📌 Приоритизация разработки детектов по MITRE

Любому центру мониторинга приходится бесконечно дорабатывать детектирующую логику. При этом нужно рационально планировать усилия, в первую очередь покрывая самые важные TTP злоумышленников с учётом доступных возможностей сбора и обработки телеметрии.

⚡️В нашей новой статье рассмотрен пошаговый подход к приоритизации, основанный на применении MITRE Data Sources, DeTT&CT и ATT&CK Navigator. Он может быть использован в качестве отправной точки для работы в SOC, хотя в идеале его нужно дополнить, включив оценку ландшафта актуальных для вашей организации угроз, учёт реестра рисков и возможностей по автоматизации и ручной разработке.

Применив предложенную методику, центр мониторинга получает ранжирование техник MITRE с привязкой к собственным возможностям и глобальной статистике по действиям злоумышленников во время атак.
При этом он оптимизирован для минимизации трудозатрат на подготовку и позволяет сразу приступить к реализации наиболее актуальных детектов.
🟣 Читать статью

#советы #SOC @П2Т

А вот еще один фреймворк оценки зрелости AI SIEM/SOC➕

ARMM (AI Response Maturity Model) — фреймворк, призванный оценить насколько эффективно "ядро" ИИ в AI SOC позволяет выполнять функции автоматического реагирования на угрозы.
Всего оценивается чуть более 80 функций в 6 доменах (Identity, Network, Endpoint, Cloud, SaaS, General Options), а направлений оценки два:
🔗Режим оценщика (Evaluator) — подходит для прямого сравнения продуктов "из коробки" с рынка, условно отвечая на вопрос, какой вендор дает больше возможностей за свои деньги.
Каждая функция оценивается с точки зрения автоматизации (от полного отсутствия функции до полной автоматизации), при этом детально расписан уровень автоматизации с участием человека.
🔗Режим архитектора (Builder) — более технический уровень, здесь уже оценивается зрелость функционала, учитывая контекст (организации, команды SecOps, присущих рисков).
Здесь оценка ведется по трем направлениям — точность принятия решений и доверие к ним, сложность внедрения и сопровождения, а также операционное влияние и "радиус поражения" (последствия при ошибочном действии).

Методология оценки в фреймворке ARMM расписана очень подробно, а еще есть удобный онлайн-калькулятор с дашбордами оценки зрелости и возможностью выгрузки результатов в csv-формате.

#framework #maturity #soc #siem #ai