Abbiamo troppi falsi positivi. Come mettere a punto senza perdere attacchi reali?

Metta a punto in modo mirato e tenga traccia: escluda un'attività nota precisa su un host preciso, mai un intero tipo di avviso su tutta la rete. Cominci dagli avvisi più ricorrenti. Per ciascuno confermi la causa, per esempio il server di backup che ogni notte copia sul sistema di archiviazione, e contrassegni esattamente quel comportamento come previsto, possibilmente con host, destinazione e fascia oraria. Lasci invariato il resto del rilevamento, così che lo stesso schema da qualsiasi altro host continui a generare avvisi. Annoti chi ha deciso e perché, e riveda le esclusioni ogni pochi mesi, perché un'eccezione dimenticata è un nascondiglio per un attaccante. Dopo la messa a punto, verifichi: lanci una scansione innocua o una chiamata di prova verso l'esterno e controlli che l'avviso compaia ancora. In NetSenX i falsi positivi si contrassegnano direttamente sugli avvisi, ogni decisione resta nel registro di audit e il limite dei falsi positivi viene mostrato solo quando i Suoi dati etichettati lo sostengono.

← Tutte le 25 domande su Budget, personale e rumore degli avvisiTutti i temi