Overdaad van alarmmeldingen zorgt voor overbelasting van SOC's

Security Operations Centers (SOC's) zijn overbelast. Vooral een overdaad aan alarmmeldingen, verouderde meetwaarden en beperkte integratie zorgt ervoor dat SOC's overweldigd worden.

Dit blijkt uit onderzoek van 360Velocity en Dr. Chenxi Wang, oprichter van het Jane Bond Project, in opdracht van de leverancier van geautomatiseerde detectie- en response oplossingen Fidelis Cybersecurity. "Het onderzoek toont opnieuw aan dat een groeiend dreigingslandschap en continue beperkingen aan de beschikbaarheid van goed getrainde SOC analisten SOC's steeds verder onder druk zetten", aldus Tim Roddy, vice president cybersecurity productstrategie bij Fidelis Cybersecurity. "Organisaties moeten veelvoorkomende taken automatiseren, netwerkinzichten integreren met endpoint detectie en response, en de focus verleggen van het identificeren van signatures en indicatoren naar aanvaltechnieken, -tactieken en -procedures."

Zeven tot acht onderzoeken per dag

Uit het onderzoek blijkt dat SOC analisten per dag gemiddeld zeven tot acht onderzoeken naar alarmmeldingen en incidenten kunnen uitvoeren. Slechts 10% meldt acht tot tien onderzoeken per dag aan te kunnen. 83% van de bedrijven geeft aan per dag minder dan de helft van de binnenkomende alarmmeldingen te kunnen onderzoeken.

In veel gevallen blijkt het aan integratie te ontbreken. Zo geeft 70% van de respondenten aan dat tenminste de helft van hun security tools niet geïntegreerd zijn. Dit gebrek aan integratie beperkt niet alleen de snelheid waarmee onderzoeken worden uitgevoerd, maar ook de snelheid waarmee dreigingen worden gemitigeerd. Uit het onderzoek blijkt een correlatie tussen bedrijven die een erin slagen meer alarmmeldingen te onderzoeken en organisaties die meer security tools hebben geïntegreerd.

Meetwaarden zijn verouderd

Iedere onderzochte organisatie blijkt meetwaarden te gebruiken om de effectiviteit van zowel hun SOC als de reactie op incidenten te meten. 80% van de respondenten is echter van mening dat de meetwaarden die zij gebruiken niet effectief zijn of verbeterd kunnen worden.

Tot slot blijkt dat threat hunting, waarbij security professionals proactief op zoek gaan naar kwetsbaarheden, relatief weinig voor komt. Slechts 17% van de onderzochte organisaties beschikt over een team dat is toegewijd aan threat hunting. Fidelis meldt dat vooral de grootste bedrijven over een dergelijk team beschikken.