SOC под давлением: почему алерты игнорируют
📊 SOC под давлением: почему алерты игнорируют
🚨 Причины шума
Ложные срабатывания в SIEM доходят до 80–90%. Чаще всего это результат копирования «готовых» правил без учёта контекста.
Бессмысленно держать правило brute-force для SSH в облаке, где SSH отключён.
Похожая ситуация с Mimikatz: правило на запуск lsass.exe с ключами sekurlsa сработало 12 раз за неделю. Только одна попытка была подозрительной, остальные вызваны штатным ПО резервного копирования.
🔎 Фильтрация алертов
Поведенческие модели и SOAR помогают отделить шум от угроз:
- baseline нормальной активности снижает количество ложных тревог
- enrichment данными из EDR и Threat Intelligence позволяет быстро понимать контекст
- приоритизация по риску даёт SOC-фильтрам фокус на критичных сценариях
Но даже «легитимные» обновления и CI/CD-трафик могут маскировать атаку, если фильтрация слишком поверхностная.
⚙️ Кастомизация MITRE и OWASP
MITRE ATT\&CK и OWASP дают каркас, но правила без адаптации перегружают SOC:
- исключения для легитимных процессов при credential dumping
- настройка веб-правил, чтобы CI/CD не выглядел как SQLi
- перестройка brute-force-правил под API-ключи в облаке снижает шум на 40–50%
🧩 Готовые или свои правила?
Готовые наборы хороши для старта. Но там, где важен бизнес-контекст, нужны свои правила. Это уменьшает шум и делает реагирование осмысленным, а не механическим.
📌 SOC не тонет в алертах из-за «злых хакеров». Он тонет из-за собственных шаблонов и нежелания тратить время на кастомизацию.
