הפוסט שמנהל ה-SOC שלכם לא יכתוב

אתם כבר לא אנליסטי SOC. אתם לוחצי כפתורים.

למדתם אבטחת מידע. עברתם הסמכות. רציתם לצוד איומים, לחקור אירועים, ולהגן על הארגון. במקום זה, אתם מבלים שש שעות ביום בלחיצה על "Acknowledge" על אירועי סנכרון Active Directory שאין להם שום קשר לאבטחה.

6 דקות קריאה לאנליסטי SOC מדרגה 1 ו-2

ככה נראה לכם הדשבורד עכשיו

השעה 08:30. רק התחלתם משמרת. הנה מה שאתם רואים:

SIEM Events — Overnight Queue 347 events pending review
01:12 AD group change: Yael Cohen moved to Finance-Users Acknowledge
01:14 AD group change: Amit Levi moved to Engineering-Leads Acknowledge
01:15 Certificate expiry warning: *.internal.corp (47 days) Acknowledge
01:22 Firewall drift detected: fw-hz-02 rule 14 mismatch Acknowledge
01:23 AD group change: Noa Shapira added to VPN-Users Acknowledge
01:31 Anomalous outbound DNS: workstation-0847 → uncommon TLD Investigate
01:33 Cloud SG drift: sg-0a4f2c modified outside Terraform Acknowledge
01:41 AD group change: 3 users added to Contractors-Temp Acknowledge
... 339 more events ...

רואים את אנומליית ה-DNS ב-01:31? הנקודה האדומה היחידה בים של אפור? זה אינדיקטור איום אמיתי. זה הדבר שבשבילו גייסו אתכם לחקור.

אבל לא תגיעו אליו עוד 45 דקות. כי קודם אתם צריכים ללחוץ דרך 140 אירועי סנכרון AD, 30 התראות תעודות, ו-20 התראות firewall drift. אף אחד מהם אינו איום. כולם דורשים מכם ללחוץ כפתור כדי לנקות אותם מהתור. ה-SIEM סופר אותם כ"אירועים שטופלו." המנהל שלכם מדווח עליהם כ"פרודוקטיביות אנליסט."

אתם לא עושים triage לאיומים. אתם מבצעים טקס שגורם למספר בדשבורד לרדת. וכולם מעמידים פנים שזו אבטחת מידע.

בואו נספור איך אתם באמת מבלים את המשמרת

347
אירועים למשמרת
~210
רעש תשתיות
~137
אירועי אבטחה אמיתיים
60% מהמשמרת שלכם מוקדשים לאירועים שאינם איומים ולעולם לא יהיו.

אתם יודעים את זה. הטים-ליד שלכם יודע את זה. מנהל ה-SOC כנראה גם יודע את זה. אבל אף אחד לא אומר את זה בקול כי אירועי התשתית חייבים להיות מטופלים איפשהו, וה-SIEM הוא פלטפורמת האוטומציה היחידה שיש לארגון.

אז אתם ממשיכים ללחוץ. Acknowledge. Acknowledge. Acknowledge. לבדוק סטטוס של SOAR playbook. לוודא שהסנכרון מ-AD ל-firewall הושלם. לפתוח טיקט על זה שלא הושלם. Acknowledge. Acknowledge.

ואיפשהו באמצע כל הלחיצות האלה, האיום האמיתי חומק. לא כי אתם לא טובים בעבודה שלכם. כי העבודה שלכם הוגדרה מחדש סביבכם למשהו שהוא 60% בייביסיטינג לתשתיות.

מה אם 210 האירועים האלה פשוט... לא היו שם?

לא מושתקים. לא מסוננים ל-tab שאתם אף פעם לא בודקים. באמת מטופלים. על ידי מערכת שנבנתה ספציפית לעבד שינויי תשתית — סנכרוני AD, חידוש תעודות, תיקון firewall drift — בלי לערב את ה-SIEM שלכם או את העיניים שלכם.

זה מה ש-Cyberm8 עושה. הוא יושב ליד ה-SIEM ותופס את כל אירועי התשתית לפני שהם מגיעים לדשבורד שלכם. שינוי קבוצה ב-AD? Cyberm8 מסנכרן את ה-ACLs של ה-firewall אוטומטית. תעודה שפג תוקפה? Cyberm8 מפעיל את ה-workflow לחידוש. Firewall drift? Cyberm8 מתקן אוטומטית לקונפיגורציה המאושרת.

הדשבורד שלכם ביום 31:

SIEM Events — Overnight Queue 137 events pending review
01:31 Anomalous outbound DNS: workstation-0847 → uncommon TLD Investigate
02:05 Failed MFA escalation: 4 attempts on admin-il-03 account Investigate
02:44 Geo-anomaly: VPN login from unfamiliar ASN (Romania) Investigate
03:12 Unusual process action: powershell -enc on endpoint-1204 Investigate
... 133 more security events ...

כל אירוע בדשבורד הזה שווה את תשומת הלב שלכם. כל לחיצה מובילה לחקירה, לא ללחיצת כפתור. אתם מוצאים את ה-DNS exfiltration ב-08:45 במקום ב-09:30. אתם תופסים את ה-PowerShell המקודד לפני שהוא זז לרוחב הרשת. אתם עושים את העבודה שבשבילה באמת גייסו אתכם.

הנה הטיעון שלכם למנהל

אתם לא צריכים למכור מוצר. אתם צריכים להציג בעיה עם מספר צמוד אליה. הנה מה להגיד:

מה לומר ב-1:1 הבא שלכם

"עקבתי אחרי ה-triage שלי במשך שבועיים. מתוך ~350 אירועים למשמרת, בערך 200 הם אירועי תשתית — סנכרוני AD, חידוש תעודות, התראות drift. אף אחד מהם אינו איום. לוקח לי 3-4 שעות לנקות אותם, והם קוברים את אירועי האבטחה האמיתיים. יש פלטפורמה בשם Cyberm8 שמטפלת באירועי תשתית כ-sidecar ל-SIEM שלנו. אם נפריד את האירועים האלה, יכולת הזיהוי האפקטיבית שלנו מוכפלת בלי להוסיף headcount. אפשר לקבל כמה שעות לבדוק את זה?"

זה לא pitch של vendor. זה אנליסט שמציג נתונים על ה-workflow שלו ומציע פתרון. כל מנהל SOC שאכפת לו מ-MTTD יקשיב לזה.

מגיע לכם לעשות עבודת אבטחה אמיתית.

לא כי vendor אמר לכם. כי בדיוק לזה התאמנתם ובדיוק לזה הארגון שלכם צריך אתכם.

ראו איך הדשבורד שלכם יכול להיראות ← info@cyberm8.com — אנחנו עונים למהנדסים קודם, למנהלים אחר כך.