Conifers: 47% reguł wykrywania zagrożeń wymaga poprawek, choć pulpity pokazują wdrożenie

Conifers przeanalizował 14 652 reguły wykrywania zagrożeń u swoich klientów. W przeciętnej organizacji 47% z nich wymaga poprawek, choć na pulpitach pokrycia wszystkie widnieją jako wdrożone. To nie jest luka, którą załata producent, tylko problem działania samych narzędzi bezpieczeństwa.

Badanie wskazuje pięć przyczyn. Pierwsza to błędy logiki: złe operatory, zepsute parsowanie albo warunki, których nie da się spełnić. Druga to brak telemetrii ze źródeł, które przestały przesyłać dane albo zmieniły format. Trzecia to zapytania do niewłaściwej tabeli lub indeksu. Czwarta to zdublowane reguły, a piąta to reguły tak hałaśliwe, że analitycy je ignorują. Rutger de Boer, CTO w DTX, mówi, że reguły tracą skuteczność, bo zmienia się telemetria pod nimi, a nikt tego nie zauważa.

Kogo dotyczy

Firm, które korzystają z reguł wykrywania w narzędziach SIEM, w ochronie stacji roboczych, w chmurze, w systemach tożsamości, w poczcie i w sieci. Dotyczy to zarówno reguł pisanych samodzielnie, jak i dostarczanych przez producentów. Według badania na SIEM przypada tylko mniejsza część wszystkich reguł wykrywania.