De cyberveiligheid van bedrijven staat onder druk als gevolg van het grote aantal alerts dat analisten in een Security Operations Center (SOC) dagelijks ontvangen. Dat zegt Vectra AI in een wereldwijd onderzoek onder 2.000 SOC-analisten wereldwijd, waaronder 200 analisten van Nederlandse organisaties. Gemiddeld gaat het om zo’n 5.185 alerts per SOC-team per dag, waarvan iets minder dan twee derde (64%) niet kan worden onderzocht.
Dat er op zoveel alerts geen actie ondernomen kan worden, is volgens het onderzoek verontrustend te noemen. Toch is het te verklaren omdat het aantal binnenkomende alerts bij bijna negen op de tien SOC-analisten (88%) in de afgelopen drie jaar aanzienlijk is toegenomen. Ook zijn zowel het aantal gebruikte beveiligingstools (77%) als de omvang van het aanvalsoppervlak (75%) van organisaties toegenomen. Dit heeft gevolgen voor de werkdruk van SOC-analisten: gemiddeld besteden analisten 2,7 uur per dag aan handmatige activiteiten in tools, zoals een SIEM, om alle alerts te onderzoeken. Daarnaast besteden ze onder andere tijd aan het maken van rapportages en het toevoegen van nieuwe use cases.
Handmatig
Het onderzoeken van alerts vindt bij veel organisaties nog grotendeels handmatig plaats, doordat zij niet over Artificial Intelligence (AI) gebaseerde tooling beschikken om de alerts uit diverse systemen met elkaar te correleren en te prioriteren. Het handmatige werk zorgt bij 41 procent van de SOC-analisten voor burn-out gerelateerde klachten en bij 37 procent van de analisten voor stress. Als gevolg hiervan overweegt een ruime meerderheid van de SOC-analisten (57%) om ontslag te nemen of een andere functie binnen het bedrijf te bekleden. Deze leegloop zorgt voor een nog hogere werkdruk onder SOC-analisten, die werkzaam zijn in een sector waar momenteel al een tekort is aan experts.
De oplossing ligt volgens de onderzoekers in het gebruik van AI-gebaseerde tooling voor SOC-teams. Deze manier van werken zorgt voor een vermindering van het aantal false positives, die maar liefst 78 procent van het totaal aantal alerts uitmaken. Wel is het daarbij belangrijk om goed te kijken naar de manier waarop de tooling werkt, de toegepaste algoritmes en de gebruikte trainingsmodellen.
