Выбор ответа Senior Логирование, реагирование и ПДн обновлено
Усталость от алертов
Вопрос
SOC получает 2000 алертов в день, и реальную атаку пропустили среди шума. Что стоит сделать в первую очередь?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Пересмотреть правила: шумные убрать, у каждого алерта владелец, приоритет и инструкция. Алерт без действия тренирует людей игнорировать алерты.
Варианты ответа
- Пересмотреть правила: шумные убрать, у каждого алерта владелец, приоритет и инструкцияправильный ответ
- Нанять больше аналитиков и ввести круглосуточные смены, чтобы разбирать каждый алерт
- Оставить только алерты по уязвимостям с CVSS выше 9, остальные отключить совсем
- Отправлять алерты сразу разработчикам сервисов, они лучше понимают, что важно
Разбор
Алерт без действия тренирует людей игнорировать алерты. Качество правил важнее количества: точные условия, корреляция событий, контекст. Найм не решает проблему шума, CVSS к алертам не относится, а перекладывание на разработчиков только распределяет шум.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.