O SIEM de um fornecedor de serviços de tecnologia continha regras de correlação às quais haviam sido atribuídos níveis estáticos de gravidade (Alta, Média e Baixa) quando as regras foram escritas. As atribuições de gravidade se baseavam no perfil de risco da técnica no momento do desenvolvimento da regra. Os SLAs de revisão de alertas eram: alertas de gravidade Alta revisados em até trinta minutos, Média em até quatro horas e Baixa em até vinte e quatro horas. Quando a inteligência de ameaças do ISAC do setor do fornecedor indicou que um grupo específico de agentes de ameaça atacava ativamente fornecedores de serviços de tecnologia na região e havia sido observado usando uma técnica específica de movimentação lateral envolvendo execução de WMI a partir de um host remoto, o briefing de inteligência foi distribuído à equipe de segurança. O briefing foi reconhecido. Ninguém atualizou a atribuição de gravidade da regra do SIEM que detectava execução remota de WMI, uma regra escrita dois anos antes, quando a execução remota de WMI foi classificada como Média por ser relativamente comum como técnica administrativa legítima e exigir contexto adicional específico para confirmar intenção maliciosa. Três dias depois do briefing de inteligência, a regra disparou com um evento de autenticação seguido de execução remota de WMI, exatamente a sequência descrita pela inteligência. O alerta entrou na fila de gravidade Média. O SLA de revisão de quatro horas fez com que o alerta fosse revisado com três horas e quarenta minutos, depois que o atacante já havia estabelecido um mecanismo de persistência por tarefa agendada e começado a preparar dados para extração. O alerta estava classificado corretamente para um mundo em que a execução remota de WMI era um indicador de risco médio. Em um mundo em que essa técnica específica era a principal TTP de um grupo de agentes de ameaça ativo que atacava o setor do fornecedor, ele deveria ter sido revisado em trinta minutos.
O que são, de fato, lacunas de priorização de alertas?
Lacunas de priorização de alertas são os desalinhamentos entre a gravidade estática atribuída aos alertas e o contexto dinâmico de risco que torna técnicas específicas mais ou menos perigosas conforme o cenário de ameaças atual. Os níveis de gravidade dos alertas são atribuídos quando as regras são escritas, com base no perfil de risco geral da técnica naquele momento. À medida que o cenário de ameaças evolui (surgem novos grupos de agentes de ameaça, grupos existentes mudam suas TTPs, começam campanhas específicas de um setor), o perigo relativo de técnicas específicas muda. Atribuições estáticas de gravidade que não consideram o contexto de ameaças atual desalinham sistematicamente a urgência de resposta do SOC em relação ao risco real.
O problema da atribuição estática é o mecanismo operacional. As regras de detecção são escritas por engenheiros de detecção que atribuem a gravidade com base no perfil de risco geral da técnica: com que frequência ela aparece em contextos maliciosos ou legítimos, quanto contexto adicional é necessário para confirmar a intenção maliciosa e quão grave é o impacto potencial se a técnica for usada de forma maliciosa. Essas avaliações são precisas no momento da atribuição. Elas não são atualizadas automaticamente quando a inteligência de ameaças muda o perfil de risco de técnicas específicas. O SLA de revisão de quatro horas para uma técnica que se torna a principal TTP de um grupo de agentes de ameaça ativo que ataca o setor do fornecedor é uma janela de quatro horas projetada para outro contexto de ameaças.
A lacuna entre inteligência de ameaças e priorização é o mecanismo de falha específico. As equipes de inteligência de ameaças recebem e distribuem inteligência sobre as TTPs atuais dos agentes de ameaça. As equipes de engenharia de detecção escrevem e mantêm regras para essas TTPs. As equipes de priorização atribuem e atualizam os níveis de gravidade das categorias de alerta. Em organizações compartimentadas, a inteligência que muda o perfil de risco de uma técnica não chega automaticamente à decisão de priorização, e o analista que lê o briefing do ISAC pode não ter autoridade para atualizar a atribuição de gravidade da regra de SIEM correspondente.
- Atribuições estáticas de gravidade não atualizadas quando a inteligência de ameaças muda o contexto de risco
- Inteligência de TTP que não chega às decisões de priorização: briefing do ISAC que não motiva atualização de gravidade
- SLA de revisão de quatro horas (gravidade média) para a principal TTP de um agente de ameaça ativo
- Sem priorização contextual: os ataques atuais de agentes de ameaça não ajustam a gravidade dos alertas
- Lacuna entre inteligência e priorização: equipes separadas, sem integração
Por que isso importa
As lacunas de priorização de alertas são relevantes para TPRM porque a velocidade de resposta do SOC a um alerta específico é determinada pelo seu nível de gravidade, e um nível de gravidade que não reflete o contexto de ameaças atual produz velocidades de resposta calibradas para um cenário de ameaças que já não existe. Os SLAs de trinta minutos, quatro horas e vinte e quatro horas de um fornecedor só têm significado se as atribuições de gravidade que encaminham os alertas para essas filas estiverem alinhadas com o cenário de ameaças atual.
Onde a maioria das equipes erra
A falha mais recorrente é avaliar a conformidade com o SLA de alertas sem avaliar se as atribuições de gravidade estão atualizadas. A conformidade com o SLA mede se os alertas são revisados dentro do SLA atribuído. O alinhamento da gravidade mede se as atribuições encaminham os alertas para o SLA adequado ao seu contexto de risco atual.
- Conformidade com o SLA avaliada sem alinhamento da gravidade
- Nenhum fluxo entre inteligência de ameaças e priorização: a inteligência não motiva revisões de gravidade
- Atribuições de gravidade não revisadas após o recebimento de inteligência de ameaças
- Priorização estática e dinâmica não diferenciadas na avaliação
- Priorização de TTP de agentes de ameaça ativos não avaliada especificamente
Como é uma boa prática
Programas maduros de priorização de alertas integram a inteligência de ameaças ao processo de atribuição de gravidade, revisando e atualizando especificamente os níveis de gravidade das regras de detecção que correspondem a técnicas identificadas na inteligência atual sobre agentes de ameaça, e implementam uma priorização contextual que eleva temporariamente a gravidade de técnicas específicas quando chega inteligência sobre ataques ativos.
- Integração entre inteligência de ameaças e priorização: briefings de ISAC que motivam revisões de gravidade
- Elevação temporária da gravidade para técnicas que correspondem às TTPs de agentes de ameaça ativos
- Periodicidade regular de revisão de gravidade: revisão trimestral de todas as atribuições de gravidade das regras
- Capacidade de priorização contextual: a mesma regra produzindo prioridades diferentes conforme o contexto atual
- Autoridade para atualizar prioridades: capacidade do analista de elevar temporariamente a prioridade com base em inteligência
Ferramentas
SIEM com priorização dinâmica: Microsoft Sentinel com integração de inteligência de ameaças, Splunk com alertas baseados em risco
Plataformas de SIEM com integração de inteligência de ameaças podem ajustar dinamicamente a gravidade dos alertas com base no contexto atual de IOC e TTP, elevando a prioridade dos alertas que correspondem a técnicas de agentes de ameaça ativos. Para profissionais de TPRM, perguntar se o SIEM do fornecedor implementa alertas baseados em risco ou priorização dinâmica com base em inteligência de ameaças é uma pergunta específica sobre priorização contextual.
Desafios de governança
O desafio de governança da priorização dinâmica é o risco de aumento do volume de alertas. Elevar a gravidade de técnicas específicas durante campanhas ativas aumenta o volume de alertas de alta prioridade, o que reduz o tempo de análise por alerta disponível para eventos realmente graves. A solução de governança é a elevação com prazo definido: prioridade elevada temporariamente para técnicas que correspondem à inteligência sobre agentes de ameaça ativos, com retorno automático após um período definido, a menos que a inteligência seja renovada.
- Estabeleça um fluxo entre inteligência de ameaças e priorização: briefings que motivam a revisão da gravidade
- Implemente a elevação temporária da gravidade para técnicas de TTP de agentes de ameaça ativos
- Revise todas as atribuições de gravidade trimestralmente, independentemente de gatilhos de inteligência
- Solicite o processo de atualização de gravidade: como a inteligência altera a priorização dos alertas
- Teste a priorização contextual: quando foi a última vez que uma gravidade foi atualizada com base em inteligência de ameaças
Se você faz parte de uma equipe pequena
Faça uma única pergunta ao seu fornecedor de maior risco: nos últimos doze meses, alguma atribuição de gravidade de alerta foi atualizada com base em inteligência de ameaças? Especificamente, a prioridade de alguma regra do SIEM foi elevada porque uma fonte de inteligência de ameaças identificou aquela técnica como a principal TTP de um agente de ameaça que ataca ativamente o seu setor? Se a resposta for não, o sistema de priorização é estático, e a velocidade de resposta do SOC às técnicas de agentes de ameaça ativos está calibrada para um contexto de ameaças que talvez já não seja o atual.
- Pergunte se alguma atribuição de gravidade foi atualizada com base em inteligência de ameaças nos últimos doze meses
- Pergunte sobre o fluxo entre inteligência de ameaças e priorização
- Pergunte se a inteligência sobre TTP de agentes de ameaça ativos motiva a elevação da prioridade
- Solicite a data da última revisão de gravidade de todas as regras
O que exigir
Pergunte diretamente:
“Quando o ISAC do seu setor publica inteligência que identifica uma TTP específica como a principal técnica de um agente de ameaça que ataca ativamente o seu setor, essa inteligência motiva uma revisão e uma possível elevação da gravidade do alerta da regra do SIEM que cobre essa técnica?”
O que esperar como evidência
- Confirmação do fluxo entre inteligência de ameaças e priorização
- Atualização recente de gravidade motivada por inteligência de ameaças
- Capacidade de priorização contextual
- Periodicidade da revisão de gravidade
Um fornecedor que confirma SLAs de alerta definidos deve ser questionado se as atribuições de gravidade que encaminham os alertas para esses SLAs são atualizadas com base na inteligência de ameaças atual. Os SLAs medem a conformidade. As atribuições de gravidade determinam se essa conformidade está calibrada para a ameaça atual.
Como comprovar
- Registros do fluxo entre inteligência de ameaças e priorização
- Histórico de atualizações de gravidade motivadas por inteligência
- Documentação da capacidade de priorização contextual
- Registros da revisão trimestral de gravidade
Principal conclusão
Alerta médio. Revisão em quatro horas. Principal TTP de um agente de ameaça ativo. O atacante estabeleceu persistência durante as quatro horas. O SLA foi cumprido. A priorização estava desatualizada. Atribuições estáticas de gravidade, calibradas dois anos antes para outro cenário de ameaças, produziram uma resposta de quatro horas a um risco de trinta minutos. O briefing do ISAC foi lido. A atribuição de gravidade não foi atualizada. O fluxo entre inteligência e priorização, que teria ligado o briefing à atualização da gravidade, não existia. A priorização dinâmica, com a inteligência de ameaças motivando a revisão da gravidade, fecha a lacuna entre a ameaça atual e a atribuição estática que era precisa para a ameaça de ontem.