SOC-e toną w alertach, a atakujący potrzebują tylko 29 minut na ruch w sieci

Z raportu CrowdStrike 2026 Global Threat Report wynika, że przestępcy potrzebują statystycznie jedynie 29 minut od momentu zdobycia pierwszego przyczółka w infrastrukturze ofiary, by zacząć poruszać się w głąb jej systemów. Zespoły odpowiedzialne za bezpieczeństwo muszą jednak każdego dnia przesiewać ogromne ilości powiadomień wymagających sprawdzenia. Według szacunków typowe centrum operacji bezpieczeństwa (SOC) odbiera dziennie po kilka tysięcy alertów, z których aż dwie trzecie nigdy nie zostaje przeanalizowanych. Powstaje w ten sposób paradoksalna sytuacja - organizacje mają dostęp do większej liczby narzędzi, danych i mechanizmów monitoringu niż kiedykolwiek dotąd, a mimo to nie zawsze skuteczniej wychwytują realne zagrożenia.

Mnożenie źródeł danych sam problem nie rozwiąże, jeśli informacje te trafiają do wielu rozdzielonych systemów. Właśnie dlatego zyskują na znaczeniu platformy dające pełny wgląd w ruch sieciowy i relacje między użytkownikami, urządzeniami oraz aplikacjami. Takim rozwiązaniem jest Flowmon - system klasy Network Detection and Response (NDR), który bada ruch sieciowy w całej infrastrukturze, obejmując środowiska on-premise, chmurowe, hybrydowe oraz OT, dając zespołom bezpieczeństwa jednolity obraz komunikacji w organizacji. Zamiast ręcznie scalać dane pochodzące z różnych narzędzi, administratorzy mogą dzięki temu szybciej dotrzeć do źródła incydentu i ocenić jego skutki dla środowiska.

Dzisiejsze SOC-y przetwarzają informacje o zdarzeniach napływające z systemów, aplikacji, stacji końcowych i ruchu sieciowego, lecz interwencji wymaga tylko niewielki ich odłamek. Coraz więcej czasu zabiera natomiast sprawdzanie alertów bez odpowiedniego kontekstu albo takich, które w ogóle nie stanowią realnego niebezpieczeństwa. To zjawisko nazywa się alert fatigue, czyli zmęczeniem alertami. Choć zwykle winą obarcza się niedobór specjalistów od cyberbezpieczeństwa, prawdziwa przyczyna leży gdzie indziej - nie chodzi o kompetencje zespołów ochrony, ale o to, że wiele narzędzi wciąż produkuje więcej sygnałów niż przydatnych wniosków.

Dlaczego większa ilość danych nie rozwiązuje problemu?

Cyberbezpieczeństwo rozwijało się dotąd w oparciu o przekonanie, że im więcej zdarzeń zostanie wykrytych, tym większa szansa na powstrzymanie ataku. Wraz z rosnącą liczbą źródeł danych błyskawicznie zwiększyła się jednak także liczba generowanych alertów. Każdy z nich trzeba przeanalizować, ustalić jego priorytet i zdecydować o dalszym postępowaniu. Gdy takich zdarzeń są setki albo tysiące, uwaga zespołu rozprasza się między liczne potencjalne zagrożenia, a szansa na przeoczenie faktycznego ataku rośnie.

W wielu firmach nie brakuje dziś danych o bezpieczeństwie. Problem polega na tym, że analitycy otrzymują ogromną liczbę sygnałów wymagających oceny, z których tylko część rzeczywiście wskazuje na zagrożenie. Im więcej czasu zespół poświęca na weryfikowanie alertów o niskiej wartości, tym mniej pozostaje go na analizę zdarzeń, które mogą mieć realny wpływ na działalność przedsiębiorstwa

Jakub Andrzejewski, Business Development Manager for Poland & CIS, Progress Software

Rozwiązaniem nie jest tworzenie jeszcze większej liczby alertów, ale skuteczniejsze wyłapywanie tych, które faktycznie zasługują na reakcję. Flowmon korzysta z analizy behawioralnej, uczenia maszynowego i korelacji zdarzeń, aby samodzielnie rozpoznawać anomalie i zmniejszać liczbę fałszywych alarmów. Analitycy mogą w ten sposób skoncentrować się na incydentach o najwyższym priorytecie, a nie tracić czas na ręczne przeglądanie tysięcy komunikatów.

Od alertów do wniosków

Pojedyncze zgłoszenie o nietypowym logowaniu, próbie sięgnięcia po konkretny zasób czy nagłym wzroście ruchu sieciowego rzadko wystarcza, aby ocenić realną wagę zagrożenia. Dopiero połączenie wielu sygnałów z różnych źródeł umożliwia administratorowi rozstrzygnięcie, czy widzi normalne działanie użytkownika, błąd systemu, czy fragment rozwijającego się ataku.

W Flowmon 13 pojawił się nowy moduł Investigations, który daje specjalistom od cyberbezpieczeństwa możliwość prowadzenia analiz incydentów oraz rekonstrukcji przebiegu ataku w usystematyzowany sposób. Umożliwia on zestawianie kolejnych etapów śledztwa, korzystanie z zapisanych scenariuszy oraz udostępnianie rezultatów innym członkom zespołu SOC. Dzięki temu badanie skomplikowanych incydentów przebiega szybciej i staje się bardziej powtarzalne.

Skuteczność współczesnego działu SOC coraz rzadziej zależy od liczby wykrytych zdarzeń. Szczególne znaczenie ma zdolność szybkiego zrozumienia ich kontekstu oraz określenia, które z nich wymagają działania. Celem nowoczesnych rozwiązań bezpieczeństwa powinno być dostarczanie odpowiedzi, a nie kolejnych powiadomień

Jakub Andrzejewski, Progress Software

AI ma ograniczać szum, a nie zastępować analityków

W rozmowach o przyszłości branży cyberbezpieczeństwa sztuczna inteligencja pojawia się coraz częściej. Jej zadaniem nie jest jednak zastąpienie analityków SOC, a wspieranie ich w wychwytywaniu zależności, które trudno byłoby zauważyć bez automatyzacji. Mechanizmy AI wbudowane we Flowmon samodzielnie wykrywają nietypowe schematy komunikacji, łączą informacje płynące z różnych źródeł i wskazują zdarzenia zasługujące na uwagę analityka. Takie podejście pozwala skrócić czas przeznaczany na alerty o niewielkiej wartości i szybciej reagować na prawdziwe zagrożenia.

Największym wyzwaniem współczesnych zespołów bezpieczeństwa nie jest brak danych, ale nadmiar informacji wymagających interpretacji. Kluczowe znaczenie ma dziś zdolność przekształcania dużych wolumenów zdarzeń w konkretne wskazówki wspierające podejmowanie decyzji. Narzędzia wykorzystujące automatyzację i sztuczną inteligencję mogą pomóc ograniczyć ten szum, dostarczając analitykom pełniejszy obraz sytuacji i pozwalając im skupić się na zagrożeniach, które rzeczywiście wymagają działania

Jakub Andrzejewski, Progress Software

W realiach, w których przestępcom wystarcza coraz mniej czasu na rozwinięcie ataku, wydajność SOC-ów nie zależy jedynie od liczby generowanych alertów, lecz od umiejętności szybkiego wyłowienia tych kilku, które naprawdę wymagają działania. Progress Software w najnowszej edycji swojej platformy postawił właśnie na przyspieszenie pracy analityków. Flowmon 13 działa na nowym silniku przetwarzania danych, dzięki któremu czas oczekiwania na wyniki zapytań może być nawet siedmiokrotnie krótszy. Zespoły zyskują w ten sposób szybsze dochodzenia, krótszy czas czekania na wyniki analiz oraz lepszą obsługę środowisk generujących bardzo duży ruch sieciowy.

Źródło: ITwiz