Hälytysväsymys

TL;DR

Hälytysväsymys syntyy, kun tiimit saavat niin paljon ilmoituksia, että he lakkaavat kiinnittämästä niihin huomiota.

Mikä on hälytysväsymys?

Hälytysväsymys on ilmiö, joka tapahtuu, kun tietoturva- tai operatiiviset tiimit hukkuvat päivittäin hälytyksiin. Ajan myötä ihmiset väsyvät, stressaantuvat ja alkavat jättää ne huomiotta.

Tietoturvassa tämä johtuu yleensä työkaluista, jotka hälyttävät kaikesta, todellisista ongelmista, pienistä ongelmista ja asioista, jotka eivät ole ongelmia lainkaan.

Kun jokainen hälytys tuntuu kriittiseltä, mikään niistä ei enää tunnu todella kiireelliseltä. Aivot oppivat jättämään ne huomiotta, kuten hälytyksen, joka soi liian usein.

Miksi hälytysväsymys on vaarallista

Hälytysväsymys ei ole vain ärsyttävää. Se on riskialtista.

Monet suuret tietoturvaloukkaukset tapahtuivat, vaikka hälytykset laukaistiin. Ongelma oli, että kukaan ei huomannut tai reagoinut ajoissa.

Pääasialliset riskit:

1. Todelliset uhat jäävät huomiotta.

Kun suurin osa hälytyksistä on vääriä hälytyksiä, todelliset hyökkäykset näyttävät samalta ja jäävät huomaamatta.

2. Hidas reagointi

Aika, joka käytetään turhien hälytysten tarkasteluun, on aikaa, jota ei käytetä todellisten ongelmien korjaamiseen.

3. Inhimilliset virheet

Väsyneet tiimit tekevät virheitä, ohittavat vaiheita tai arvioivat riskin väärin.

Miksi hälytysväsymys tapahtuu

Hälytysväsymys johtuu yleensä huonosta työkalujen käytöstä ja huonosta asetuksista.

Yleiset syyt:

Liian monta väärää positiivista
Työkalut merkitsevät mahdollisia ongelmia tarkistamatta, voidaanko niitä oikeasti hyödyntää.
Ei todellista priorisointia
Kaikki saavat saman vakavuuden, vaikka riski on hyvin erilainen.
Päällekkäiset hälytykset
Useat työkalut raportoivat saman ongelman eri tavoin.
Jäykät säännöt
Hälytykset laukeavat kiinteiden rajojen perusteella sen sijaan, että ne perustuisi todelliseen käyttäytymiseen.

Kuinka vähentää hälytysväsymystä

Ainoa todellinen ratkaisu on vähentää melua ja keskittyä siihen, mikä on tärkeää.

Keskity todelliseen riskiin

Kaikki ongelmat eivät ole samanarvoisia. Plexicus tarjoaa joitakin mittareita, jotka auttavat priorisoimaan haavoittuvuuksia:

1) Prioriteettimittarit

Mitä se mittaa: Kokonaiskiireellisyys korjaamiseen

Se on pistemäärä (0-100), joka yhdistää teknisen vakavuuden (CVSSv4), liiketoimintavaikutuksen ja hyväksikäytön saatavuuden yhdeksi numeroksi. Se on toimintajonosi - lajittele Prioriteetin mukaan tietääksesi, mitä käsitellä heti. Prioriteetti 85 tarkoittaa “jätä kaikki ja korjaa tämä nyt”, kun taas Prioriteetti 45 tarkoittaa “aikatauluta se seuraavaan sprinttiin.”

Esimerkki: SQL-injektio sisäisessä tuottavuustyökalussa, joka on käytettävissä vain yrityksen VPN

kautta, ei sisällä arkaluonteisia tietoja

CVSSv4: 8.2 (korkea tekninen vakavuus)
Liiketoimintavaikutus: 45 (sisäinen työkalu, rajallinen tietojen altistus)
Hyväksikäytön saatavuus: 30 (vaatii todennettua pääsyä)
Prioriteetti: 48

Miksi etsiä prioriteettia: Huolimatta korkeasta CVSSv4 (8.2) -arvosta, prioriteetti (48) laskee kiireellisyyttä oikein, koska liiketoimintavaikutus on rajallinen ja hyväksikäytettävyys on alhainen. Jos katsoisit vain CVSS

, panikoisit turhaan. Prioriteetti sanoo: “Aikatauluta tämä seuraavaan sprinttiin,” pisteillä noin 45.

Tämä tekee “seuraava sprintti” -suosituksesta paljon järkevämmän - se on todellinen haavoittuvuus, joka tarvitsee korjausta, mutta ei ole hätätilanne, koska se on vähävaikutteisessa sisäisessä työkalussa, jolla on rajallinen altistus.

2) Vaikutus

Mitä se mittaa: Liiketoiminnan seuraukset

Vaikutus (0-100) arvioi, mitä tapahtuu, jos haavoittuvuutta hyödynnetään, ottaen huomioon erityinen kontekstisi: datan herkkyys, järjestelmän kriittisyys, liiketoiminnan toiminnot ja sääntelyn noudattaminen.

Esimerkki: SQL-injektio julkisessa asiakastietokannassa on vaikutus 95, mutta sama haavoittuvuus sisäisessä testausympäristössä on vaikutus 30.

3) EPSS

Mitä se mittaa: Todellisen maailman uhkan todennäköisyys

EPSS on pisteytys (0.0-1.0), joka ennustaa todennäköisyyden, että tietty CVE hyödynnetään luonnossa seuraavien 30 päivän aikana.

Esimerkki: 10 vuotta vanhalla haavoittuvuudella saattaa olla CVSS 9.0 (erittäin vakava), mutta jos kukaan ei enää hyödynnä sitä, EPSS olisi alhainen (0.01). Toisaalta uudemmalla CVE

, jolla on CVSS 6.0, saattaa olla EPSS 0.85, koska hyökkääjät käyttävät sitä aktiivisesti.

Voit tarkistaa nämä mittarit priorisointia varten seuraamalla näitä vaiheita:

Varmista, että arkistosi on yhdistetty ja skannausprosessi on valmis.
Siirry sitten Findings-valikkoon, josta löydät priorisointiin tarvittavat mittarit.

priority engine in plexicus

Keskeiset erot

Mittari	Vastaukset	Laajuus	Vaihteluväli
EPSS	”Käyttävätkö hyökkääjät tätä?”	Globaali uhkakuva	0.0-1.0
Prioriteetti	”Mitä korjaan ensin?”	Yhdistetty kiireellisyysarvo	0-100
Vaikutus	”Kuinka paha tämä on MINUN liiketoiminnalleni?”	Organisaatiokohtainen	0-100

Lisää konteksti

Jos haavoittuva kirjasto on olemassa, mutta sovelluksesi ei koskaan käytä sitä, hälytyksen ei pitäisi olla korkea prioriteetti.

Säädä ja automatisoi

Opeta työkaluja ajan mittaan, mikä on turvallista ja mikä ei. Automatisoi yksinkertaiset korjaukset, jotta ihmiset käsittelevät vain todellisia uhkia.

Käytä yhtä selkeää näkymää

Yhden alustan, kuten Plexicus, käyttö auttaa poistamaan päällekkäiset hälytykset ja näyttää vain, mitä tarvitsee toimenpiteitä.