As armadilhas de escolher uma solução SOAR "boa o suficiente"

“"Bom o suficiente" pode até cumprir o requisito, mas provavelmente não vai resolver o problema.

Os CISOs estão se esforçando para acompanhar uma superfície de ataque cada vez maior, recursos limitados e exigências de conformidade crescentes, o que torna a solução "boa o suficiente" uma opção atraente e superficial. Infelizmente, embora a intenção de implementar uma solução de orquestração, automação e resposta de segurança (SOAR) "boa o suficiente" possa parecer aumentar a produtividade da sua equipe e diminuir os riscos, na verdade, você pode estar causando mais danos do que benefícios. Soluções de segurança "boas o suficiente" podem gerar uma falsa sensação de segurança no curto prazo, mas, a longo prazo, podem significar a necessidade de um projeto de substituição completo e doloroso. Você pode evitar esse problema selecionando a solução SOAR certa desde o início.

Selecionar a solução certa

Escolher a ferramenta certa para qualquer tarefa é crucial. Você não escolhe uma faca de carne quando precisa de uma serra. Com tantas soluções SOAR disponíveis, como saber qual delas melhor se adapta às necessidades específicas do seu centro de operações de segurança (SOC)? Ao longo do processo de seleção, você pode se sentir atraído pela primeira solução que pareça simples e fácil de usar, mas esteja ciente de que esses tipos de soluções geralmente comprometem a escalabilidade e a produtividade a longo prazo.

Como diferenciar uma solução SOAR "boa o suficiente" de uma completa? Existem várias maneiras de fazer isso, mas comece focando em soluções que permitam que você e sua equipe sejam mais produtivos, ao mesmo tempo que buscam garantir a sustentabilidade da sua estratégia operacional a longo prazo.

Existem vários sinais de alerta que podem levar ao arrependimento do comprador. Vejamos seis deles:

1. Aplicabilidade limitada no mundo real. – As operações de segurança são um trabalho agitado, e é fácil se concentrar em encerrar alertas, casos e tarefas para poder passar para o próximo. No entanto, os pesquisadores estão observando que cada vez mais invasores usam infraestruturas menos centralizadas para realizar seus ataques, o que significa que a inteligência de ameaças nem sempre consegue identificar com a mesma rapidez a infraestrutura maliciosa de comando e controle (C2). Seu produto SOAR precisa ter automação de longo prazo que atualize a telemetria à medida que a inteligência de ameaças e outras fontes de investigação são atualizadas. Caso contrário, aquele caso que você encerrou às pressas, sem nenhuma informação de ameaça relevante, pode na verdade ser um novo servidor C2 só para você.

2. Inflexibilidade Uma das principais maneiras de identificar rapidamente uma solução SOAR "boa o suficiente" é examinar a flexibilidade dos principais aspectos da plataforma: o mecanismo de automação, a experiência do usuário e a estrutura de integração. Soluções "boas o suficiente" exigem que você siga etapas rígidas, ditadas pelo fornecedor, que não são aplicáveis, são redundantes ou irrelevantes para o seu ambiente. É importante encontrar uma solução configurável e ágil. Uma plataforma de automação extensível é flexível, resiliente e rica em recursos, permitindo que você desenvolva seus casos de uso, levando em consideração seu ambiente específico, processos internos e requisitos de conformidade. Sem uma plataforma abrangente como essa, sua equipe rapidamente se sentirá limitada e frustrada pelas oportunidades restritas de aplicar a automação às suas atividades diárias.

3. Falta de integrações com fornecedores – Integrações são essenciais para a funcionalidade SOAR. A solução que você está avaliando oferece integrações com as ferramentas que você usa atualmente? Com que rapidez e frequência novas integrações são adicionadas? Desconfie de fornecedores que priorizam integrações com suas próprias linhas de produtos em detrimento de integrações com produtos de terceiros. Além disso, considere quais integrações você precisará no futuro. Elas serão todas para uma única empresa do portfólio ou virão de um conjunto diversificado de tecnologias que abrange segurança, DevOps, TI e infraestrutura em nuvem?

4. O foco não está no SOAR. Alguns fornecedores de SOAR possuem linhas de produtos extensas, e o SOAR representa apenas uma pequena contribuição para o conjunto de produtos oferecidos. É importante estar atento quando o carro-chefe de uma empresa não é o SOAR. Será que eles investirão tempo na inovação e iteração adequadas à sua solução de SOAR, ou ela será apenas incluída por um custo simbólico ou usada como um incentivo para a compra de outro produto? Desenvolver tecnologia é uma arte como qualquer outra e, além de usar a ferramenta certa para o trabalho, você também precisa escolher o parceiro certo — um parceiro com profundo conhecimento e objetivos alinhados.

5. Não é escalável. À medida que sua organização cresce, sua solução SOAR também precisa crescer. Seja você uma grande empresa ou um MSSP, a falta de escalabilidade Isso pode ter um enorme impacto negativo, pois você tenta ultrapassar os limites de capacidade de uma solução SOAR "boa o suficiente". A quantidade de dados que as equipes de segurança precisam gerenciar está aumentando, e não diminuindo, assim como a área que precisa ser protegida.

6. Focando no custo versus capacidades – Todos têm um orçamento limitado. É tentador quando parece que você pode obter uma solução SOAR completa por um preço baixo ou conseguir a maioria dos recursos que você acha que precisa como um complemento. Mas o que essas opções baratas escondem é o fato de que você está sacrificando recursos essenciais em troca desse custo menor. Uma solução completa pode parecer mais cara à primeira vista, mas retorno sobre o investimento (ROI) compensará amplamente essa diferença de custo.

Em última análise, a solução SOAR certa ajuda sua equipe de operações de segurança a ser mais eficaz e eficiente. Portanto, embora algumas soluções possam chamar sua atenção com uma interface aparentemente simples ou um preço baixo, vale a pena investir tempo e esforço avaliando as soluções para garantir que sua solução SOAR possa ser dimensionada conforme sua equipe cresce.