Интерфейс как угроза
At 23:14, an analyst is six hours into a night shift at a SOC monitoring center where analysts work around the clock reviewing signals of possible attacks. More than 400 alerts arrived during the shift, and the first fifty turned out to be false. The analyst recognized this quickly, but the system did not: it kept sending warnings at the same frequency and with the same “high importance” label. By the 340th alert, his hand moves toward the keyboard.
23:14. Ночная смена в SOC — центре мониторинга, где аналитики круглосуточно разбирают сигналы о возможных атаках. Аналитик смотрит в экран шестой час. За смену пришло больше 400 алертов, первые полсотни оказались ложными. Он это понял быстро, а система — нет: система продолжает присылать предупреждения с той же частотой и с той же пометкой «высокая важность». К 340 алерту рука тянется к кнопке «Закрыть» раньше, чем глаза дочитывают текст. На 388 аналитик пропускает реальную атаку. Разбор инцидента займет неделю, а то и больше. Вывод будет стандартный: человеческий фактор. Аналитик не среагировал, значит, нужно усилить контроль, дописать регламенты, провести обучение. Никто не посмотрит на экран, перед которым аналитик просидел шесть часов. Читать далее