Hoy en día, se espera que las organizaciones tengan al menos entre 6 y 8 herramientas de detección, ya que la detección se considera una inversión estándar y una primera línea de defensa. Aún así, a los líderes de seguridad les resulta difícil justificar la asignación de recursos a sus supervisores a medida que avanza el ciclo de vida de las alarmas.
Como resultado, las inversiones en seguridad de la mayoría de las organizaciones consisten en herramientas de detección robustas y asimétricas junto con un SOC con escasez de personal, su última línea de defensa.
Un estudio de caso reciente muestra cómo las empresas con un SOC estandarizado impidieron un sofisticado ataque de phishing que eludió las principales herramientas de seguridad del correo electrónico. En este estudio de caso, una campaña de phishing entre empresas se dirigió a ejecutivos de nivel C de varias empresas. Ocho herramientas de seguridad de correo electrónico diferentes en estas organizaciones no lograron detectar el ataque y los correos electrónicos de phishing llegaron a las bandejas de entrada de los ejecutivos. Sin embargo, el equipo SOC de cada organización reconoció inmediatamente el ataque después de que los empleados informaron sobre los correos electrónicos sospechosos.
¿Por qué las ocho herramientas de detección fallaron por igual mientras que el SOC tuvo éxito?
Lo que todas estas organizaciones tienen en común es una inversión equilibrada durante todo el ciclo de vida de la alarma que no descuida su SOC.
Este artículo examina la importancia de invertir en SOC para las organizaciones que ya han comprometido importantes recursos en herramientas de detección. Además, una inversión SOC equilibrada es fundamental para maximizar el valor de sus inversiones en detección existentes.
Las herramientas de detección y el SOC operan en universos paralelos
Comprender esta discrepancia fundamental explica cómo surgen las vulnerabilidades de seguridad:
Las herramientas de detección funcionan en milisegundos. Tienes que tomar decisiones instantáneas sobre millones de señales todos los días. No tienes tiempo para matices; La velocidad es crucial. Sin él, las redes se paralizarían ya que cada correo electrónico, archivo y solicitud de conexión se retendría para su análisis.
Las herramientas de detección se acercan. Son los primeros en identificar y aislar amenazas potenciales, pero carecen de una comprensión del panorama más amplio. Los equipos SOC ahora están trabajando con una visibilidad de 30,000 pies. Cuando las alertas llegan a los analistas, tienen algo de lo que carecen las herramientas de detección: tiempo y contexto.
En consecuencia, el SOC aborda las alertas desde una perspectiva diferente:
- Puede analizar patrones de comportamiento, como por qué un ejecutivo de repente inicia sesión a través de una dirección IP de un centro de datos a pesar de que normalmente trabaja desde Londres.
- Puede fusionar datos entre herramientas. Puede ver un dominio de correo electrónico de reputación limpia, así como intentos de autenticación posteriores e informes de usuario.
- Puede reconocer patrones que sólo tienen sentido en su totalidad, como por ejemplo: B. Orientación exclusiva a los gerentes financieros combinada con tiempos que se alinean con los ciclos de nómina.
Tres riesgos críticos de un SOC con financiación insuficiente
En primer lugar, puede resultar más difícil para la dirección identificar el origen del problema. Los CISO y los responsables de presupuesto de las organizaciones que utilizan diversas herramientas de detección suelen asumir que sus inversiones los protegerán. Mientras tanto, el SOC lo está viviendo de otra manera: abrumado por el ruido y sin recursos para investigar adecuadamente las amenazas reales. Debido a que el costo de la detección es obvio mientras las batallas de SOC se llevan a cabo a puerta cerrada, a los líderes de seguridad les resulta difícil demostrar la necesidad de una inversión adicional en su SOC.
En segundo lugar, la asimetría abruma la última línea de defensa. Las importantes inversiones en múltiples herramientas de detección dan como resultado miles de alertas que inundan el SOC todos los días. Con SOC sin financiación suficiente, los analistas se convierten en guardianes, enfrentando cientos de disparos a la vez y obligados a tomar decisiones en fracciones de segundo bajo una enorme presión.
En tercer lugar, socava la capacidad de detectar amenazas diferenciadas. Cuando el SOC se ve abrumado por las alertas, se pierde la capacidad de realizar un trabajo de investigación detallado. Las amenazas que escapan a la detección son aquellas que las herramientas de detección nunca detectarían en primer lugar.
De soluciones temporales a operaciones SOC sostenibles
Cuando las herramientas de detección generan cientos de alertas cada día, incorporar algunos analistas de SOC más es tan eficaz como intentar salvar un barco que se hunde con un balde. La alternativa tradicional era Subcontratar a MSSP o MDR e involucrar a equipos externos para manejar los desbordamientos.
Pero para muchos, las compensaciones siguen siendo demasiado grandes: altos costos continuos, investigaciones superficiales realizadas por analistas que no están familiarizados con su entorno, demoras en la coordinación y comunicaciones interrumpidas. La subcontratación no aborda el desequilibrio; Simplemente transfiere la carga a otra persona.
Hoy en día, las plataformas AI SOC se están convirtiendo en la opción preferida para las empresas con equipos SOC reducidos que buscan una solución eficiente, rentable y escalable. Las plataformas AI SOC operan en el nivel de investigación donde ocurre el razonamiento contextual, automatizando la clasificación de alertas y solo descubriendo incidentes de alta fidelidad después de que se les asigna el contexto.
Con la ayuda de AI SOC, los analistas ahorran cientos de horas cada mes, ya que la tasa de falsos positivos a menudo cae en más del 90%. Esta cobertura automatizada permite que los pequeños equipos internos brinden cobertura las 24 horas del día, los 7 días de la semana, sin personal adicional ni subcontratación. Las empresas presentadas en este estudio de caso invirtieron en este enfoque a través de Radiant Security, una plataforma AI SOC de agentes.
Dos razones por las que las inversiones en SOC dan sus frutos ahora y en el futuro
- Las inversiones en SOC hacen que el costo de las herramientas de detección valga la pena. Sus herramientas de detección son tan efectivas como su capacidad para investigar sus alertas. Si el 40% de las alertas no se investigan, no obtendrá el valor total de todas las herramientas de detección que tiene. Sin suficiente capacidad SOC, está pagando por capacidades de detección que no puede utilizar por completo.
- La perspectiva única de la última línea se vuelve cada vez más importante. El SOC se está volviendo cada vez más importante a medida que las herramientas de detección fallan con mayor frecuencia. A medida que los ataques se vuelven más sofisticados, se requiere más contexto para su detección. La perspectiva del SOC significa que sólo ellos pueden conectar estos puntos y ver el panorama más amplio.
3 preguntas para guiar su próximo presupuesto de seguridad
- ¿Su inversión en seguridad es simétrica? Comience examinando su asignación de recursos en busca de desequilibrios. El primer indicio de seguridad asimétrica es que hay más alertas de las que su SOC puede manejar. Si sus analistas están abrumados con alertas, significa que su primera línea está superando a su retaguardia.
- ¿Es su SOC una red de seguridad calificada? Todo líder del SOC debe preguntarse: ¿Está el SOC preparado para capturar lo que surge cuando falla la detección? Muchas organizaciones nunca hacen esta pregunta porque no ven la detección como un trabajo de SOC. Pero cuando las herramientas de detección fallan, las responsabilidades cambian.
- ¿No estás haciendo suficiente uso de las herramientas existentes? Muchas organizaciones descubren que sus herramientas de detección producen señales valiosas que nadie tiene tiempo de investigar. La asimetría significa no poder responder a lo que ya tienes.
Información clave de Radiant Security
La mayoría de los equipos de seguridad tienen la capacidad de asignar recursos para maximizar el retorno de la inversión de sus inversiones actuales en detección, respaldar el crecimiento futuro y mejorar la protección. Las empresas que invierten en herramientas de detección pero descuidan su SOC crean puntos ciegos y agotamiento.
Radiant Security, la plataforma AI SOC de agentes destacada en el estudio de caso, demuestra su éxito a través de inversiones equilibradas en seguridad. Radiant opera en el nivel de investigación de SOC, examinando automáticamente cada alerta, reduciendo los falsos positivos en aproximadamente un 90 % y analizando las amenazas a la velocidad de la máquina, como un analista superior. Con más de 100 integraciones con herramientas de seguridad existentes y capacidades de respuesta con un solo clic, Radiant ayuda a los equipos de seguridad eficientes a investigar alertas conocidas o desconocidas sin requerir niveles increíbles de personal. Radiant Security proporciona capacidades SOC de clase empresarial para organizaciones de todos los tamaños.
About The Author
