Een SOC dat leert van de mensen die jouw omgeving kennen

Een goede securityanalist onderzoekt een melding en begrijpt waarom deze relevant is voor jouw organisatie. Die kennis is waardevol. Zeker wanneer je haar kunt gebruiken om een volgende melding beter te beoordelen. Bij Access42 gebruiken we Stellar Cyber voor ons Security Operations Center (SOC). Daarom volgen we de ontwikkeling waarmee Stellar Cyber de feedback van analisten laat meewegen in toekomstige beoordelingen met veel interesse. Het uitgangspunt: de onderbouwing van een menselijke correctie bewaren en opnieuw gebruiken wanneer die relevant is.

De kennis achter een beoordeling

Een melding afsluiten als ‘false positive’ vertelt weinig over de reden. Juist die toelichting maakt duidelijk waarom bepaald gedrag binnen een specifieke omgeving verklaarbaar is. Stellar Cyber noemt het vastleggen en hergebruiken van deze kennis institutional memory. De eerdere beoordeling geeft richting aan de AI; de analist kan blijven bijsturen.

Stellar Cyber onderzocht dit met 150 productiemeldingen. Binnen de geselecteerde meldingen met een eerder onjuist oordeel steeg de overeenkomst met het referentieoordeel van ongeveer 13% zonder dit geheugen naar 52% mét geheugen. Dat resultaat komt uit een gecontroleerde interne test. Het is geen algemene nauwkeurigheidsscore of productiegarantie. Meer hierover staat in het artikel van Stellar Cyber.

Wat dit voor ons als SOC-dienstverlener betekent

Voor Access42 raakt deze ontwikkeling aan een belangrijke vraag: hoe maken we de kennis van onze analisten blijvend bruikbaar voor de bescherming van onze klanten? Daar hoort wat ons betreft een zorgvuldige werkwijze bij. Een onderbouwde beoordeling moet duidelijk maken welke waarnemingen de conclusie ondersteunen, voor welke systemen deze geldt en wanneer herbeoordeling nodig is. Denk aan een beheeraccount dat tijdens een migratie tijdelijk extra rechten krijgt. De toestemming moet dan worden gekoppeld aan die migratie en de afgesproken periode. Zodra de werkzaamheden zijn afgerond, verdient hetzelfde gedrag opnieuw aandacht.

Ook in het gesprek tussen klant en SOC ligt hier een concrete kans. Geef bij geplande veranderingen aan wat er verandert, wie verantwoordelijk is en hoelang de situatie duurt. Zo krijgt een analist aanknopingspunten om een melding zorgvuldig te onderzoeken.

Blijven verbeteren vraagt om samenwerking

De ontwikkeling bij Stellar Cyber onderstreept voor ons hoe belangrijk de samenwerking tussen technologie, analisten en klant is. Daarom vinden we het waardevol om naast de afhandeling van meldingen ook te vragen: welke lessen kunnen we vastleggen en hoe controleren we of die later nog geldig zijn?

Wil je weten hoe Access42 jouw organisatie met ons SOC kan ondersteunen? We gaan graag met je in gesprek.