Ваш провайдер управляемого обнаружения и реагирования (MDR) фиксирует подозрительную активность, а ваш аналитик тратит следующий час на поиск учетной записи, проверку журналов и принятие решения о том, нужно ли что-то предпринимать. К моменту начала расследования оповещение больше похоже на назначение задачи, чем на помощь.
MDR должен обеспечивать вашу команду дополнительными ресурсами и опытом тогда, когда это необходимо. Если сервис продолжает перекладывать самую сложную работу на плечи ваших аналитиков, эти пять признаков помогут вам понять, в чем именно сотрудничество не оправдывает ожиданий.
1. Каждое оповещение приходит вместе с «домашним заданием»
Если ваши аналитики по-прежнему разбираются с одними и теми же повторяющимися ложными срабатываниями, дополнительное покрытие может создавать больше работы, чем устранять. Даже оповещение, заслуживающее расследования, полезно лишь отчасти, когда вашей команде приходится собирать базовый контекст перед принятием решения. Возьмите несколько недавних оповещений и посмотрите, что ваш провайдер уже проверил при обращении к вам. Вы должны четко видеть, как он отделил рутинную активность от реальной угрозы и что сделал для того, чтобы знакомый «шум» больше не повторялся.
2. Он замечает пожар, но не видит топлива
Подозрительный вход в систему с использованием учетной записи с широкими привилегиями требует совсем другой реакции, чем та же активность для строго ограниченного аккаунта. Доступные системы, их важность для бизнеса и любые известные уязвимости — все это помогает определить, чему нужно уделить внимание в первую очередь. Когда ваш MDR заставляет вашу команду самостоятельно выстраивать эту картину во время расследования, драгоценное время уходит на поиск контекста, который мог бы лечь в основу реагирования с самого начала. Узнайте, как ваш провайдер использует информацию об активах, идентификационных данных, уязвимостях и текущих угрозах, а также в чем он может помочь вам еще до возникновения инцидента.
3. Ваша команда получает отчеты об инцидентах, но мало полезных выводов
Когда провайдер купирует угрозу и закрывает инцидент, ваша команда должна вынести из этого нечто большее, чем просто отчет о том, что произошло. Вспомните последнее серьезное расследование: привело ли оно к более точному обнаружению, более надежному плану реагирования или лучшему пониманию того, как злоумышленник перемещался по вашей инфраструктуре? Если три месяца спустя возникает похожая активность, и вашим аналитикам приходится заново отвечать на те же вопросы, значит, сервис упустил возможность лучше подготовить их. Экспертиза наиболее полезна тогда, когда ваша команда может применить часть ее в следующий раз.
4. У вашей поддержки реагирования есть лимит расходов
Если инцидент все еще развивается, когда включенные в пакет часы реагирования подходят к концу, для дальнейшей поддержки специалистов может потребоваться новое решение о покупке. Ограничения по часам, масштабу инцидента или вовлечению специалистов по реагированию могут превратить согласованную услугу в непредвиденный запрос бюджета в условиях жесткого давления.
Узнайте, что происходит, когда расследование выходит за рамки отдельных систем или затягивается дольше, чем ожидалось. Уточните, является ли реагирование на инциденты безлимитным, какие действия это включает, как долго специалисты остаются вовлеченными и что может послужить причиной дополнительных расходов. Когда на кону уже стоят бизнес-операции и уверенность руководства, неопределенность в отношении дальнейшей поддержки создает дополнительное финансовое и операционное давление именно тогда, когда вам нужен четкий путь вперед.
5. Отчеты вашего провайдера доказывают, что он был занят
Ежемесячный отчет может показывать сотни рассмотренных оповещений и десятки начатых расследований. Это дает представление об объемах, хотя и мало говорит о том, что именно провайдер обнаружил или сделал. Выберите одно закрытое расследование и проследите его путь от первоначального сигнала до результата: какие доказательства рассматривались, что было исключено, какие меры были приняты и когда к делу подключилась ваша команда? Если вам требуется несколько созвонов, чтобы восстановить эту историю, графики гораздо лучше демонстрируют бурную деятельность, чем сам сервис — свою работу.
Если несколько из этих признаков кажутся вам знакомыми, вынесите несколько реальных оповещений и расследований на ваш следующий пересмотр уровня услуг. Попросите провайдера показать, что именно он расследовал, какие действия предпринял и что улучшилось в результате. Полученные ответы дадут вам более четкое представление о той работе, которую берет на себя ваш MDR, и о той работе, которая по-прежнему ложится на плечи вашей команды.
Чтобы узнать больше вопросов, которые можно задать при оценке вашего сервиса, ознакомьтесь с руководством покупателя решений MDR.
