A fadiga de alertas
É o problema mais comum das equipas de segurança: um sistema de deteção que gera centenas ou milhares de alertas por dia. Quase todos são falsos ou irrelevantes. Ao cabo de algumas semanas, a equipa aprende a ignorá-los. E o alerta que de verdade importava chega misturado com os restantes e passa despercebido.
Mais alertas não é mais segurança. É menos.
Menos regras, melhor pensadas
Cada regra de deteção escreve-se como uma ficha, tal como um controlo:
- Que risco cobre: «utilização de uma credencial de administração de um país onde não trabalhamos».
- Que condição a dispara, em termos concretos.
- Quem a recebe, com nome ou papel.
- O que há que fazer quando salta: o primeiro passo do guião de resposta.
Uma regra sem ação prevista não é um alerta, é ruído.
Afinar como trabalho contínuo
Cada alerta, ao fechar-se, marca-se como útil ou como falso. Com essa marca:
- As regras que só geram falsos positivos afinam-se (mais contexto, exceções conhecidas) ou retiram-se.
- Os incidentes que não dispararam nada transformam-se em regras novas (é a lógica de cada falha deixa uma regra).
- O indicador que importa não é quantos alertas há, mas que percentagem deles é útil e quanto tempo se leva a atender os importantes.
Por onde começar
As primeiras regras que convém ter cobrem o que quase sempre aparece nos incidentes reais: inícios de sessão anómalos em contas privilegiadas, mudanças de permissões fora dos processos normais, desativação de registos ou de controlos, acessos massivos a dados confidenciais e artefactos sem assinatura a tentar ser implementados.
Detetar a tempo só serve se depois se souber o que fazer. Isso não se improvisa durante o incidente.
Como o aplicamos: Cibersegurança.