SOC अपना काम कर रहा है, यह दिखाने के लिए आप कौन से मेट्रिक्स बताएंगे?

गतिविधि के साथ साथ नतीजों वाले मेट्रिक्स बताएं। काम के मेट्रिक्स हैं severity के हिसाब से पकड़ने और रोकने में लगा वक्त, कितने incident आपकी अपनी detection ने पकड़े बनाम बाहर से बताए गए, आपकी प्राथमिकता वाली technique के मुकाबले जांची गई detection coverage, हर rule की false positive दर, और खुले जोखिम अपवादों की उम्र। मुख्य आंकड़ों के तौर पर कच्ची alert गिनती और बंद हुए ticket से बचें, क्योंकि वे सुरक्षा के नतीजों के बजाय शोर को इनाम देते हैं।

मेरा मुख्य आंकड़ा यह है कि कितने incident हमने खुद पकड़े बनाम कितनों के बारे में हमें किसी यूजर, ग्राहक, vendor या कानून लागू करने वाली एजेंसी से पता चला। वही अकेला नंबर बताता है कि यह विभाग काम कर रहा है या नहीं। उसके नीचे, severity के हिसाब से बंटा पकड़ने और रोकने में लगा वक्त, क्योंकि किसी phishing शिकायत का ransomware की कोशिश के साथ औसत निकालना हर मायने रखने वाली बात छिपा देता है। फिर उन technique के मुकाबले coverage जिन्हें हमने अपने threat model के लिए प्राथमिकता माना था, जो खुद के आकलन के बजाय validation टेस्टिंग से आंकी गई हो, और हर rule की false positive दर ताकि tuning के काम से एक नंबर जुड़ा रहे। मैं जानबूझकर alert की मात्रा या बंद हुए ticket को आगे नहीं रखता, क्योंकि माहौल के शोर भरे होने पर वे बढ़ जाते हैं, और मैंने एक टीम को ऐसे मेट्रिक पर बधाई मिलते देखा है जो असल में शुद्ध telemetry का पीछे जाना था। जब महीना बुरा हो तो मैं उसे वजह और सुधार के साथ पेश करता हूं, क्योंकि जिस पल आप dashboard सजाने लगते हैं, आप सीधे मुंह बजट मांगने की काबिलियत खो देते हैं।