עייפות מהתראות

בקצרה

עייפות מהתראות מתרחשת כאשר צוותים מקבלים כל כך הרבה התראות שהם מפסיקים לשים לב אליהן.

מהי עייפות מהתראות?

עייפות מהתראות היא מה שקורה כאשר צוותי אבטחה או תפעול מוצפים בהתראות כל יום. עם הזמן, אנשים מתעייפים, מתלחצים ומתחילים להתעלם מהן.

באבטחה, זה בדרך כלל נובע מכלים שמתריעים על הכל, בעיות אמיתיות, בעיות קטנות ודברים שאינם בעיות כלל.

כאשר כל התראה מרגישה קריטית, אף אחת מהן לא מרגישה באמת דחופה יותר. המוח לומד להתעלם מהן, כמו אזעקה שנשמעת לעיתים קרובות מדי.

למה עייפות מהתראות מסוכנת

עייפות מהתראות אינה רק מעצבנת. היא מסוכנת.

הרבה פריצות אבטחה משמעותיות התרחשו למרות שהתראות הופעלו. הבעיה הייתה שאף אחד לא שם לב או הגיב בזמן.

הסיכונים העיקריים:

1. איומים אמיתיים מתעלמים מהם.

כאשר רוב ההתראות הן אזעקות שווא, התקפות אמיתיות נראות אותו דבר ומתפספסות.

2. תגובה איטית

זמן שמבוזבז על בדיקת התראות חסרות תועלת הוא זמן שלא מוקדש לתיקון בעיות אמיתיות.

3. טעויות אנוש

צוותים עייפים עושים טעויות, מדלגים על שלבים או מעריכים לא נכון את הסיכון.

למה עייפות מהתראות מתרחשת

עייפות מהתראות בדרך כלל נובעת מתמהיל של כלים גרועים והגדרות לא טובות.

גורמים נפוצים:

יותר מדי חיוביים שגויים
כלים מסמנים בעיות אפשריות מבלי לבדוק אם ניתן לנצל אותן בפועל.
אין תיעדוף אמיתי
הכל מקבל את אותה חומרה, אפילו כשהסיכון שונה מאוד.
התראות כפולות
כלים מרובים מדווחים על אותה בעיה בדרכים שונות.
כללים נוקשים
התראות מופעלות על סמך גבולות קבועים במקום התנהגות אמיתית.

כיצד להפחית עייפות מהתראות

הפתרון האמיתי היחיד הוא להפחית רעש ולהתמקד במה שחשוב.

התמקדות בסיכון אמיתי

לא כל הבעיות שוות. Plexicus מספקת כמה מדדים שיעזרו לך לתעדף פגיעויות:

1) מדדי עדיפות

מה זה מודד: דחיפות כוללת לתיקון

זהו ציון (0-100) שמשלב חומרה טכנית (CVSSv4), השפעה עסקית וזמינות ניצול למספר אחד. זהו תור הפעולות שלך - מיין לפי עדיפות כדי לדעת מה לטפל בו מיד. עדיפות 85 פירושה “עזוב הכל ותקן את זה עכשיו”, בעוד עדיפות 45 פירושה “תכנן את זה לספרינט הבא.”

דוגמה: הזרקת SQL בכלי פרודוקטיביות פנימי, נגיש רק מ-VPN ארגוני, אינו מכיל נתונים רגישים

CVSSv4: 8.2 (חומרה טכנית גבוהה)
השפעה עסקית: 45 (כלי פנימי, חשיפת נתונים מוגבלת)
זמינות ניצול: 30 (דורש גישה מאומתת)
עדיפות: 48

למה לחפש עדיפות: למרות ש-CVSSv4 גבוה (8.2), עדיפות (48) מורידה נכון את הדחיפות בגלל השפעה עסקית מוגבלת וניצול נמוך. אם הייתם מסתכלים רק על CVSS, הייתם נלחצים שלא לצורך. עדיפות אומרת: “תכננו זאת לספרינט הבא,” עם ציון של כ-45.

זה הופך את ההמלצה ל”ספרינט הבא” להרבה יותר סבירה - זו פגיעות אמיתית שצריך לתקן, אבל לא מצב חירום כי מדובר בכלי פנימי בעל השפעה נמוכה עם חשיפה מוגבלת.

2) השפעה

מה היא מודדת: השלכות עסקיות

השפעה (0-100) מעריכה מה קורה אם הפגיעות מנוצלת, בהתחשב בהקשר הספציפי שלכם: רגישות הנתונים, קריטיות המערכת, תפעול עסקי ועמידה ברגולציה.

דוגמה: הזרקת SQL בבסיס נתונים הפונה לציבור יש השפעה של 95, אבל אותה פגיעות בסביבת בדיקה פנימית יש השפעה של 30.

3) EPSS

מה הוא מודד: סבירות לאיום בעולם האמיתי

EPSS הוא ציון (0.0-1.0) שמנבא את ההסתברות ש-CVE ספציפי ינוצל בטבע בתוך 30 הימים הבאים.

דוגמה: פגיעות בת 10 שנים עשויה להיות עם CVSS 9.0 (חמורה מאוד), אבל אם אף אחד כבר לא מנצל אותה, EPSS יהיה נמוך (0.01). לעומת זאת, CVE חדש יותר עם CVSS 6.0 עשוי להיות עם EPSS 0.85 כי תוקפים משתמשים בו באופן פעיל.

ניתן לבדוק את המדדים הללו לצורך תעדוף על ידי ביצוע השלבים הבאים:

ודא שהמאגר שלך מחובר ותהליך הסריקה הסתיים.
לאחר מכן, עבור לתפריט Findings, שם תמצא את המדדים שאתה צריך לצורך תיעדוף.

מנוע תיעדוף ב-Plexicus

הבדלים מרכזיים

מדד	תשובות	טווח	טווח
EPSS	”האם תוקפים משתמשים בזה?”	נוף האיומים הגלובלי	0.0-1.0
Priority	”מה עליי לתקן קודם?”	ציון דחיפות משולב	0-100
Impact	”כמה זה רע לעסק שלי?”	ספציפי לארגון	0-100

הוסף הקשר

אם קיימת ספרייה פגיעה אך האפליקציה שלך לעולם לא משתמשת בה, ההתראה הזו לא צריכה להיות בעדיפות גבוהה.

כוון ואוטומט

למד כלים לאורך זמן מה בטוח ומה לא. אוטומציה של תיקונים פשוטים כך שאנשים יטפלו רק באיומים אמיתיים.

השתמש במבט אחד ברור

שימוש בפלטפורמה אחת כמו Plexicus עוזר להסיר התראות כפולות ומציג רק מה שדורש פעולה.