1%的误报，足以拖垮你的安全团队!

发布时间：2025-11-04 19:12:38 来源：码上建站 作者：数据库

本文转载自微信公众号「计算机世界」，误的安队作者Jaikumar Vijayan。报足转载本文请联系计算机世界公众号。拖垮

误报(或错误地指示特定环境中存在安全威胁的全团警报)是安全运营中心(SOC)的一个主要问题。大量研究表明，误的安队SOC 分析师会花费大量的报足时间和精力来追踪错误报告，有些报告提示系统正面临迫在眉睫的拖垮威胁，而这些警报最终被证明是全团良性的。

Invicti的误的安队最新研究发现，SOC平均每年会浪费1万个小时和大约50万美元在验证不可靠和不正确的报足漏洞警报上。Enterprise Strategy 集团(ESG)为Fastly进行的拖垮另一项调查发现，企业的全团web应用程序和API安全工具平均每天会发出53次警报，其中近一半(45%)是误的安队误报。调查中有十分之九的报足受访者认为误报会对安全团队产生负面影响。

Deep Instinct网络安全宣传主管Chuck Everette表示，拖垮 “对于SOC团队来说，误报是服务器租用最大的痛点之一。” SOC工作的主要重点是监视安全事件，并及时地响应和调查这些事件。他说:“如果SOC团队被成百上千个误报淹没，他们的注意力将会被分散，而无法对真正的威胁做出及时的反应和有效的应对。”

完全从环境中消除误报几乎是不可能的。但是，SOC可以通过一些方法最大限度地减少在误报上浪费的时间。以下是五种方法：

关注重要的威胁

在配置和调整安全警报工具，例如入侵检测系统、安全信息和事件管理(SIEM)系统时，请确保你定义的规则和行为只对与你的环境相关的威胁发出警报。安全工具可以聚合大量日志数据，但这些数据不一定都会在与你相关的环境中构成威胁。

Vectra CTO团队的WordPress模板技术总监Tim Wade表示，大多数SOC管理的大量误报是以下三种情况之一所导致的，“首先，基于相关性的规则通常缺乏表达足够数量的特征的能力，这些特征是将检测灵敏度和特异性提高到可操作水平所必需的。”因此，检测往往会显示为威胁行为，无法与良性行为区分开来。

他说，第二个问题是，基于行为的规则主要关注异常，擅于追溯发现威胁，但是它经常无法发出行动信号。“在任何规模的企业中，‘有异常是正常的’，这意味着存在异常行为是再正常不过的事情，因此追查每一个异常无疑是高防服务器浪费时间和精力的行为。

“第三，SOC自身的事件分类不够成熟，无法区分恶意的威胁和良性的警告。”Wade说，这导致良性的警告与误报被归为同一类别，因此掩盖了有助于在检测工程工作中实现迭代改进的数据。

Netenrich 的首席威胁猎人John Bambenek说，误报的主要原因是SOC未能了解其特定环境中的真正的妥协指标是什么，以及缺乏可用于测试规则的良好数据。许多安全中心经常将妥协指标作为其研究的一部分，但有时一个有效的妥协指标本身不足以指明那些对特定环境的威胁。威胁行为者可以使用Tor。因此，要让妥协指标发挥作用是需要条件的。但这并不意味着使用Tor的每个人都是网络上的特定威胁参与者。他说:“大多数研究需要情境信息，而许多公司在创造情境检测方面很落后。”

不要被“误报率”误导

安全从业者经常错误地对供应商关于低误报率的声明过于较真，仅仅因为SOC工具可能声称误报率为1%。“但1%的误报率并不意味着真警报的概率为99%。”JupiterOne的首席信息安全官Sounil Yu说。由于合法流量通常比恶意流量高，因此真警报率通常会远低于安全管理人员最初的预期。"真警报的实际概率要低得多，而且根据处理的总事件数量来看，这种概率还可能会进一步降低，"Yu说。

例如，他指出一个 SOC 每天可能处理 100，000 个事件，其中 100 个是真实警报，99，900 个是假警报。在这种情况下，1% 的误报率意味着安全团队必须追踪 999 个误报，而真警报的可能性仅为 Yu 所说的 9%。"如果我们将事件数增加到 1，000，000，同时将实际警报数保持 100 个不变，则概率会进一步下降到 1% 以下。

Yu指出，管理员的主要收获是，误报率的微小差异会显著影响SOC团队需要追查的误报数量。因此，必须要不断调整检测规则，以降低误报率，并尽可能做自动化警报的初始调查。安全团队还应该抵制向检测引擎提供比其所需数据还多的数据趋势。他说："与其随意地将更多数据填充到检测管道中，不如确保你只有处理检测规则所需的数据，并将其他数据留给以后自动扩充。"

作者：Jaikumar Vijayan是一位自由技术作家，专门研究计算机安全和隐私主题。

原文网址：http://www.csoonline.com/article/3641638/5-tips-for-reducing-false-positive-security-alerts.html

相关文章