Zes Innovatieve Metrics om de Effectiviteit van Geautomatiseerde Incidentrespons te Meten

Naar mate incidentresponsprocessen worden getransformeerd door automatisering, zal het bewijzen van de impact op de prestaties zonder deze nieuwe metrics vrijwel onmogelijk zijn.

Terwijl beveiligingsteams de beveiligingsinfrastructuur van hun organisatie herdefiniëren om te anticiperen op het veranderende bedreigingslandschap, moeten ze vaak aantonen hoe die veranderingen de bedrijfsresultaten positief beïnvloeden.

In 2016 constateerde het SANS Institute dat 71% van de organisaties geen reguliere metrics of metingen had voor incidentresponsprestaties. Hoewel dit percentage in recente jaren is gedaald – 58% had in 2017 geen metrics – zien veel beveiligingsteams pas de noodzaak om hun prestaties te meten na een grote cyberincident.

>Zie ook: Security operations: does automation have to mean automatic?

Door incidentresponsprocessen te automatiseren, kunnen bedrijven een volledig nieuwe aanpak ontwikkelen voor cybersecurity-metrics, kosten verlagen, efficiëntie verhogen en actiebele doelen bieden voor managers. Dit versterkt niet alleen de beveiligingsoperaties, maar zorgt er ook voor dat de beveiligingsstrategie afgestemd is op de bedrijfsdoelstellingen. De zes nieuwe metrics zijn:

1. Kosten per Incident (CPI)

De CPI-metric kan worden gemeten als de duur van een incident vermenigvuldigd met het gemiddelde uurtarief voor een tier-1-analist. Veel beveiligingsteams voeren deze formule uit via het IR-playbook voor elke fase van een incident – van detectie tot respons en herstel.

>Zie ook: Security automation: boosting IT productivity and network resilience

Automatisering elimineert niet alleen volledige stappen of workflows, maar levert ook versnelling, enorme kostenbesparingen en verbeterde efficiëntie, omdat teams zich kunnen richten op het valideren en afsluiten van incidenten in plaats van tijd te verspillen aan onproductieve zoektochten.

2. Automatische Detectie versus Handmatige Detectie

Beveiligingsteams kunnen een basislijn vastleggen voor de verhouding tussen detecties die de beveiligingsstack produceert en het gecombineerde aantal menselijke detecties.

Om de menselijke detecties te bepalen, moeten teams het aantal detecties door medewerkers vaststellen – zoals een werknemer die merkt dat zijn machine misdraait of een IT-beheerder die afwijkend systeemgedrag signaleert. Hierbij moeten externe detecties worden opgeteld – zoals het aantal keren dat het beveiligingsteam een oproep ontvangt van overheden/IT-beheerders – en het aantal detecties dat beveiligingsoperatiefasc handmatig creëert door data uit hun security stack of SIEM te synthetiseren. Dit geeft organisaties inzicht in de efficiëntie van het huidige systeem.

>Zie ook: Mobility demands that security walks hand-in-hand with automation

Door incidentresponsprocessen te automatiseren, kunnen bedrijven verwachten dat de verhouding aanzienlijk kantelt naar de automatiseringskant, wat betere efficiëntie van beveiligingsoperaties betekent.

3. Percentage Onderzoek versus Volume

Beveiligingsoperaties kunnen nu bepalen wat door de mazen van het net slip. Door onderzoeken te meten ten opzichte van alertvolume, kunnen bedrijven de risicogaten in de huidige beveiligingsoperaties meten. Met geautomatiseerde incidentresponsprocessen zal het percentage onderzoeken per volume spectaculair stijgen.

Als een organisatie bijvoorbeeld doorgaans drie onderzoeken uitvoert per 100 alerts (3/100 of 3%) en vervolgens automatisering implementeert, wat resulteert in een alert-to-conclusion ratio van 10% en twee extra onderzoeken (5/10 of 50%), levert dit een enorme toename van 1.500% in effectiviteit van beveiligingsoperaties op.

4. Verhouding Onderzoek tot Respons

Het is in het belang van elke organisatie om ervoor te zorgen dat het beveiligingsoperatieteam zo min mogelijk tijd verspilt – en de metric 'verhouding onderzoek tot respons' kan helpen bepalen hoeveel onderzochte items leiden tot een voltooid responsworkflow.

>Zie ook: Cyber security predictions for 2018

Automatisering van incidentresponsprocessen zal leiden tot convergentie van onderzoek naar respons, omdat meer onderzoeken gericht zijn op gevalideerde conclusies in plaats van alleen verdachte aanvallen.

5. Beslissingssnelheid

Deze metric meet de tijd die het kost om een beslissing te nemen na het genereren van een alert. Het is niet ongebruikelijk dat 'analyseparalyse' en onzekerheid in beveiligingsoperaties de dwell-time verhogen en de uitbreiding van een aanval risicovol maken. Het neemt ook tijd in beslag voor het onderzoeken en reageren op andere gelijktijdige aanvallen.

Door de beslissingssnelheid te meten zowel voor als na de implementatie van automatisering, kan het beveiligingsoperatieteam hun wendbaarheid demonstreren en de responscapaciteit verhogen zonder scharse mensenresources toe te voegen.

6. Herstelrespons versus Re-imaging

Deze metric meet bedrijfsstoring. Hoe meer chirurgische, remote responsacties worden mogelijk gemaakt door processen te automatiseren, hoe minder 'grote hamers' zoals het re-imagen van een eindgebruikers-endpoint nodig zijn – wat betekent: minder bedrijfsstoring en ongemak voor werknemers. Het is duidelijk hoe het een dag lang iemands laptop afpakken, of een betalingsverwerkingsserver neerhalen, de beveiligingsoperaties kan verstoren – zelfs wanneer hot backups en geclusterde failovers onderdeel zijn van de oplossing.

>Zie ook: The cyber security challenge for retail branch IT

Automatisering van incidentresponsprocessen voorkomt dergelijke storingen door het creëren van actiebele regels die automatisch chirurgisch herstel en diepanalyse kunnen starten.

Metrics als Faciliteerders

Naar mate incidentresponsprocessen worden getransformeerd door automatisering, zal het bewijzen van de impact op de prestaties vrijwel onmogelijk zijn zonder deze nieuwe metrics.

Kortom: elk van deze nieuwe metrics kan demonstreren hoe automatisering van incidentresponsprocessen niet alleen de beveiligingsinfrastructuur versterkt, maar ook de bedrijfsresultaten beïnvloedt.

Bron: Andrew Bushby, UK-directeur bij Fidelis Cybersecurity