Valutazione SIEM/SOC

Le sue sfide

• Assicurarsi che il suo sistema di monitoraggio e rilevamento della sicurezza rilevi le minacce reali
• Come ridurre il numero di falsi positivi che fanno sì che le minacce reali vengano trascurate
• Trovare il giusto equilibrio tra sensibilità (catturare ogni possibile minaccia) e specificità (evitare i falsi allarmi)

Come la supportiamo

Il rilevamento si basa su casi d'uso per trovare anomalie rilevanti. Un caso d'uso potrebbe essere: 'avvisaci quando una grande quantità di dati viene trasferita al di fuori dell'orario di lavoro'. Queste regole hanno lo scopo di rilevare il comportamento tipico degli avversari.

I membri del Red Teaming e i pentester di Bureau Veritas Cybersecurity sanno esattamente come imitare il comportamento degli avversari. Per testare le sue capacità, i nostri esperti eseguono i casi d'uso uno per uno. Insieme al suo team o a quello del suo fornitore, i nostri esperti verificano che gli avvisi vengano attivati correttamente. Qualsiasi allarme mancante viene analizzato in dettaglio e, se possibile, viene determinata la causa principale.

Per innescare i casi d'uso, Bureau Veritas Cybersecurity simula un evento di sicurezza che si verifica all'interno della sua rete, spesso senza eseguire effettivamente l'attività che normalmente avrebbe generato l'evento. Ciò può avvenire, ad esempio, inviando firme di attacco sulla rete o eseguendo azioni sospette sui server.

Caso di studio: Il 70% dei TTP mancati

Bureau Veritas Cybersecurity ha eseguito un test SIEM/SOC presso un cliente del settore pubblico. Utilizza un fornitore di rilevamento di terze parti e ci ha contattato perché aveva la sensazione di perdere eventi e avvisi.

I nostri esperti hanno eseguito circa 10 casi d'uso di alto livello in una sessione interattiva, simulando gli eventi di sicurezza corrispondenti e decine di tattiche, tecniche e procedure (TTP).

In questo caso, i nostri esperti hanno scoperto che solo il 30% delle TTP coperte dai casi d'uso del cliente sono state effettivamente rilevate, anche se gli eventi di sicurezza correlati sono stati registrati correttamente. Molti TTP critici non sono stati rilevati, come il movimento laterale, l'AD hash dumping, l'escalation dei privilegi e la disattivazione di EDR/MDR.

Durante le sessioni di analisi, siamo stati in grado di individuare e risolvere (molti) dei problemi insieme al team SOC. Un retest ha confermato che i problemi erano stati effettivamente risolti correttamente. Le capacità di rilevamento del cliente sono state notevolmente migliorate.