Sicherheitsanalysten im SOC wünschen sich eine automatisierte Bedrohungserkennung, um keine Sorge mehr haben zu müssen, Vorfälle zu verpassen. Die Umfrage „Voice of the Analysts“ zeigt den Wunsch auf, die wachsende Alarm-Müdigkeit aufgrund von einer Flut an False-Positives in den Griff zu bekommen.
FireEye, Inc., das Intelligence-basierte Sicherheitsunternehmen, stellt den IDC Infobrief „The Voice of the Analysts: Improving Security Operations Center Processes Through Adapted Technologies“ vor (anbei). Die zugrunde liegende Umfrage unter 350 internen Sicherheitsanalysten und Managed Security Service Providern (MSSP) ergab, dass diese zunehmend unproduktiver werden. Grund dafür ist eine weitverbreitete „Alarm-Müdigkeit“, die zu ignorierten Alarmen, erhöhtem Stress und der Sorge, Sicherheitsvorfälle zu verpassen führt. Zur Steigerung der Arbeitszufriedenheit und Effektivität ihrer Security Operations Center (SOC) wünschen sich die befragten Analysten eine Automatisierung diverser Aktivitäten.
Sicherheitsanalysten im SOC mit Infos überflutet
„Sicherheitsanalysten werden von einer Flut an False-Positives aus unterschiedlichen Lösungen überwältigt und machen sich zunehmend Sorgen, dass sie eine echte Bedrohung übersehen könnten“, sagt Chris Triolo, Vice President of Customer Success bei FireEye. „Um diese Herausforderung bewältigen zu können, benötigen die Analysten fortschrittliche Automatisierungstools wie Extended Detection and Response (XDR), die die Sorge, Vorfälle zu verpassen, verringern und damit das SOC stärken.“
Zunehmende Warnmeldungen erhöhen den Druck auf Sicherheitsanalysten und führen dazu, dass diese fast die Hälfte ihrer Zeit mit False-Positives verbringen.
- Fehlalarme führen zu „Alarm-Müdigkeit“: Analysten und IT-Sicherheitsmanager erhalten täglich Tausende von Meldungen, von denen laut der Befragten 45 Prozent False-Positives sind. Dies reduziert die Effizienz der internen Analysten und verlangsamt die Arbeitsabläufe. 35 Prozent der Befragten gaben an, Alarme zu ignorieren, um die Flut an Meldungen im SOC bewältigen zu können.
- MSSPs verbringen noch mehr Zeit damit, Fehlalarme zu sichten und ignorieren noch mehr Alarme: MSSP-Analysten gaben an, dass 53 Prozent der Meldungen, die sie erhalten, False-Positives sind. Indes gaben 44 Prozent der Analysten bei Managed Service Providern an, dass sie Meldungen ignorieren, wenn ihre Warteschlange zu voll wird, was zu einem Sicherheitsbruch bei mehreren Kunden führen könnte.
Fear of Missing Incidents (FOMI), also die Sorge, Vorfälle zu verpassen, betrifft die Mehrheit der Sicherheitsanalysten und -manager.
- Da es für Analysten immer schwieriger wird, Meldungen manuell zu verwalten, steigt auch ihre Sorge, einen Vorfall zu verpassen: Drei von vier Analysten machen sich Sorgen darüber, Vorfälle zu verpassen und jeder Vierte macht sich „sehr“ große Sorgen darüber, Vorfälle zu verpassen.
- Noch mehr als ihre Analysten plagt diese FOMI die Sicherheitsmanager: Mehr als 6 Prozent der Sicherheitsmanager gaben an, dass sie aus Sorge davor, Vorfälle zu verpassen, schlecht schlafen.
Analysten benötigen automatisierte SOC-Lösungen, um der FOMI entgegenzuwirken.
- Weniger als die Hälfte der Sicherheitsteams in Unternehmen setzt derzeit Tools zur Automatisierung der Aktivitäten des SOCs ein: Die Studie offenbart die bevorzugten Tools der Sicherheitsanalysten zum Prüfen von Alarmen. Dabei zeigt sich, dass weniger als die Hälfte Künstliche Intelligenz und maschinelles Lernen (43 Prozent), Security Orchestration Automation and Response (SOAR)-Tools (46 Prozent), Security Information and Event Management (SIEM)-Software (45 Prozent), Threat Hunting (45 Prozent) und andere Sicherheitsfunktionen nutzt. Darüber hinaus nutzen nur zwei von fünf Analysten Künstliche Intelligenz und maschinelles Lernen in Verbindung mit anderen Tools.
- Fortschrittliche automatisierte Lösungen verringern die Alarm-Müdigkeit der Sicherheitsteams und verbessern den Erfolg des SOCs, indem sie es Analysten ermöglichen, sich auf anspruchsvollere Aufgaben wie Threat Hunting und Cyber-Ermittlungen zu konzentrieren: Am meisten wünschen sich die Analysten die Automatisierung der Bedrohungserkennung (18 Prozent), gefolgt von der Threat Intelligence (13 Prozent) und der Incident Triage (9 Prozent).
IDC Infobrief-Methodik
IDC befragte 300 in SOCs arbeitende IT-Sicherheitsmanager und Sicherheitsanalysten in den USA aus unterschiedlichen Branchen, darunter Finanzwesen, Gesundheitswesen und Behörden, sowie 50 Anbieter von Managed Security Services zu den Herausforderungen, die sie beim Management ihrer SOCs erleben. Die Umfrage wurde im Herbst 2020 durchgeführt. Dieser IDC Infobrief wurde zuvor von Respond Software, jetzt Teil von FireEye, unterstützt.
Mehr dazu bei FireEye.com
Über Trellix Trellix ist ein globales Unternehmen, das die Zukunft der Cybersicherheit neu definiert. Die offene und native XDR-Plattform (Extended Detection and Response) des Unternehmens hilft Unternehmen, die mit den fortschrittlichsten Bedrohungen von heute konfrontiert sind, Vertrauen in den Schutz und die Ausfallsicherheit ihrer Betriebsabläufe zu gewinnen. Die Sicherheitsexperten von Trellix beschleunigen zusammen mit einem umfangreichen Partner-Ökosystem technologische Innovationen durch maschinelles Lernen und Automatisierung, um über 40.000 Geschäfts- und Regierungskunden zu unterstützen.