Desbloqueando Valor de Investimento Através de Automação de Segurança Estratégica

Automação de segurança tem sido tema de debate — o que automatizar, quando e como. Apesar de contratempos ocasionais, o consenso permanece que automação é o caminho a seguir. A realidade de hoje confirma que automação não é mais opcional; é essencial.

Enquanto muitas organizações já haviam implementado automação básica para tarefas críticas de segurança e resposta a incidentes (IR), os eventos de 2020 serviram como catalisador, segundo Noor Boulos da ThreatQuotient. O recente relatório SANS destaca como a pandemia global acelerou adoção de automação, levando empresas a reavaliar prioridades e roadmaps futuros. A pesquisa cobriu empresas de todos os tamanhos na América do Norte, Europa, Ásia-Pacífico e África.

Principais conclusões incluem:

• Quase um terço das organizações relatou que a pandemia COVID-19 acelerou seus planos de automação.
• Mais de 80% agora têm pelo menos automação parcial de processos centrais de segurança e IR — acima de 47% em 2020.
• Automação de resposta a incidentes cresceu mais acentuadamente, com automação extensiva subindo 18 pontos percentuais de 10,5% em 2020 para 28,3% em 2021.
• Operações de segurança e processamento de alertas permanecem foco principal, com 35,5% alcançando automação extensiva.
• Olhando adiante, 85% planejam expandir automação de processos-chave de segurança e IR nos próximos 12 meses.

Essas descobertas ressaltam a importância de cronometrar automação dentro do ciclo de vida de segurança para maximizar valor de negócio. Na ThreatQuotient, enfatizamos que dados são a pedra angular de automação eficaz de detecção e resposta. Vamos examinar dois casos de uso primários destacados no relatório: Triagem de Alertas e Resposta a Incidentes.

Triagem de Alertas:

Analistas de segurança enfrentam uma enxurrada de alertas gerados por regras SIEM ruidosas e configurações de defesa padrão. Para gerenciar volume e velocidade, analistas frequentemente alimentam dados de ameaças externos e feeds de inteligência diretamente no SIEM. No entanto, dois desafios persistem:

Primeiro, o volume massivo de dados de ameaças externas sobrecarrega o SIEM, produzindo muitos alertas não contextuais que exigem pesquisa intensiva do analista. Segundo, ferramentas atuais carecem de suporte robusto a decisão para fornecer contexto e relevância antes de integrar threat intelligence no SIEM. Priorização é, portanto, crítica para focar analistas em alertas acionáveis.

Com a Plataforma ThreatQ, você pode eliminar alertas inúteis alimentando apenas threat intelligence relevante no SIEM. A plataforma aplica automaticamente contexto, relevância e priorização a dados de ameaça antes que cheguem ao SIEM, aumentando tanto eficiência quanto eficácia.

Scores de threat intelligence customizados — adaptados ao seu ambiente — permitem priorização precisa. Ao curar um subconjunto focado de dados de ameaça, o SIEM produz menos falsos positivos e escala com mais graça.

Resposta a Incidentes:

Soluções tradicionais de Security Orchestration, Automation, and Response (SOAR) focam em automação de processo. No entanto, quando aplicadas a detecção e resposta, playbooks podem se tornar difíceis de manejar porque lógica de decisão é hard-coded e deve ser atualizada em cada playbook. Essa complexidade multiplica conforme playbooks crescem, e automatizar dados ruidosos pode amplificar o ruído.

ThreatQ TDR Orchestrator adota uma abordagem SOAR simplificada, orientada a dados. Aqui, os próprios dados acionam playbooks, e insights coletados de ações automatizadas retroalimentam analytics para melhorar respostas futuras. Ao embutir inteligência na plataforma em vez de playbooks individuais, configuração e manutenção tornam-se muito mais simples, levando a resultados de automação mais eficientes e eficazes. Usuários podem pré-curar e priorizar dados, automatizar ações relevantes e simplificar procedimentos de resposta.

O autor é Noor Boulos da ThreatQuotient