IntelligentProcessLifecycle

O Ciclo de Vida Inteligente de Processos dos Defensores Cibernéticos Ativos

Descrição

Este GitHub hospeda os arquivos relacionados ao pôster de categorias de falsos positivos e erros em serviços de operações de segurança. O objetivo é definir um padrão de relatório de código aberto para relatórios de Centros de Operações de Segurança. Os KPIs aqui publicados são focados na criação de estatísticas relevantes para a melhoria contínua das tarefas operacionais de defesa cibernética.

Esta informação foi apresentada pela primeira vez na FIRST 2020 em conjunto com Eireann Leverett(que contribuiu com sua experiência em relação à gestão de risco). O vídeo está disponível aqui: https://www.youtube.com/watch?v=pR02cZlPakU O artigo revisado por pares criado para este conteúdo pode ser encontrado aqui: https://dl.acm.org/doi/10.1145/3499427

A gravação da palestra que dei no SwissCyberStorm 2021 sobre a taxonomia para monitoramento de integridade, bem como o monitoramento de conformidade de configuração, pode ser encontrada aqui: https://www.youtube.com/watch?v=ra4LZouxIyk

A gravação da palestra que dei na Area41 2022 sobre os problemas no gerenciamento de vulnerabilidades pode ser encontrada aqui: https://www.youtube.com/watch?v=qdgY6aAfUAk

Visão Geral Rápida

Disciplina:	Monitoramento de Segurança	Anomalias de Configuração	Gerenciamento de Vulnerabilidades
Validação por:	Casos de uso de SIEM, Logs de EDR/AV, IDS/IPS, Logs de NDR	Monitoramento de Integridade, Monitoramento de Configuração de Conformidade	Varreduras de Vulnerabilidades, Verificação de Patches
Artigo publicado:	Versão revisada por pares	Artigo autopublicado	Artigo revisado por pares
Link da apresentação:	Hack.Lu 2019 Youtube	SwissCyberStorm 2021 Youtube	Area41 2022 Youtube
Slides:	Hack.Lu 2019 Slides	SwissCyberStorm 2021 Slides	Area41 Slides
Arquivo JSON de Taxonomia:	Arquivo JSON MISP Monitoramento de Segurança	Arquivo JSON MISP Monitoramento de Integridade e Conformidade	Arquivo JSON MISP Gerenciamento de Vulnerabilidades & Arquivo JSON MISP Falhas de Detecção

Métricas de Melhoria Contínua para monitoramento de integridade ou conformidade técnica de segurança

As seguintes sugestões de métricas correlacionam-se melhor com valores para a equipe responsável pelo sistema ou tipo de sistemas de origem. Os valores-alvo são em comparação com o número total de eventos gerados por este serviço por unidade de tempo (mês, semana, trimestre, etc.).

KPI	Explicação	Valor-Alvo	Responsável	Tipo de Risco	Impacto no Negócio	Exemplo Motivador
Número de 'violações legítimas autorizadas por mudança'	Este valor reflete eventos que normalmente são falsos positivos clássicos, onde todos os processos oficiais de mudança foram seguidos corretamente, mas o SOC não foi incluído no processo e, portanto, não pôde prevenir o falso alarme	< 10 %	Compliance	Endógeno	Risco de Governança	Mudança oficialmente aprovada no Apache altera o formato da configuração, e as ferramentas de detecção alertam sobre a mudança.
Número de 'erros de configuração na linha de base'	Este valor reflete quais configurações de sistema (ou até mesmo modelos de configuração) precisam de melhorias.	< 10 %	Compliance/Operacional	Endógeno	Risco de Gerenciamento de Mudanças e Conformidade	As linhas de base para modelos de configuração foram obtidas do desenvolvimento em vez de sistemas de produção.
Número de 'limitações em produtos de verificação' encontradas	Se muitos desses eventos forem criados por configurações, a ferramenta causadora deve ser questionada.	< 5 %	Compliance/Operacional	Endógeno	Risco Operacional do SOC	As regras do Snort não podem ser definidas com escopo restrito o suficiente para detectar a mudança de nosso interesse, mas se receberem um escopo mais amplo, produzem falsos positivos.
Número de 'atividades sem necessidade de mudança'	Parece haver uma incompatibilidade entre o escopo de segurança definido e o escopo de segurança verificado. As lacunas devem ser verificadas	< 5 %	Política	Endógeno	Incompatibilidade entre política e operação levando à sobrecarga do SOC	O administrador de sistemas limpa os arquivos de log para economizar espaço, o que não precisa de aprovação, mas gera um alerta no SOC.
Número de 'mudanças não autorizadas sem causa legítima'	Números muito altos → A integração dos processos de segurança e TI precisa ser retrabalhada; Números muito baixos → As configurações não estão detectando ou você está seguro	depende :)	Política	Endógeno	Possível intrusão/Priorizar investigação	O servidor IIS adicionou um usuário e o administrador nega conhecimento do evento.
Número de mudanças sem documentação formal	O número de violações legítimas com documentação de mudança ausente destaca onde o SOC não teve chance de automatizar alertas falsos, bem como onde os funcionários não estão cumprindo os processos formais.	<5%	Política/Compliance	Endógeno	Risco de Administração de Shadow IT	O administrador de sistemas altera a configuração do servidor Apache sem documentação formal de gerenciamento de mudanças (mas ela teria sido aprovada).