Hoe onderscheiden we een echt incident van vals alarm?
Door de alert snel en elke keer in dezelfde volgorde te toetsen aan wat u weet. Stel vier vragen: zijn het apparaat en de eigenaar bekend, is er een zakelijke reden voor dit gedrag, zijn de bestemming of het account vertrouwd, en is er op dezelfde host of op hetzelfde moment nog iets ongewoons gebeurd? Een back-uptaak, een software-update of een beheerder die laat werkt, verklaren veel alerts binnen enkele minuten. Wat niemand kan verklaren, meerdere hosts raakt of op een andere alert volgt, verdient escalatie. Schrijf op wat u controleerde, ook als het onschuldig was, zodat de volgende niet bij nul begint. NetSenX legt bij elke alert uit welke netwerkkenmerken de doorslag gaven, noemt de MITRE ATT&CK-techniek als die van toepassing is en laat u een vals-positief markeren, waarbij de beslissing in het auditlog wordt bewaard.
Lees verder
Gerelateerde vragen
- Hoe bepalen we hoe ernstig een incident is?
- Wie neemt de beslissingen tijdens een cyberincident?
- Wat moet de directie op de eerste dag van een cyberincident beslissen?
- Hoe communiceren we tijdens een incident als onze e-mail gecompromitteerd kan zijn?
- Waarom houden we tijdens een incident een schriftelijk logboek bij?