 heures : pourrait-il décider en cinq minutes s'il faut escalader ? Chaque alerte NetSenX comporte, dans toutes les offres, une explication en langage clair de la raison de son déclenchement et des caractéristiques réseau qui ont pesé sur son score, et le journal d'audit conserve ce qui en a été fait et par qui.

← Les 25 questions sur Budget, équipe et bruit d'alertesTous les thèmes