Ogni e-mail segnalata viene esaminata per conto vostro: le minacce confermate vengono eliminate in pochi minuti

Secondo una ricerca condotta da Omdia e Microsoft, il 42% e degli avvisi non viene oggetto di alcuna indagine, soprattutto al di fuori dell’orario di lavoro, quando le code relative alle minacce rimangono inattese durante la notte. È proprio nel divario tra ciò che viene segnalato e ciò che viene oggetto di indagine che si verificano gli incidenti di sicurezza. Mimecast Managed Threat Response colma tale lacuna, offrendo un servizio all’avanguardia attivo 24 ore su 24, 7 giorni su 7, che gestisce per conto vostro la coda delle e-mail segnalate dagli utenti.

Il problema: una coda che cresce più rapidamente del numero dei dipendenti

I casi di phishing segnalati dagli utenti rientrano pienamente in quella lacuna problematica in cui si annida il rischio. Man mano che i programmi di gestione dei comportamenti in materia di sicurezza si affinano e i dipendenti acquisiscono maggiore dimestichezza nell’individuare le e-mail sospette, il volume delle segnalazioni relative a tali messaggi è in aumento. Questo è il risultato auspicato — un maggior numero di segnalazioni e di segnalazioni più dettagliate — ma crea un problema di secondo ordine: una casella di posta dedicata agli abusi che si riempie più rapidamente di quanto qualsiasi SOC riesca a smistare manualmente, e il semplice aumento del personale non sarà sufficiente a colmare tale divario.

La maggior parte dei team reagisce come fa di fronte a qualsiasi coda che non riesce a smaltire: le attribuisce una priorità inferiore. I rapporti vengono raggruppati in base all’orario di lavoro, affidati ad analisti junior o esaminati solo quando qualcuno segnala un problema. La maggior parte dei SOC non dispone ancora di una strategia coerente per la gestione dei dati che confluiscono nei propri strumenti, e le ricerche di settore evidenziano che oltre la metà dei team di sicurezza si dichiara sopraffatta dal volume degli avvisi: non si tratta di una carenza di risorse in senso astratto, bensì di un ritardo strutturale.

Tale squilibrio è aggravato dal fatto che la maggior parte delle code segnalate dagli utenti non prevede alcun arricchimento automatico: nessun controllo della reputazione del mittente, nessuna correlazione tra tenant, nessun confronto di somiglianza con una campagna nota. Ogni rapporto richiede che una persona parta da zero. Il volume aumenta. Il contesto rimane invariato. Il risultato è una coda composta in gran parte da segnalazioni innocue, mescolate a un numero esiguo di minacce reali, senza alcun metodo affidabile per distinguerle alla velocità richiesta dalla coda.

Come si presenta una buona difesa

La soluzione non consiste nello scegliere tra automazione e analisti, ma nel metterli in sequenza nel modo corretto. L'individuazione, la classificazione e la risoluzione dei problemi sono tre attività distinte, e considerarle come un’unica attività comporta un sovraccarico di lavoro. L'intelligenza artificiale è particolarmente adatta ai primi due aspetti: classificare un'e-mail segnalata, confrontarla con i modelli di campagna noti ed evidenziare quella piccola percentuale che richiede un giudizio umano. Ciò che non dovrebbe essere lasciato alla sola intelligenza artificiale è la correzione, la decisione di bloccare un mittente o l’aggiornamento della logica di rilevamento sulla base del risultato confermato di un algoritmo. Nel sondaggio condotto da Torq sulla sicurezza e la fiducia nell’intelligenza artificiale, il 34% o dei team SOC ha indicato l’eccessiva revisione umana come la principale criticità relativa al triage basato sull’intelligenza artificiale, mentre le conclusioni inaffidabili sono state indicate come la principale criticità per le indagini basate sull’intelligenza artificiale. I team che colmano il divario investigativo sono proprio quelli che stanno creando deliberatamente tale divisione dei compiti: l’automazione gestisce il volume dei dati, gli analisti si occupano delle decisioni discrezionali e il ciclo tra «abbiamo individuato questa minaccia» e «la nostra logica di rilevamento ne è ora a conoscenza» rimane ben definito.

Il punto di vista di Mimecast

Mimecast Managed Threat Response si basa proprio su tale sequenza operativa, ma il motivo per cui colma il divario più rapidamente rispetto a una coda gestita manualmente risiede proprio nei cambiamenti avvenuti “dietro le quinte”. Il servizio si basa su un’architettura di gestione delle minacce completamente nuova: la nostra intelligenza artificiale proprietaria esegue una valutazione preliminare di ogni e-mail segnalata dagli utenti nel momento stesso in cui viene ricevuta, senza seguire una pianificazione prestabilita né elaborarla in batch durante la notte, e inoltra a un operatore umano solo le minacce confermate. Gli analisti del Security Operations Center di Mimecast intervengono quindi su tali conferme 24 ore su 24, 7 giorni su 7, bloccando il mittente o il dominio, rimuovendo un’intera campagna a livello di tenant e aggiornando la logica di rilevamento in base all’esito, con interventi correttivi che vengono attuati in pochi minuti anziché rimanere in coda in attesa che qualcuno se ne occupi.

Con il passare del tempo, tale velocità si trasforma in qualcosa di ancora più potente. La logica di rilevamento migliora costantemente man mano che vengono identificate minacce confermate all’interno della base clienti di Mimecast, che conta oltre 42.000 clienti; ciò significa che ciò che il SOC di un’organizzazione conferma come minaccia affina il rilevamento per tutti gli altri utenti della piattaforma. Una campagna individuata presso una singola azienda stringe il cerchio attorno a tutte le altre, prima ancora che la maggior parte dei SOC abbia completato la valutazione iniziale della prima segnalazione.

Per il vostro team di sicurezza interna, il cambiamento operativo è altrettanto mirato: non occorre imparare a utilizzare una nuova console, non occorre mettere a punto alcun modello di intelligenza artificiale e non occorre finanziare l’assunzione di nuovi analisti. Il risultato viene visualizzato nella dashboard, non nel carico di lavoro. Managed Threat Response si integra con il pulsante di segnalazione e il flusso della casella di posta dedicata agli abusi già in uso presso il cliente; pertanto, nulla cambia per i dipendenti che segnalano e-mail sospette; ciò che cambia è il percorso che tale segnalazione segue una volta inviata. Si tratta inoltre del primo di una serie ampliata di servizi gestiti che Mimecast intende introdurre sul mercato, estendendo questa stessa sequenza di “rilevamento-valutazione-risoluzione” al di là della coda delle e-mail segnalate.

Quali sono le conseguenze per i team di sicurezza?

Il divario nelle indagini non si sta colmando da solo, e ottimizzare il sistema per ottenere una coda più silenziosa non fa altro che sacrificare la visibilità in cambio del silenzio. Se il vostro SOC sta effettuando il triage manuale delle segnalazioni via e-mail, raggruppando la coda durante la notte o affidandosi ad analisti junior per stare al passo con il lavoro, vale la pena chiedersi quanti di questi segnalamenti vengano effettivamente riesaminati con attenzione e quanti rimangano esattamente dove un aggressore vorrebbe che fossero. Si rivolga al Suo team Mimecast per ottenere informazioni sul servizio “Managed Threat Response” e scoprire in che modo il triage accelerato dall’intelligenza artificiale e le misure correttive confermate dagli analisti possano colmare tale lacuna nel Suo ambiente. Non è ancora cliente Mimecast? Scoprite di più sul servizio Managed Threat Response oppure richiedete un preventivo per verificare se è adatto al vostro ambiente.