0 0

A visibilidade é sempre uma prioridade, mas é vital ao responder a um incidente . O tempo está sempre trabalhando contra os respondentes de incidentes. Examinar linhas de dados de texto e fazer conexões entre eles e a atividade suspeita sob investigação é tempo gasto para não remediar o problema, o que é um verdadeiro desperdício quando você está sob pressão para interromper um ataque.

Então, por que visualizar detecções é crucial para a resposta a incidentes? As equipes azuis, especialmente as de empresas maiores, estão sendo bombardeadas com alertas de segurança o dia todo. Qualquer coisa que ajude a diminuir essa carga considerável ajuda a direcionar recursos para uma melhor produtividade e reduzir a fadiga de alerta e o esgotamento.

Pegar dados e apresentá-los de maneira natural e intuitiva para humanos reduzirá os tempos de resposta e estimulará a ação quando uma anomalia for detectada. Além disso, reduzirá a fadiga, o que é comum para equipes de RI que estão respondendo a detecções (às vezes em turnos de 10 a 12 horas, com níveis de atenção decrescentes à medida que o dia avança). Por fim, ter um visual da detecção ajudará a facilitar a comunicação entre as equipes, algumas das quais não estão acostumadas a obter informações significativas de grandes fluxos de dados.

Como as equipes azuis podem remover a vantagem dos invasores transformando dados em visualizações?

Entenda as relações entre seus pontos de dados

Considere um conjunto de pontos de dados exclusivos. Ao entender as relações entre os pares desses pontos de dados, podemos automatizar a construção de uma árvore de relacionamentos entre todos eles. Isso inferirá relações entre pontos com muitos graus de separação.

Quando se trata de segurança cibernética, os pontos podem ser eventos(processos, logs de eventos ou detecções) e as relações entre os pontos de dados podem ser causa . Com base em nosso conhecimento de domínio, se pudermos raciocinar qual evento provavelmente causou outro(s) evento(s), podemos criar nossa árvore com base nesses relacionamentos. Isso impede que um analista tenha que inferir essas causas manualmente, o que agiliza o seguinte:

• Compreender o escopo completo da atividade do invasor
• Rastreando a árvore até a provável causa raiz

Apresente essas relações de forma intuitiva

Depois de determinar os relacionamentos de nossos pontos de dados, devemos visualizá-los. Graças a milhões de anos de evolução, o cérebro humano foi brilhantemente projetado para encontrar padrões e relacionamentos entre objetos. Ele mede características como forma, cor e tamanho antes mesmo de estarmos conscientes do que estamos percebendo. Nas palavras do psicólogo Daniel Kahneman, esse é o comportamento do “cérebro reptiliano” – a parte do cérebro humano que processa seu ambiente instintivamente.

Os defensores podem explorar essa parte do cérebro a seu favor. Por exemplo, trazendo isso de volta aos eventos de segurança, podemos:

• Representar tipos de eventos como formas diferentes
• Pinte essas formas com base em sua importância percebida
• Desenhe linhas entre eventos onde a causalidade é provável

Em suma, podemos apresentar nossos dados de uma maneira que permita que o cérebro reptiliano faça suas coisas.

Uma vez que esse trabalho de base tenha sido feito, podemos chamar o neocórtex (a parte racional e consciente do cérebro) para auditar essas descobertas e descobrir o que melhor fazer com a informação.

Pontos a considerar

Isso é resultado de conhecer seus dados

Dependendo do tipo de dados, as relações entre os pontos de dados podem não ser claras. Ou os relacionamentos podem ser, mas a ideia de representá-los como uma visualização pode não ser óbvia. O Bloodhound é um bom exemplo de solução para esse problema: ele mostra as relações entre os pontos de dados que não podem ser percebidos ou visualizados intuitivamente.

Experimentar!

Só sabemos se a visualização de relacionamento funcionará por experimentação. A experimentação requer ter um conhecimento prático de seu conjunto de dados, gerar hipóteses sobre os relacionamentos e testá-los. Sem dúvida, haverá experimentos “fracassados” (hipóteses que pareciam sólidas, mas falharam em produzir visualizações úteis). Ainda assim, no processo de experimentação, você terá uma compreensão mais profunda do seu conjunto de dados. Esse entendimento é crucial para uma análise eficaz e o ajudará na geração de hipóteses futuras.

Não subestime o poder da simplicidade

Nossa sociedade está atualmente experimentando um renascimento em inteligência artificial e aprendizado de máquina . Como resultado, muitas vezes somos levados a acreditar que “mais complexo é melhor”. Existem inúmeros exemplos em que isso é verdade (o cérebro humano é sem dúvida o objeto conhecido mais complexo no universo), mas essa crença pode nos fazer ignorar maneiras simples de resolver um problema com elegância.

Criar uma árvore com pontos de dados de propriedades visuais variadas é uma ideia efetivamente simples para análise de relacionamento . Gráficos de pizza e gráficos de dispersão podem ser igualmente eficazes para análise estatística e, às vezes, um diagrama de Venn pode ser tudo o que você precisa para análise de similaridade . Existem inúmeros métodos de visualização que podem comunicar informações de forma eficiente.

FONTE: HELPNET SECURITY