Menguji dan Menyetel Deteksi

Deteksi yang belum disetel dan terpicu oleh aktivitas tidak berbahaya lebih buruk daripada tidak memiliki deteksi. Analis belajar mengabaikan peringatan yang bising, dan satu serangan nyata tenggelam dalam antrean. Inilah kelelahan akibat peringatan, dan inilah cara pembobolan dapat melewati pusat operasi keamanan yang didanai besar.

Penyetelan adalah proses disiplin untuk memaksimalkan positif benar sambil menekan positif palsu hingga mendekati nol, tanpa membuat Anda tidak dapat melihat ancaman nyata.

Kualitas deteksi dengan empat hasil:

• Positif benar (TP) — terpicu oleh aktivitas berbahaya yang nyata
• Positif palsu (FP) — terpicu oleh aktivitas yang aman
• Negatif benar (TN) — tetap tidak menghasilkan peringatan pada aktivitas yang aman
• Negatif palsu (FN) — gagal mendeteksi aktivitas berbahaya yang nyata

Penyetelan melibatkan kompromi di sepanjang ruang ini. Melonggarkan aturan mengurangi FN, tetapi berisiko meningkatkan FP; memperketatnya menghasilkan hal sebaliknya. Kuncinya adalah menemukan keseimbangan yang dapat dipertahankan oleh SOC.

Anda tidak dapat melakukan penyetelan tanpa dasar. Bangun kumpulan sampel yang diketahui berbahaya (aturan harus terpicu) dan sampel yang diketahui aman (aturan harus tetap tidak menghasilkan peringatan). Dalam Sigma DaC, sampel-sampel ini disimpan sebagai kasus pengujian di samping aturan.

Hasilkan telemetri berbahaya yang nyata dengan menjalankan teknik tersebut secara aman. Atomic Red Team menyediakan pengujian kecil dan terdokumentasi yang dipetakan ke ATT&CK, yang dapat Anda jalankan di laboratorium untuk memastikan aturan Anda benar-benar terpicu.

Jalankan pengujian atomik, ambil catatan aktivitasnya, lalu pastikan deteksi terpicu. Jika tidak, aturan Anda memiliki celah cakupan, terlepas dari seberapa baik YAML-nya terlihat.

Sebelum menerapkan aturan untuk menghasilkan peringatan, jalankan aturan tersebut dalam mode audit terhadap data historis dan data langsung untuk mengetahui hal-hal yang biasanya memicunya. Tolok ukur ini mengungkap proses, administrator, dan alat yang sah, yang jika tidak diketahui akan menghasilkan FP.

Sesuatu yang terlihat berbahaya secara abstrak sering kali merupakan tugas pencadangan, pemindai kerentanan, atau agen RMM di lingkungan khusus Anda. Penetapan tolok ukur mengungkap hal-hal ini sebelum membangunkan analis pada malam hari.

Penyetelan yang paling bersih mempertahankan logika berbahaya dan mengurangi pemicu yang diketahui aman melalui filter eksplisit. Cara ini mudah diaudit: peninjau dapat melihat dengan tepat apa yang dikecualikan dan alasannya.

Utamakan pengecualian yang sempit dan beralasan daripada memperluas logika inti, yang dapat secara diam-diam menciptakan titik buta.

Setiap pengecualian adalah celah tempat penyerang dapat bersembunyi. Jika Anda memfilter semua aktivitas dari ParentImage yang memuat nama alat, penyerang yang menyamar dengan nama tersebut dapat menghindari deteksi Anda.

Pedoman:

• Filter berdasarkan atribut yang paling spesifik yang tersedia (jalur lengkap, penerbit bertanda tangan, nilai hash)
• Dokumentasikan alasan keberadaan setiap filter
• Tinjau ulang filter secara berkala — lingkungan dapat berubah
• Utamakan menaikkan ambang batas daripada menghapus suatu kondisi

Beberapa perilaku hanya mencurigakan jika terjadi dalam jumlah besar. Satu upaya masuk yang gagal adalah hal biasa; lima puluh upaya dalam satu menit dari satu sumber bukanlah hal biasa. Gunakan agregasi dalam kondisi untuk menghasilkan peringatan berdasarkan laju atau jumlah, bukan berdasarkan setiap peristiwa.

Penyetelan ambang batas secara drastis mengurangi gangguan pada pola pemaksaan berulang, pemindaian, dan eksfiltrasi.

Penyetelan berlangsung terus-menerus, bukan hanya sekali. Lacak metrik per aturan dan tinjau kembali aturan yang paling bermasalah:

• Jumlah peringatan per aturan per hari
• Tingkat FP berdasarkan keputusan analis
• Presisi = TP / (TP + FP)
• Dampak pada waktu hingga triase

Aturan yang menghasilkan 200 peringatan per minggu dan semuanya ditutup sebagai aman harus disetel, diturunkan ke mode audit, atau dihentikan. Biarkan data memandu keputusan.

Tidak semua gangguan dapat diatasi dengan penindasan. Sering kali peringatan secara teknis valid, tetapi memerlukan konteks agar dapat ditindaklanjuti. Pengayaan melampirkan konteks tersebut secara otomatis agar analis dapat mengambil keputusan lebih cepat.

• Kekritisan aset dan pemiliknya
• Peran pengguna dan apakah akun tersebut memiliki hak istimewa
• Reputasi intelijen ancaman dari alamat IP, domain, dan nilai hash
• Apakah perangkat berada dalam jendela pemeliharaan

Peringatan yang diperkaya memungkinkan Anda memberi skor risiko dan menentukan prioritas, sehingga secara efektif mengurangi gangguan meskipun jumlah peringatan mentah tidak berubah.

Saat Anda menyetel aturan, jalankan kembali seluruh rangkaian pengujiannya di CI. Pengujian yang diketahui berbahaya mencegah deteksi nyata tersetel keluar secara tidak sengaja; pengujian yang diketahui aman memastikan FP telah diperbaiki.

Lingkaran tertutup inilah alasan DaC dan penyetelan harus dilakukan bersama: Anda dapat melakukan refaktor secara leluasa karena pengujian akan menangkap cakupan apa pun yang rusak.

Penyetelan menjaga agar deteksi tetap dapat dipercaya dan ditindaklanjuti:

• FP yang tidak dikelola menyebabkan kelelahan akibat peringatan dan pelanggaran yang terlewat
• Gunakan kerangka TP/FP/TN/FN untuk melakukan analisis
• Bangun kumpulan pengujian yang diketahui aman dan berbahaya
• Gunakan emulasi penyerang (Atomic Red Team) untuk membuktikan aturan terpicu
• Tetapkan tolok ukur dalam mode audit sebelum menghasilkan peringatan
• Lakukan penyetelan dengan filter dan ambang batas yang sempit serta terdokumentasi, bukan pengecualian yang luas
• Ukur tingkat FP dan presisi; lakukan iterasi pada aturan yang paling bermasalah
• Jalankan kembali pengujian regresi pada setiap perubahan

Anda telah menyelesaikan kursus rekayasa deteksi Sigma.