Valse meldingen blijven cyberbeveiligingsindustrie achtervolgen

Het probleem van de vals-positieve waarschuwingen in de cyberbeveiliging gaat maar niet weg. Het bewijsmateriaal blijft zich opstapelen en onthult hoezeer vals-positieve waarschuwingen de IT-beveiligingsteams van bedrijven en de verdediging die ze opbouwen, ondermijnen. En hoewel innovaties op het gebied van bedreigingsbewaking en bescherming het probleem aanpakken, hebben de meeste organisaties tijd nodig om deze in te voeren.

Het probleem begint al bij het enorme aantal waarschuwingen dat wordt gegenereerd door tools die worden gebruikt voor het monitoren en beschermen tegen bedreigingen. Cyberbeveiligingsteams met een chronisch tekort aan personeel staan onder grote druk om ze allemaal te verwerken, waarbij velen vastzitten in wat volgens een waarnemer neerkomt op een "Tinder voor kwaadaardig gedrag" - waarbij ze in feite naar rechts of links vegen door een veelheid aan potentiële bedreigingen. Op het meest basale niveau, in een Security Operations Center (SOC), "is dat zo'n beetje de workflow, en dat is gewoon een recept voor fouten", aldus Patrick Gray, presentator van beveiligingspodcasts.[i] Het probleem wordt nog verergerd door het gebrek aan integratie tussen de verschillende tools voor het monitoren van bedreigingen, waardoor analisten van dashboard naar dashboard moeten schakelen.

Volgens rapporten bestaat een derde tot de helft van alle waarschuwingen uit vals-positieve beveiligingswaarschuwingen. Hoewel tools voor het bewaken en beveiligen tegen bedreigingen zijn afgestemd op het identificeren van verdachte gebeurtenissen, genereren ze maar al te vaak valse waarschuwingen over goed begrepen, veilige activiteiten, die het personeel desondanks tijd moeten kosten om te onderzoeken.

Enquêtes tonen bezorgdheid over dreigingsmonitoring en bescherming

Enquêtes onder cyberbeveiligingsprofessionals kunnen op detailniveau verschillen, maar tonen een eensluidende grote bezorgdheid over hoeveel tijd er wordt verspild aan het najagen van valse aanwijzingen, waardoor de aandacht wordt afgeleid van proactieve beveiligingsinspanningen en het risico toeneemt dat echte bedreigingen worden gemist. Hier volgen enkele van de bevindingen over het monitoren van bedreigingen en bescherming:

• Volume en kwaliteit van waarschuwingen: Het gemiddelde SOC-team behandelt meer dan 11.000 waarschuwingen per dag, meestal handmatig, volgens Forrester's 2020 State of Security Operations. Bijna een derde daarvan is vals-positief. Minder dan de helft van de teams zegt in staat te zijn al hun waarschuwingen in één dag te behandelen, en meer dan een kwart van de waarschuwingen wordt genegeerd door analisten die worstelen met de werklast.[ii]
• Tijdsverspilling door vals-positieve waarschuwingen: De meerderheid van de respondenten van een andere enquête besteedt tot vijf uur per dag aan het onderzoeken van waarschuwingen. Bijna de helft van hen komt er meestal achter dat de helft van hun waarschuwingen vals-positief waren.[iii]
• Risico verhoogd door alerts: Beveiligingsprofessionals die zijn ondervraagd in het rapport 2020 State of SecOps and Automation van Dimensional Research zeggen dat het volume van alerts en valse leads afleidt van belangrijkere zaken, waardoor het beveiligingsrisico toeneemt. Zeventig procent zegt dat de totale hoeveelheid beveiligingswaarschuwingen in de afgelopen vijf jaar is verdubbeld. Tweederde zegt tijd te verspillen aan het najagen van valse positieven.[iv]
• De ellende van kleine teams: CISO's met kleinere cyberbeveiligingsteams noemen "te veel waarschuwingen" in hun top vijf van pijnpunten in de 2021 Survey of CISO's with Small Cyber Security Teams door Cynet, een IT-personeels- en wervingsbureau. Bijna vier op de vijf hebben een fulltime teamlid dat achter alerts aanzit. De andere grootste klachten van CISO's zijn allemaal gerelateerd: overlappende technologieën, te veel dashboards, computervertraging en, uiteindelijk, een onvermogen om het volledige beeld van een aanval te zien.[v]

Vals-positieve veiligheidswaarschuwingen dragen bij tot tekort aan vaardigheden

Weinig beveiligingsteams kunnen het zich veroorloven tijd te verspillen aan valse waarschuwingen. Door een voortdurend tekort aan vaardigheden in de sector hebben CISO's moeite om voldoende analisten in dienst te nemen voor het bewaken en beschermen van bedreigingen. En in een vicieuze cirkel kan "waarschuwingsmoeheid" leiden tot ontevredenheid onder werknemers en ontslagnemingen. Zoals een kop in Forbes het formuleerde: "Cybersecurity heeft een probleem met mensen." [vi]

Bovendien: "Het is duidelijk dat het inhuren en vasthouden van cyberbeveiligers niet alleen een uitdaging is voor teams - ze kunnen een zeer reële impact hebben op de veiligheid van hun ondernemingen," aldus Sandy Silk, directeur van IT Security Education & Consulting, Harvard University.[vii] Enquêteresultaten over dit onderwerp zijn onder meer:

• Onderbezetting: Bijna twee derde van de beveiligingsteams blijft onderbezet, volgens de State of Cybersecurity 2020 van ISACA, een professionele IT-organisatie. Meer dan een derde van de respondenten die drie maanden of langer nodig hebben gehad om posities in te vullen, heeft te maken gehad met een toename van het aantal aanvallen.[viii]
• Ontevredenheid onder werknemers: Bijna een derde van de cyberbeveiligers noemde een overweldigende werklast als het meest stressvolle aspect van hun baan, volgens de Enterprise Strategy Group's Life and Times of Cybersecurity Professionals 2020, en ongeveer een vijfde noemde "voortdurende noodsituaties en verstoringen die me weghouden van mijn primaire taken". Bijna een derde meldde dat zij of een collega als gevolg daarvan aanzienlijke persoonlijke problemen hadden ondervonden. [ix]

Technologie is zowel oorzaak als remedie

De meesten zijn het erover eens dat automatisering hun probleem met zowel de hoeveelheid als de kwaliteit van waarschuwingen kan helpen oplossen, hoewel ongeveer tweederde slechts gedeeltelijk heeft geautomatiseerd, volgens het rapport 2020 State of SecOps and Automation. Degenen die hebben geautomatiseerd, worden vaak geconfronteerd met de uitdaging van het beheer van meerdere bedreigingsmonitoring- en beschermingstools.

In de toekomst zullen CISO's steeds vaker platforms gebruiken die bedreigingsgegevens uit meerdere bronnen integreren. Aanbieders als Mimecast bijvoorbeeld blokkeren niet alleen cyberaanvallen als beveiligde e-maildienstverlener, maar bieden ook integratie met toonaangevende systemen voor security orchestration, automation and response (SOAR).

De kern van de zaak

Er zijn technologische oplossingen in de maak voor het hardnekkige probleem van vals-positieve beveiligingswaarschuwingen. Maar voor veel bedrijven zal het tijd kosten voordat deze oplossingen voor dreigingsmonitoring en bescherming kunnen worden uitgerold. In de tussentijd blijven het risico op cyberaanvallen en de ontevredenheid onder werknemers in cyberbeveiligingsteams hoger voor degenen die achterblijven behi

[i] "Snake Oilers" podcast

[ii] "The 2020 State of Security Operations," Forrester

[iii] "The Impact of Security Alert Overload," CriticalStart

[iv] "2020 State of SecOps and Automation," Dimensional Research

[v] "2021 Survey of CISOs with Small Security Teams," Cynet

[vi] "Cybersecurity heeft een mensenprobleem," Forbes

[vii] "State of Cybersecurity 2020, Part 2," ISACA

[viii] "State of Cybersecurity 2020, Part 2," ISACA

[ix] "The Life and Times of Cybersecurity Professionals 2020," Enterprise Strategy Group