Co powinien zawierać każdy alert bezpieczeństwa?

Tyle, by dało się działać bez śledztwa: który host i jakie konto, co zaobserwowano, kiedy się zaczęło, dlaczego to nietypowe dla tego hosta, jak pewne jest narzędzie i co sprawdzić dalej. Dobry alert mówi też, gdzie są dowody, na przykład których połączeń dotyczy, by czytelnik mógł to potwierdzić, i które inne alerty należą do tej samej historii. Alert, który podaje tylko nazwę reguły lub wynik, odsyła analityka z powrotem do surowych danych, a w małym zespole oznacza to zwykle, że zostanie zignorowany. Oceniając narzędzie, poproś o trzy prawdziwe alerty i daj je osobie, która czytałaby je o 8:00: czy w pięć minut zdecyduje, czy eskalować? Każdy alert NetSenX w każdym planie zawiera wyjaśnienie prostym językiem, dlaczego powstał i jakie cechy ruchu wpłynęły na jego wynik, a dziennik audytu zachowuje, co z nim zrobiono i kto.

← Wszystkie pytania (25): Budżet, ludzie i szum alertówWszystkie tematy