Ataskaitos
SOC ataskaita nėra administracinė našta. Tai dokumentas, įrodantis, kad funkcija veikia, ir pirmas dalykas, kurį perskaitys priežiūros patikrinimas. Šiame skyriuje pateikiama struktūra, rodikliai su apibrėžtimis ir ta drausmė, dėl kurios ataskaita išeina tą pačią dieną kiekvieną mėnesį.
Struktūra
Sudėta iš kelių kartų realiai naudotų šablonų. Išlaikykite tą pačią numeraciją kas mėnesį; periodinės ataskaitos vertė kyla iš to, kad ją galima palyginti su ankstesne.
Žodynėlis yra laikantysis elementas
Įvykis, aptikimas, įspėjimas ir incidentas nėra sinonimai, ir jeigu ataskaita jų neapibrėžia, kiekvienas joje esantis skaičius yra ginčytinas. Apibrėžkite juos vieną kartą, pačioje ataskaitoje, ir niekada nekeiskite apibrėžties metų viduryje neįrašę to į pakeitimų istoriją.
Rodiklių katalogas
Čia pateiktos siektinos reikšmės yra tos, kurios figūruoja realiose paslaugų specifikacijose. Laikykite jas derybų pradžios pozicija. Svarbiau už patį skaičių yra tai, kad apibrėžtis ir matavimo būdas būtų sutarti dar prieš pirmą ataskaitą pagal juos.
| Rodiklis | Apibrėžtis | Matavimo vienetas | Kodėl svarbu | Siektina reikšmė |
|---|---|---|---|---|
| SOC platformų pasiekiamumas | Laiko dalis, kurią veikia pačios SOC platformos; matuojama infrastruktūros stebėsenos priemonėmis. | % per mėnesį | Neveikianti platforma neaptinka nieko. Tai pamatas po visais kitais rodikliais. | 99,5 % |
| Jutiklių ir duomenų rinkėjų pasiekiamumas | Laiko dalis, kurią pasiekiami visi jutikliai, ir dalis, kurią pasiekiami duomenų rinkėjai. | % (du atskiri matavimai) | Tylintys rinkėjai palieka nematomas aklas zonas, kurios ataskaitoje atrodo kaip „ramus mėnuo“. | 99 % / 99 % |
| Duomenų surinkimo vėlinimas | Minutės nuo įvykio iki pirminio apdorojimo; matuojama kaip skirtumas tarp įrašymo į saugyklą laiko ir žurnalų šaltinio laiko. | minutės | Vėlinimas yra griežta pasiekiamo aptikimo greičio riba. Geresni analitikai jos neperlipa. | 1 minutė |
| Rodiklis | Apibrėžtis | Matavimo vienetas | Kodėl svarbu | Siektina reikšmė |
|---|---|---|---|---|
| Atakų technikų sistemos aprėptis | Atakų technikų sistemos dalis, padengta koreliacijos taisyklėmis. | % sistemos | Vienintelis struktūrinis atsakymas į klausimą „ką iš tikrųjų gebame aptikti?“, ir būtent jo prašo vertintojas. | Nusistatykite kryptį, o ne skaičių |
| Stebėsenos aprėptis | Stebimų įrenginių dalis pagal kategorijas; matuojama sugretinant turto ir pažeidžiamumų duomenis su tuo, ką SIEM iš tikrųjų mato. | % įrenginių | Aprėpties spragos yra dažniausia pavienė nepastebėtų incidentų priežastis. | 100 % |
| Rodiklis | Apibrėžtis | Matavimo vienetas | Kodėl svarbu | Siektina reikšmė |
|---|---|---|---|---|
| Tikrų ir netikrų pavojų santykis | Tikrų ir netikrų pavojų santykis visoje aptikimo taisyklių bibliotekoje. | % | Tiesioginis aptikimo kokybės matas ir matas, kiek analitikų laiko sudeginama. | Gerėjanti tendencija, peržiūrima kas savaitę |
| Netikrų pavojų dalis pagal panaudojimo atvejį | Klaidingų suveikimų dalis, matuojama kiekvienai aptikimo taisyklei atskirai, o ne bendrai. | % vienam panaudojimo atvejui | Leidžia derinti tikslingai. Bendras skaičius pasako, kad triukšmo yra, bet ne iš kur jis sklinda. | Riba kiekvienai taisyklei; viršijus, derinti arba išjungti |
| Naujai įdiegtos aptikimo taisyklės | Per savaitę į gamybinę aplinką perkeltų aptikimo taisyklių skaičius; sekama per pakeitimų prašymus. | taisyklės per savaitę | Įrodymas, kad vyksta aptikimo inžinerija, o ne vien stebėsena. | 1 per savaitę |
| Įvykiai, uždaryti neužregistravus incidento | Dalis įvykių, patvirtinamų ir uždaromų su komentaru, neužregistravus ir netiriant incidento. | % | Apsauga nuo įpročio konsolėje spustelėti ir išvalyti. Augantis skaičius yra įspėjimas, o ne efektyvumo ženklas. | Žemiau sutartos ribos, peržiūrima kas savaitę |
| Aptikimo darbų eilė ir jos senumas | Aptikimo ir automatizavimo darbų eilė ir kiek laiko jie laukia. | kiekis ir dienos | Parodo, ar auga derinimo skola. Nekintanti eilė su senstančiais darbais yra blogiau nei auganti. | Senumo riba pagal prioritetą |
| Rodiklis | Apibrėžtis | Matavimo vienetas | Kodėl svarbu | Siektina reikšmė |
|---|---|---|---|---|
| MTTD: vidutinis aptikimo laikas | Nuo įvykio pradžios iki pirmo patvirtinto įspėjimo. | laikas | Pagrindinis aptikimo gebos rodiklis. Daugumoje klientams skirtų ataskaitų šablonų jo įtartinai nėra. | Mažėjanti tendencija; nurodykite matavimo pagrindą |
| MTTA: vidutinis įspėjimo perėmimo laikas | Vidutinis laikas nuo įspėjimo iki analitiko veiksmų pradžios. | laikas | Rodo, ar įspėjimai apskritai paimami į darbą, o tai nėra tas pats, kas juos išspręsti. | Iki 15 minučių |
| Reagavimo į incidentą laikas | Laikas nuo incidento užregistravimo iki priskyrimo konkrečiam atsakingam darbuotojui. | minutės | Sutartinis pažadas paslaugos gavėjui, būtent jo iš jūsų ir bus pareikalauta. | Iki 60 minučių |
| MTTR: vidutinis reagavimo laikas | Nuo incidento patvirtinimo iki suvaldymo ir atkūrimo. | laikas | Atskiria reagavimo rezultatus nuo aptikimo rezultatų. Sujungus juos į vieną skaičių, nesimato, kuri pusė šlubuoja. | Pagal sunkumo lygį, pvz., iki 4 valandų kritiniams |
| Problemos pašalinimo laikas | Laikas nuo užregistravimo iki pagrindinės priežasties pašalinimo ir aplinkos grąžinimo į pradinę būklę. | valandos / dienos | Atskiria suvaldymą nuo tikro išsprendimo. Suvaldymas sustabdo kraujavimą, o tai užgydo žaizdą. | Mažėjanti tendencija |
| Incidentai, uždaryti laikantis įsipareigojimų | Dalis incidentų, išspręstų nepažeidžiant sutartų reagavimo įsipareigojimų. | % | Skaičius, nuo kurio prasideda kiekviena paslaugos peržiūra. | Daugiau nei 95 % |
| Pranešimų pateikimas laiku | Dalis praneštinų incidentų, apie kuriuos institucija informuota per teisės aktuose nustatytą terminą. | % | Priimtina tik viena reikšmė. Praleistas terminas čia yra priežiūros institucijos pažeidimas, o ne rodiklio svyravimas. | 100 % |
| Rodiklis | Apibrėžtis | Matavimo vienetas | Kodėl svarbu | Siektina reikšmė |
|---|---|---|---|---|
| Pamokų įgyvendinimo greitis | Laikas nuo incidento iki prevencinio patobulinimo sukūrimo ir įdiegimo. | dienos | Rodiklis, įrodantis, kad poincidentinės peržiūros apskritai ką nors keičia. | Sutarta riba pagal veiksmo prioritetą |
| Organizacijai grąžintos valandos | Atlikto darbo kiekis, padaugintas iš normatyvinės trukmės, kurią kiekvienam darbui būtų sugaišę pačios organizacijos darbuotojai. | valandos per mėnesį (ir etatų ekvivalentas) | Paverčia SOC veiklą išvengtu darbo krūviu. Būtent šis argumentas išgyvena biudžeto svarstymą. | Lygis ir mėnesio pokyčio tendencija |
| Incidentų pasiskirstymas pagal sunkumą ir būseną | Užregistruoti incidentai pagal sunkumo lygį ir pagal būseną (išspręsti / atidėti / atviri), su sukauptu neišspręstų skaičiumi nuo paslaugos pradžios. | kiekiai | Svarbiausias yra sukauptas stulpelis. Jis neleidžia vieno gero mėnesio priedanga paslėpti senstančios darbų eilės. | Sukauptas atvirų ir atidėtų skaičius, artėjantis prie nulio |
Rodiklis, kurio dauguma SOC tyliai vengia
Vidutinis aptikimo laikas matuoja tikrąjį SOC gebėjimą, ir jo įtartinai nėra daugumoje klientams skirtų ataskaitų šablonų, nes jam reikia apginamos „įvykio pradžios“ laiko žymos, o tai sunku. Vis tiek jį pateikite. Išmatuotas, netobulas MTTD vertesnis už nepriekaištingą MTTR, slepiantį, kiek laiko priešininkas jau buvo viduje.
Reagavimą ir aptikimą pateikite atskirai
Sujungus aptikimą ir reagavimą į vieną skaičių, nesimato, kuri pusė šlubuoja. SOC, kuris suvaldo per dvidešimt minučių, bet aptinka per devynias dienas, neturi gero MTTR; jis turi matomumo problemą, prisidengusią reagavimo rodikliu.
Auditorijos
Tie patys duomenys, tik supjaustyti kitaip. Valdyba, kuriai pakišama aptikimo taisyklių derinimo lentelė, nustos skaityti ataskaitą apskritai, o paskui nustos skaityti ir tą, kuri iš tikrųjų buvo svarbi.
| Auditorija | Ritmas | Ką jiems reikia matyti |
|---|---|---|
| Paslaugos gavėjai / sistemų savininkai | Kas mėnesį | Reagavimo laikai, juos palietę incidentai, naujos aptikimo taisyklės, pastebėjimai, dėl kurių veikti turi jie patys |
| SOC veiklos peržiūra | Kas ketvirtį | Platformų pasiekiamumas, aprėptis, vėlinimas, tikrų ir netikrų pavojų santykis, technikų sistemos aprėptis, įvykiai, uždaryti neužregistravus incidento |
| Kibernetinio saugumo vadovas / CISO | Kas ketvirtį | Aptikimo kokybė, aprėptis, įgytos kompetencijos ir baigti mokymai, eskalavimo kokybė |
| Aukščiausioji vadovybė | Kasmet (ir po didelių incidentų) | Reagavimo laikai, incidentų pasiskirstymas, aprėptis, komanda ir kompetencijos, sukurta vertė, prisiimtos rizikos |
| Priežiūros institucija | Teisės aktų nustatytais atvejais | Pranešimai apie kibernetinius incidentus, tyrimų ataskaitos, mėnesiniai apibendrinti nereikšmingų incidentų skaičiai |
Trys dalykai: kas pasikeitė mūsų rizikos lygyje, ką dėl to padarėme ir ko prašome. Prie kiekvieno skaičiaus reikia sakinio, pasakančio, ar tai gerai.
Aptikimo kokybė, aprėpties pokytis, darbų eilės senumas ir rizikos, kurias nešate todėl, kad rekomendacija nebuvo priimta.
Tik tai, kas susiję su jų sistemomis, ir tik tai, dėl ko jie gali imtis veiksmų. Kas mėnesį siunčiamas pastebėjimas, dėl kurio nieko negalima padaryti, išmoko žmones ataskaitą ignoruoti.