Mamy za dużo fałszywych alarmów. Jak stroić, nie przegapiając prawdziwych ataków?

Strój wąsko i prowadź zapis: wykluczaj konkretną znaną aktywność na konkretnym hoście, nigdy cały typ alertu w całej sieci. Zacznij od alertów, które powtarzają się najczęściej. Dla każdego potwierdź przyczynę, na przykład serwer kopii zapasowych, który co noc kopiuje dane do macierzy, i oznacz właśnie to zachowanie jako oczekiwane, najlepiej z hostem, celem i oknem czasowym. Resztę wykrywania zostaw bez zmian, aby ten sam wzorzec z dowolnego innego hosta nadal alarmował. Zapisz, kto zdecydował i dlaczego, i co kilka miesięcy przeglądaj wykluczenia, bo zapomniany wyjątek to miejsce, w którym napastnik może się schować. Po strojeniu testuj: uruchom nieszkodliwe skanowanie lub testowe połączenie i sprawdź, czy nadal powstaje alert. W NetSenX fałszywe alarmy oznacza się bezpośrednio na alertach, każda decyzja trafia do dziennika audytu, a ograniczenie fałszywych alarmów jest pokazywane dopiero wtedy, gdy pozwolą na to Twoje oznaczone dane.

← Wszystkie pytania (25): Budżet, ludzie i szum alertówWszystkie tematy