Le NCSC avertit que de mauvaises métriques de SOC peuvent affaiblir les opérations de sécurité

Le Centre national britannique de cybersécurité a averti que les organisations pourraient affaiblir leurs centres opérationnels de sécurité (SOC) si elles se concentrent sur de mauvaises mesures de performance. Dans une publication récente, l’agence a déclaré que des métriques faciles à comptabiliser, mais qui reflètent mal les résultats réels en matière de sécurité, peuvent influencer les analystes de manière inappropriée et réduire la capacité de l’équipe à détecter les véritables menaces.

Les SOC sont conçus pour surveiller les journaux, enquêter sur les alertes et répondre aux incidents, mais leur fonctionnement est également coûteux. C’est pourquoi de nombreuses organisations tentent d’évaluer leur valeur à l’aide de mesures informatiques courantes, telles que le volume de tickets, les délais de clôture et d’autres indicateurs simples de qualité de service. Le NCSC estime que ces chiffres peuvent être trompeurs lorsqu’ils sont appliqués aux activités de sécurité.

Exemples de métriques problématiques

• Tickets traités : Si les analystes sont principalement évalués sur leur débit, ils peuvent être incités à écarter rapidement les alertes au lieu de les examiner correctement.

• Délai de clôture des tickets : Des délais de clôture plus courts peuvent encourager des décisions rapides concernant les faux positifs plutôt qu’un triage minutieux.

• Nombre de règles de détection : Le comptage des règles peut inciter à produire davantage d’alertes, et non de meilleures alertes, ce qui entraîne du bruit et une « inflation des alertes ».

• Volume de journaux collectés : L’ingestion d’un grand volume de journaux n’améliore pas automatiquement la détection, en particulier si les données sont incomplètes, mal configurées ou jamais utilisées pour générer des alertes pertinentes.

L’agence a déclaré avoir constaté que, dans certaines organisations, l’attention excessive portée à ces mesures avait rendu les SOC moins efficaces. Dans certains cas, les équipes collectaient de grandes quantités de données sans vérifier leur utilité, tandis que, dans d’autres, les analystes étaient encouragés à privilégier la rapidité au détriment de la qualité.

Selon le NCSC, la mesure la plus claire de la performance d’un SOC est sa capacité à détecter et à traiter rapidement les attaques. Les indicateurs courants comprennent le délai de détection et le délai de réponse, même si l’agence souligne qu’il peut être difficile de les évaluer en pratique, car les attaques réussies sont parfois rares.

Pour réduire cette incertitude, le NCSC recommande de recourir à des exercices de red team et de purple team afin de simuler des attaques et de vérifier si le SOC serait capable de les identifier et de les gérer dans des conditions réalistes.