Kanıtla kapat
Bilinen bir sorun ya da yanlış pozitif olduğu gösterilebilen alarm SOAR'da kapatılır ve gerekçesi yorum olarak yazılır.
SOC Mastermind · System3
Bilinen alarmları kapatır. Emin olmadığını size bırakır.
SOC Mastermind, SOAR'ınızın yanında çalışan bir SOC asistanıdır. Tekrar eden yanlış pozitifleri kanıtı ve gerekçesiyle kapatır; kanıtı zayıf olan her alarmı analiste yönlendirir.
Nereden başlamak istersiniz?
CISO / SOC yöneticisi için
Otomasyonun nerede durduğunu, kararların nasıl denetlendiğini ve nasıl kademeli açıldığını görün.
Güvenlik ve veriSOC analisti için
Her kapatmanın kanıtını tek ekranda görün; kararı saniyeler içinde doğrulayın ya da geri açın.
Analist deneyimi
Sorun
Alarmların çoğu yeni değil.
Aynı bakım işi, aynı tarayıcı, aynı yanlış yapılandırma her gün yeniden alarm üretir. Bunları tek tek kapatmak analistin gününü doldurur; gerçekten bakılması gereken alarm kuyrukta bekler.
Tekrar eden yanlış pozitifler
Dün kapatılan alarm bugün yine gelir. Bilgi analistin aklında kalır, sisteme dönmez.
Kaybolan gerekçe
Bir alarmın neden kapatıldığı çoğu zaman yazılmaz. Aynı soru her vardiyada yeniden sorulur.
Alarm yorgunluğu
Gürültü arttıkça gerçek sinyali kaçırma riski de artar.
Çözüm
İki sonuç. Üçüncü seçenek yok.
Her alarm için tek bir soru sorulur: bunun güvenle kapatılabileceği kanıtla gösterilebiliyor mu?
Şüphede insana bırak
Kanıt yetersizse, bir hata ya da zaman aşımı olursa alarm analiste gider. Varsayılan budur.
Nasıl çalışır
Çek, değerlendir, karar ver, öğren.
SOC Mastermind SOAR'ın kurulu olduğu makinede çalışır ve alarmları SOAR API'sinden çeker.
Çek
Alarm SOAR'dan alınır. Sistem yalnızca SOAR'la konuşur, başka hiçbir yere bağlanmaz.
Değerlendir
Alarmın güvenle kapatılabileceğini gösteren yeterli kanıt olup olmadığına bakılır.
Karar ver
Kanıt yeterliyse CLOSE, değilse ESCALATE. Her karar gerekçesiyle kayda geçer.
Öğren
Ekibinizin kararlarından yararlanır; bu süreç sizin denetiminizdedir.
Güven ilkeleri
Önce güvenli, sonra hızlı.
Bir güvenlik ürünü hata yapacaksa güvenli tarafta yapmalı. Sistemin her parçası buna göre tasarlandı.
Şüphede insana
Kanıt yetersizse, hata ya da zaman aşımı varsa alarm analiste gider. Fail open değil, fail safe.
Erişim yok
Endpoint'e, ağa ya da hedef sisteme erişmez; playbook tetiklemez. SOAR'da yalnızca kapatır, gerekçe yazar ve etiketler.
Önce gözlem
Sistem önce yalnızca gözlemler, hiçbir şey kapatmaz. Otomasyonu ne zaman açacağınıza siz karar verirsiniz.
Denetlenebilir, geri alınabilir
Her karar gerekçesiyle kayda geçer. Kapatmalar tek tek ya da toplu olarak geri açılabilir.
Kill switch
Tek hamlede bütün otomatik kapatma durur.
Veriniz sizde
Yerel modelde veri makineden çıkmaz. İnternet bağlantısı olmayan ortamlara kurulum desteklenir.
Ürün
Her kararın kanıtı görünür.
Analist bir kapatmayı doğrularken gerekçesini ve kanıtını tek ekranda görür.
Dürüst başlangıç
Susarak başlar, güven kazandıkça konuşur.
İlk gün hiçbir alarmı kapatmaz. Önce gözlem modunda çalışır: vereceği kararı kaydeder ama alarma dokunmaz.
Yeni müşteride ilk haftada yanlış kapatma yapan bir ürün bir daha kurulmaz. Bu yüzden temkinli başlıyoruz.
Hedefler
Hedeflerimizi açıkça yazıyoruz.
Aşağıdaki rakamlar tasarım hedefleridir, ölçülmüş sonuçlar değildir. Her kurulumda gözlem modunda kendi verinizle ölçülür.
hedef
≥ %99,7
Otomatik kapatma precision hedefi
Sistemin CLOSE dediği alarmlardan gerçekten kapatılması gerekenlerin oranı.
hedef
%40–55
Olgun kurulumda kapsam hedefi
Analiste gitmeden güvenle kapatılabilen alarmların payı.
hedef
≤ 30 sn
Karar süresi hedefi (p95)
Alarmın alınmasından kararın yazılmasına kadar.
hedef
≤ 30 sn
Analistin bir kararı doğrulama süresi hedefi
Kanıt tek ekranda, aramaya gerek yok.
Kendi alarmlarınızla, gözlem modunda görün.
Sistem ilk günden hiçbir şeyi kapatmadan neler yapacağını gösterir. Kararı siz verirsiniz.