Come distinguiamo un incidente reale da un falso allarme?

Confrontando l'alert con ciò che sa, rapidamente e ogni volta nello stesso ordine. Si ponga quattro domande: il dispositivo e il suo titolare sono noti, c'è un motivo di lavoro per questo comportamento, la destinazione o l'account sono familiari, ed è successo qualcos'altro di insolito sullo stesso host o nello stesso momento? Un backup, un aggiornamento software o un amministratore che lavora fino a tardi spiegano molti alert in pochi minuti. Ciò che nessuno sa spiegare, che riguarda più host o che segue un altro alert merita un'escalation. Annoti che cosa ha verificato, anche quando era innocuo, così la persona successiva non riparte da zero. NetSenX spiega in ogni alert quali caratteristiche del traffico lo hanno determinato, indica la tecnica MITRE ATT&CK quando ce n'è una e Le permette di segnare un falso positivo, con la decisione conservata nel log di audit.

← Tutte le 60 domande su Risposta agli incidentiTutti i temi