Membuka Nilai Investasi Melalui Otomasi Keamanan Strategis
Otomasi keamanan sudah lama menjadi topik perdebatan—apa yang akan diotomatisasi, kapan, dan bagaimana. Meskipun sesekali mengalami kekalahan, kesepakatan tetap bahwa otomasi adalah jalan ke depan. Realitas saat ini mengonfirmasi bahwa otomasi tidak lagi opsional; esensial.
Sementara banyak organisasi telah menerapkan otomasi dasar untuk tugas keamanan dan respons insiden (IR) kritis, peristiwa tahun 2020 berfungsi sebagai katalis, menurut Noor Boulos dari ThreatQuotient. Laporan SANS terbaru menyoroti bagaimana pandemi global mempercepat adopsi otomasi, mendorong perusahaan untuk mengevaluasi ulang prioritas dan roadmap masa depan. Survei mencakup perusahaan semua ukuran di Amerika Utara, Eropa, Asia Pasifik, dan Afrika.
Kesalahan utama meliputi:
Hampir satu pertiga organisasi melaporkan bahwa pandemi COVID-19 mempercepat rencana otomasi mereka.
Lebih dari 80 persen sekarang memiliki otomasi setidaknya sebagian dari proses keamanan dan IR inti—naik dari 47 persen pada 2020.
Otomatisasi respons insiden tumbuh paling tajam, dengan otomasi yang luas naik 18 poin persentase dari 10,5 persen pada 2020 menjadi 28,3 persen pada 2021.
Operasi keamanan dan pemrosesan peringatan tetap menjadi fokus utama, dengan 35,5 persen mencapai otomasi yang luas.
Menurut rencana, 85 persen berencana untuk memperluas otomasi proses keamanan dan IR kunci dalam 12 bulan ke depan.
Temuan ini menyoroti pentingnya waktu dalam siklus hidup keamanan untuk memaksimalkan nilai bisnis. Di ThreatQuotient, kami menekankan bahwa data adalah sumbu deteksi dan respons otomasi yang efektif. Mari kita periksa dua kasus penggunaan utama yang disorot dalam laporan: Alert Triage dan Incident Response.
Alert Triage:
Analis keamanan menghadapi ribuan peringatan yang dihasilkan oleh aturan SIEM yang berisik dan konfigurasi pertahanan default. Untuk mengelola volume dan kecepatan, analis sering memasukkan data ancaman eksternal dan feed intelijen langsung ke SIEM. Namun, dua tantangan tetap ada:
Pertama, volume data ancaman eksternal yang luar biasa membebani SIEM, menghasilkan banyak peringatan non-kontekstual yang membutuhkan penelitian intensif oleh analis. Kedua, alat saat ini kurang memiliki dukungan keputusan yang kuat untuk menyediakan konteks dan relevansi sebelum mengintegrasikan intelijen ancaman ke SIEM. Prioritaskan adalah penting untuk memfokuskan analis pada peringatan yang dapat ditindaklanjuti.
Dengan Platform ThreatQ, Anda dapat menghilangkan peringatan yang tidak berguna dengan hanya memasukkan intelijen ancaman yang relevan ke SIEM. Platform secara otomatis menerapkan konteks, relevansi, dan prioritas pada data ancaman sebelum mencapai SIEM, meningkatkan efisiensi dan efektivitas.
Skor intelijen ancaman kustom—disesuaikan dengan lingkungan Anda—memungkinkan prioritas yang tepat. Dengan menyaring subset data ancaman yang terfokus, SIEM menghasilkan lebih sedikit false positive dan menskalakan dengan lebih lancar.
Incident Response:
Solusi Security Orchestration, Automation, and Response (SOAR) tradisional difokuskan pada otomasi proses. Namun, saat diterapkan pada deteksi dan respons, playbook dapat menjadi rumit karena logika keputusan hard-coded dan harus diperbarui di setiap playbook. Kompleksitas ini berkali-kali saat playbook bertumbuh, dan otomasi data yang berisik dapat memperbisingkan kebisingan.
ThreatQ TDR Orchestrator menerapkan pendekatan SOAR yang disederhanakan dan didorong data. Di sini, data itu sendiri memicu playbook, dan wawasan yang diperoleh dari tindakan otomatis dikembalikan ke analitik untuk meningkatkan respons di masa depan. Dengan menyematkan intelijen ke dalam platform alih-alih playbook individu, konfigurasi dan pemeliharaan menjadi jauh lebih sederhana, menghasilkan hasil otomasi yang lebih efisien dan efektif. Pengguna dapat mempraktikkan dan memprioritaskan data sebelumnya, mengotomatisasi tindakan yang relevan, dan menyederhanakan prosedur respons.
