نکات SOC
تمرکز بر نشانه‌های مهم حمله؛ نه هر آژیری که به صدا در می‌آید
در دنیای امنیت سایبری، ابزارهایی مثل SIEM، EDR و فایروال‌ها روزانه هزاران هشدار و نشانه (IOA: Indicator of Attack) تولید می‌کنند. اما واقعیت این است: هر نشانه‌ای لزوماً برای شما حیاتی نیست. آن چیزی اهمیت دارد که واقعا با ریسک‌های سازمان شما و دارایی‌های حیاتی‌تان ارتباط مستقیم دارد.
مثال فنی: بانک و هشدارهای Remote Desktop
فرض کنید شما تحلیل‌گر امنیت یک بانک هستید که با اطلاعات حساس مشتریان، تراکنش‌های مالی و سامانه بانک‌داری سروکار دارد. هر روز SIEM شما صدها هشدار درباره رخدادهایی مانند لاگین‌های ناموفق Remote Desktop دریافت می‌کند (Failed RDP logins).
در نگاه اول، همه این هشدارها به نظر تهدید می‌آیند. اما آیا واقعاً همه این‌ها مهم‌اند؟
اینجاست که باید مفهوم Event of Interest (EOI) را بشناسید.
شما پروفایل دارایی‌ها را بررسی می‌کنید و می‌بینید لاگین ناموفق روی یک سرور تست که هیچ دسترسی به داده حساس ندارد رخ داده. از طرف دیگر، هشدار مشابهی روی دیتابیس تراکنش بانکی می‌آید که به تازگی از یک IP غیر مرتبط امتحان شده و بلافاصله چند رفتار مشکوک دیگر (مانند اجرای PowerShell) دیده می‌شود.
حالا تفاوت را ببینید:
- سرور تست : فقط یک نشانه از حمله است (IOA)، اما اهمیت خاصی برای سازمان ندارد؛ پس جزء EOI حساب نمی‌شود.
- سرور پایگاه داده تراکنشی:هم ریسک بالاست و هم احتمال بهره‌برداری جدی؛ این یک Event of Interest واقعی برای شماست.
پس
به جای تلاش برای واکنش به هر هشدار، منابع و انرژی تیم امنیتی باید صرف رخدادهایی شود که متناسب با دارایی‌های حیاتی و تهدیدهای واقعی سازمان هستند. این یعنی تقویت امنیت هوشمند، نه پر سر و صدا.
ثبت نام دوره های آکادمی روزبه
دوره سطح ۱
دوره CISSP
واتس اپ و بله 09902857299
دوره های سایر سطوح و هانت و بنفش در آینده نزدیک اعلام می‌شوند
تمرکز بر نشانه‌های مهم حمله؛ نه هر آژیری که به صدا در می‌آید
در دنیای امنیت سایبری، ابزارهایی مثل SIEM، EDR و فایروال‌ها روزانه هزاران هشدار و نشانه (IOA: Indicator of Attack) تولید می‌کنند. اما واقعیت این است: هر نشانه‌ای لزوماً برای شما حیاتی نیست. آن چیزی اهمیت دارد که واقعا با ریسک‌های سازمان شما و دارایی‌های حیاتی‌تان ارتباط مستقیم دارد.
مثال فنی: بانک و هشدارهای Remote Desktop
فرض کنید شما تحلیل‌گر امنیت یک بانک هستید که با اطلاعات حساس مشتریان، تراکنش‌های مالی و سامانه بانک‌داری سروکار دارد. هر روز SIEM شما صدها هشدار درباره رخدادهایی مانند لاگین‌های ناموفق Remote Desktop دریافت می‌کند (Failed RDP logins).
در نگاه اول، همه این هشدارها به نظر تهدید می‌آیند. اما آیا واقعاً همه این‌ها مهم‌اند؟
اینجاست که باید مفهوم Event of Interest (EOI) را بشناسید.
شما پروفایل دارایی‌ها را بررسی می‌کنید و می‌بینید لاگین ناموفق روی یک سرور تست که هیچ دسترسی به داده حساس ندارد رخ داده. از طرف دیگر، هشدار مشابهی روی دیتابیس تراکنش بانکی می‌آید که به تازگی از یک IP غیر مرتبط امتحان شده و بلافاصله چند رفتار مشکوک دیگر (مانند اجرای PowerShell) دیده می‌شود.
حالا تفاوت را ببینید:
- سرور تست : فقط یک نشانه از حمله است (IOA)، اما اهمیت خاصی برای سازمان ندارد؛ پس جزء EOI حساب نمی‌شود.
- سرور پایگاه داده تراکنشی:هم ریسک بالاست و هم احتمال بهره‌برداری جدی؛ این یک Event of Interest واقعی برای شماست.
پس
به جای تلاش برای واکنش به هر هشدار، منابع و انرژی تیم امنیتی باید صرف رخدادهایی شود که متناسب با دارایی‌های حیاتی و تهدیدهای واقعی سازمان هستند. این یعنی تقویت امنیت هوشمند، نه پر سر و صدا.
ثبت نام دوره های آکادمی روزبه
دوره سطح ۱
دوره CISSP
واتس اپ و بله 09902857299
دوره های سایر سطوح و هانت و بنفش در آینده نزدیک اعلام می‌شوند
2 comments
Log in to comment
همه اطلاعاتی که لازم دارید از واتس اپ و بله 09902857290 قابل دریافت است