Vì sao ngưỡng cố định trong SOC đóng băng lỗi của con người

Các con số đến từ đâu

Ngưỡng là cần thiết. Rule phát hiện phải kích hoạt ở một điểm nào đó, hàng đợi phân loại phải được sắp theo một tiêu chí, và chính sách leo thang cần một ranh giới giữa "tự xử lý" và "gọi người". Câu hỏi không phải có nên có ngưỡng hay không, mà là ngưỡng được đặt thế nào và còn mô tả đúng môi trường đang áp dụng hay không.

Phần lớn ngưỡng trong SOC được đặt theo một trong ba cách: chép từ mặc định của nhà cung cấp, kỹ sư chỉnh để một rule ồn ào im đi, hoặc suy ra từ những gì analyst từng đánh dấu đúng hay sai. Mỗi cách mang một giả định ngầm. Mặc định của nhà cung cấp giả định môi trường của bạn giống một môi trường trung bình. Chỉnh theo độ ồn giả định thứ gây phiền là vô hại. Chỉnh theo nhãn giả định nhãn lịch sử là đúng.

Lỗi của con người bị đóng băng ra sao

Analyst đóng rất nhiều alert dưới áp lực thời gian. Họ hình thành lối tắt, và phần lớn lối tắt là hợp lý. Một số thì không. Một nhóm alert đã bị đóng là lành tính cả trăm lần sẽ bị đóng ở lần thứ một trăm lẻ một, kể cả khi lần đó là thật. Nếu ngưỡng của nhóm đó sau đó được chỉnh cho khớp với lịch sử đóng case, lần bỏ sót không còn là sơ suất thỉnh thoảng của con người nữa: nó đã thành chính sách, tự động áp dụng, mọi lúc.

Đây là vấn đề cốt lõi của việc học một con số cố định từ lịch sử. Lịch sử chứa cả những case đội đã sai, và những case không ai xem kỹ đủ để biết. Một ngưỡng khớp theo các kết quả đó sẽ tái tạo chúng một cách trung thành. Nó trông như được hiệu chỉnh tốt so với quá khứ, trong khi vẫn mù trước chính những cuộc tấn công mà quá khứ cũng đã bỏ lỡ.

Con số cố định cũng lão hoá nhanh. Môi trường thay đổi: một ứng dụng mới làm lượng đăng nhập tăng gấp đôi, một đợt di chuyển đưa workload lên cloud, một khối nghiệp vụ bắt đầu làm ca đêm. Một ngưỡng hợp lý năm ngoái giờ có thể kêu liên tục hoặc không bao giờ kêu. Vì không ai sở hữu con số đó, nó hiếm khi được xem lại cho tới khi gây ra sự cố hoặc gián đoạn.

Cách khác: ngữ cảnh, rồi kiểm chứng

Lời giải không phải vứt bỏ ngưỡng và để một model quyết định mọi thứ. Làm vậy chỉ thay một con số cố định nhìn thấy được bằng một con số vô hình. Mô hình bền hơn có hai phần.

Thứ nhất, phán đoán phải phụ thuộc ngữ cảnh. Hành vi này bất thường đến đâu với chính host, tài khoản hay ứng dụng này, vào giờ này trong ngày và trong tuần? Tài sản trọng yếu đến mức nào? Đây có phải một phần của câu chuyện đã có tín hiệu xác nhận khác không? Cùng một con số thô có thể là chuyện thường với máy chủ backup và là báo động với laptop của lễ tân.

Thứ hai, mọi phán đoán phải được kiểm tra với bằng chứng độc lập thay vì với những gì con người đã quyết trước đó. Nếu một alert được đóng là lành tính, phải có lý do dựa trên bản ghi gốc, không chỉ là "loại này thường lành tính". Khi rule hay model và một kiểm tra độc lập bất đồng, sự bất đồng đó là tín hiệu đáng xem, không phải thứ để lấy trung bình cho qua.

Nguyên tắc cho ngưỡng an toàn hơn

• Tách giới hạn an toàn khỏi núm chỉnh. Một số ranh giới, như không bao giờ tự động cô lập domain controller, nên cố định có chủ đích. Phần lớn còn lại nên thích nghi.
• Đừng coi nhãn lịch sử là chân lý. Sàng lọc các lần đóng đáng ngờ trước khi học từ chúng, và không bao giờ để hệ thống học từ chính đầu ra của nó.
• Đo cả bỏ sót, không chỉ đo nhiễu. Một thay đổi giảm số alert nhưng làm mất một sự cố thật là đánh đổi tồi.
• Mọi điều chỉnh phải nhìn thấy được: thay đổi gì, vì sao, dựa trên bằng chứng nào, và hoàn tác ra sao.
• Đưa thay đổi vào từng bước. Quan sát phán đoán mới lẽ ra sẽ làm gì trước khi cho nó quyền quyết định.
• Giữ con người trong vòng lặp ở những chỗ quan trọng, và ghi quyết định của họ thành nhãn để hệ thống tốt dần lên.

Điều này thay đổi gì với analyst

Bỏ ngưỡng cố định không loại bỏ chuyên môn của con người; nó đổi chỗ chuyên môn được dùng. Thay vì chỉnh số trong file rule, analyst xem xét các kết luận kèm lý do và bằng chứng. Thay vì dọn một hàng đợi sắp theo mức nghiêm trọng tĩnh, họ thấy những case bất thường với chính thực thể liên quan. Quyết định của họ, được ghi lại cẩn thận, trở thành một trong những đầu vào mạnh nhất để cải thiện hệ thống, song song với kiểm chứng độc lập để bắt những case con người bỏ sót.

ApexAI tiếp cận thế nào

ApexAI được xây trên nguyên tắc phán đoán phải theo ngữ cảnh và bằng chứng, không theo con số đóng băng. ApexAI Autonomous SOC đặt hành vi cạnh nhịp bình thường của chính từng thực thể, kiểm chứng kết luận trên bản ghi gốc trong SIEM của bạn, và giữ một nhóm nhỏ giới hạn an toàn không bao giờ dịch chuyển. Thay đổi được quan sát trước khi được quyết định, ghi kèm lý do và hoàn tác được. Quyết định của con người giúp hệ thống tốt lên, còn các lần nghi bỏ sót được sàng lọc thay vì học như chân lý.

Câu hỏi thường gặp