IntelligentProcessLifecycle

Il ciclo di vita intelligente del processo dei difensori informatici attivi

Descrizione

Questa repository GitHub ospita i file relativi al poster delle categorie di falsi positivi ed errori nei servizi di security operation. L'obiettivo è definire uno standard di reporting open source per i report dei Security Operation Center. I KPI qui pubblicati sono focalizzati sulla creazione di statistiche rilevanti per il miglioramento continuo delle attività operative di cyber difesa.

Queste informazioni sono state presentate per la prima volta al FIRST 2020 insieme a Eireann Leverett(che ha apportato la sua esperienza in materia di gestione del rischio); il video è disponibile qui: https://www.youtube.com/watch?v=pR02cZlPakU L'articolo sottoposto a revisione paritaria creato per questo contenuto può essere trovato qui: https://dl.acm.org/doi/10.1145/3499427

La registrazione dell'intervento che ho tenuto a SwissCyberStorm 2021 sulla tassonomia per l'integrità e il monitoraggio della configurazione di conformità può essere trovata qui: https://www.youtube.com/watch?v=ra4LZouxIyk

La registrazione dell'intervento che ho tenuto ad Area41 2022 sui problemi nella gestione delle vulnerabilità può essere trovata qui: https://www.youtube.com/watch?v=qdgY6aAfUAk

Panoramica rapida

Disciplina:	Monitoraggio della Sicurezza	Anomalie di Configurazione	Gestione delle Vulnerabilità
Validazione tramite:	Casi d'uso SIEM, log EDR/AV, IDS/IPS, log NDR	Monitoraggio dell'integrità, monitoraggio della configurazione di conformità	Scan delle vulnerabilità, verifica delle patch
Articolo pubblicato:	Versione sottoposta a revisione paritaria	Articolo autopubblicato	Articolo sottoposto a revisione paritaria
Link alla presentazione:	Hack.Lu 2019 Youtube	SwissCyberStorm 2021 Youtube	Area41 2022 Youtube
Slide:	Slide Hack.Lu 2019	Slide SwissCyberStorm 2021	Slide Area41
File JSON della tassonomia:	File JSON MISP Security Monitoring	File JSON MISP per il monitoraggio di integrità e conformità	File JSON MISP per la gestione delle vulnerabilità & file JSON MISP per i guasti di rilevamento

Metriche di miglioramento continuo per il monitoraggio dell'integrità o della conformità di sicurezza tecnica

Le seguenti metriche suggerite sono maggiormente correlate ai valori del team responsabile del sistema o al tipo di sistemi sorgente. I valori target sono in confronto al numero totale di eventi generati da questo servizio per unità di tempo (mese, settimana, trimestre, ecc.).

KPI	Spiegazione	Valore target	Owner	Tipo di rischio	Impatto sul business	Esempio illustrativo
Numero di 'violazioni legittime autorizzate da change'	Questo valore riflette eventi che di solito sono classici falsi positivi, in cui tutti i processi di change ufficiali sono stati seguiti correttamente ma il SOC non è stato incluso nel processo e quindi non ha potuto prevenire il falso allarme	< 10 %	Compliance	Endogeno	Rischio di governance	Una modifica approvata ufficialmente ad Apache cambia il formato di configurazione e gli strumenti di rilevamento generano un alert sulla modifica.
Numero di 'errori di configurazione nella baseline'	Questo valore riflette quali configurazioni di sistema (o persino modelli di configurazione) necessitano di miglioramento.	< 10 %	Compliance/Operational	Endogeno	Rischio di gestione delle modifiche e della conformità	Le baseline per i modelli di configurazione sono state tratte dagli ambienti di sviluppo invece che da quelli di produzione.
Numero di 'limitazioni nei prodotti di verifica' riscontrate	Se troppi di questi eventi vengono generati dalle configurazioni, lo strumento che li causa dovrebbe essere messo in discussione.	< 5 %	Compliance/Operational	Endogeno	Rischio operativo del SOC	Le regole Snort non possono essere limitate con precisione per rilevare il cambiamento che ci interessa, ma se hanno uno scope più ampio producono falsi positivi.
Numero di 'attività senza necessità di change'	Sembra esserci una discrepanza tra lo scope di sicurezza definito e quello verificato. Le lacune dovrebbero essere verificate.	< 5 %	Policy	Endogeno	Disallineamento policy-operatività che porta a un SOC sovraccarico	Il sysadmin pulisce i file di log per risparmiare spazio, il che non richiede approvazione, ma genera un alert nel SOC.
Numero di 'modifiche non autorizzate senza causa legittima'	Numeri molto alti → L'integrazione tra processo di sicurezza e processo IT richiede una rielaborazione; Numeri molto bassi → Le configurazioni non rilevano oppure siete al sicuro	dipende :)	Policy	Endogeno	Potenziale intrusione/Prioritizzare l'indagine	Un server IIS ha aggiunto un utente e l'amministratore nega di essere a conoscenza dell'evento.
Numero di modifiche senza documentazione formale	Il numero di violazioni legittime con documentazione di change mancante evidenzia sia i casi in cui il SOC non ha avuto possibilità di automatizzare i falsi allarmi, sia i casi in cui i dipendenti non rispettano i processi formali.	<5%	Policy/Compliance	Endogeno	Rischio di amministrazione Shadow IT	Un sysadmin modifica la configurazione del server Apache senza documentazione formale di change management (anche se sarebbe stata approvata).