Dentro do Cisco Reside SOC
No Cisco Reside AMER, o Safety Operations Middle (SOC) é mais do que um ambiente de demonstração. É um centro de operações de segurança que protege o evento em tempo actual, reunindo analistas, telemetria, detecções e fluxos de trabalho de resposta em toda a rede de conferências. Para uma visão mais ampla de como o Cisco Reside SOC opera, leia esta visão geral.
Esta postagem se concentra em minha experiência dentro desse ambiente como gerente de produto usando IA, Splunk Enterprise Safety e XDR para investigar detecções reais e refletir sobre quais produtos melhores de detecção e resposta deveriam se tornar.
De conversas com clientes a investigações ao vivo
Passo muito tempo com as equipes de operações de segurança e ambientes SOC dos clientes. Como gerente de produto que trabalha com XDR no Cisco Splunk, essas conversas são uma das partes mais valiosas do trabalho. Você ouve onde as investigações ficam mais lentas, onde o contexto se perde e onde os analistas ainda precisam costurar muitas coisas à mão.
O Cisco Reside AMER me proporcionou uma versão mais direta dessa experiência.
Parte da semana foi passada em reuniões com clientes, ouvindo como eles investigavam e pensando em como deveriam ser os melhores produtos de detecção e resposta. Outra parte foi gasta no SOC, trabalhando em investigações reais com XDR, Splunk Enterprise Safety, eventos de firewall, telemetria DNS, dados de pacotes e assistência de IA.
Essa combinação foi esclarecedora. As conversas com os clientes me mostraram a dor. O trabalho do SOC me mostrou a textura dessa dor em tempo actual.
O meio confuso de detecção e resposta
A maior lição foi que a detecção e a resposta não são um problema único do produto. É um problema de fluxo de trabalho.
Uma detecção pode começar em um firewall, ser enriquecida em XDR, exigir contexto histórico do Splunk Enterprise Safety, precisar de evidências de pacotes de uma plataforma de captura e ainda depender de alguém que entenda a topologia da rede native. O trabalho do analista é transformar tudo isso em uma decisão: verdadeiro positivo ou falso positivo, bloqueado ou bem-sucedido, comprometido ou simplesmente barulhento.
Essa distinção é importante.
Uma detecção pode dizer “tentativa de estouro” ou “tentativa de negação de serviço”, mas as verdadeiras questões são mais práticas:
- A sessão foi concluída?
- O trânsito foi bloqueado?
- Este ativo é vulnerável?
- Espera-se que esta fonte fale com esse destino?
- O destino é malicioso, um resolvedor, um sumidouro ou um controle de segurança fazendo seu trabalho?
Esse é o trabalho diário de um analista e algo em que passei alguns dias me aprofundando e agora tenho uma empatia melhor.
Onde a IA me ajudou a avançar mais rápido
A IA foi uma ferramenta muito útil para esse funcionário iniciante no Cisco SOC. Ajudou-me mais porque me permitiu orientar-me mais rapidamente – tanto com inteligência, contexto e uma hipótese inicial, isto foi muito útil para um analista que nunca tinha visto este ambiente e estava a começar os seus primeiros dias de trabalho numa nova “empresa”.
Isso não substituiu o ato de investigar uma ameaça potencial. Isso ajudou a reduzir o tempo que levava para entender o que eu estava vendo, o que period importante e o que verificar em seguida.
Quando um alerta period disparado, eu ainda precisava entender a origem, o destino, o protocolo, a ação, o momento e o contexto de negócios. Mas a IA ajudou a reduzir o tempo de aceleração. Ele ajudou a traduzir a linguagem densa do firewall, normalizar carimbos de information e hora, raciocinar por meio de endereços NAT64, resumir evidências de pacotes e separar “a regra correspondida” de “o ativo está comprometido”.
Essa última parte é importante. Nas operações de segurança, muitas vezes a parte difícil é não saber se uma detecção foi disparada. A parte difícil é saber o que a detecção significa no contexto.
O que as investigações reais reforçaram
Em diversas investigações, o resultado mais importante não foi um compromisso dramático confirmado. Foi uma conclusão limpa e apoiada em evidências.
Às vezes, essa conclusão period: detecção actual, conexão bloqueada, sem prova de comprometimento.
Outras vezes period: assinatura correspondida, mas provavelmente falso positivo porque o tráfego period RADIUS regular ou comportamento DNS no contexto.
Esses resultados podem parecer menos entusiasmantes, mas são importantes. Cada minuto que um analista gasta perseguindo uma detecção barulhenta é um minuto que ele não está gastando em algo mais importante. Bons fluxos de trabalho e recursos de investigação devem ajudar os analistas a chegar a essas conclusões de forma rápida, clara e com evidências em que possam confiar.
Onde Splunk e XDR brilharam juntos
Durante vários dias no SOC, vi os pontos fortes do Splunk e do XDR aparecerem em diferentes momentos da investigação.
O Splunk Enterprise Safety brilhou quando precisei de profundidade. Isso me deu a capacidade de pesquisar eventos brutos, validar carimbos de information/hora, comparar registros de firewall, inspecionar atividades de DNS e RADIUS e ver o que aconteceu antes e depois de uma detecção. Quando um título de alerta parecia grave, o Splunk ajudou a responder à questão prática: o que aconteceu nos logs?
O XDR brilhou como ponto de partida para mim, deu-me uma hipótese para começar, evidências importantes e análises para essa hipótese. Ajudou a conectar entidades relacionadas, detecções, contexto de origem e destino e fluxo de investigação em um só lugar. Isso tornou mais fácil compreender se um evento period isolado, correlacionado com outra atividade ou parte de um padrão mais amplo.
Usá-los juntos em diversas investigações fez com que a transferência entre produtos parecesse especialmente importante. O XDR me ajudou a entender o formato da investigação. O Splunk me ajudou a aprofundar os detalhes e a provar com ainda mais evidências o que o XDR foi capaz de concluir, ajudando-me a resolver rapidamente grandes volumes de investigações com um alto nível de confiança.
Isso foi importante porque muitas detecções eram novas para mim, já que esta period minha primeira semana “no trabalho”. Uma assinatura de firewall poderia dizer “tentativa de estouro” ou “tentativa de negação de serviço”, mas o verdadeiro trabalho period determinar se o tráfego estava bloqueado, se a sessão foi concluída, se o ativo estava vulnerável e se o comportamento period esperado naquela parte da rede.
Para mim, Splunk e XDR brilharam juntos de três maneiras:
- O XDR me ajudou a ir de 0 a 140 km/h em minutos enquanto eu investigava incidentes, me ajudou a tornar as relações óbvias: quais entidades, detecções, usuários, ativos e destinos eram importantes e o que eles significavam juntos, e qual é a hipótese mais provável com todas as evidências reunidas.
- O Splunk me ajudou a confirmar os últimos 10% tornando as evidências pesquisáveis: o que os registros brutos diziam, quando os eventos aconteceram e o que mais os rodeava.
- Juntos, eles ajudaram a tornar as conclusões defensáveis: bloqueadas, benignas, suspeitas, comprometidas ou que necessitam de escalada.
A experiência também me deu ideias imediatas de produtos. A transferência entre “visão de investigação conectada” e “busca profunda de evidências” deve parecer pure e até mesmo ser trazida para uma experiência unificada. Um analista deve ser capaz de iniciar uma investigação e rever todos os dados numa única experiência, retirar as provas relevantes e concluir a investigação ainda mais rapidamente com elevada confiança.
Trabalhar neste SOC apenas reforçou esta intuição: não forçar os analistas a escolher entre um mapa de investigação e a profundidade das evidências, mas reunir esses pontos fortes no fluxo de trabalho realmente permite uma tomada de decisão mais rápida.
Construindo em direção a melhores experiências de analistas
É assim que penso agora na construção de melhores produtos de detecção e resposta: não como ferramentas isoladas, mas como sistemas de investigação conectados que reduzem o trabalho de tradução para o analista.
A IA pode ajudar um gerente de produto a se tornar útil mais rapidamente em um SOC ativo. Mais importante ainda, pode ajudar os analistas a chegar à pergunta certa mais rapidamente, sem retirar o seu julgamento do processo.
O Cisco Reside me proporcionou uma visão mais nítida do que é ser bom: produtos que tornam a complexidade compreensível, preservam evidências, respeitam o julgamento dos analistas e transformam a dor do cliente em melhores fluxos de trabalho.
Esse é o padrão que quero que continuemos construindo à medida que construímos o Cisco XDR e o Splunk Safety.
Confira os blogs dos engenheiros que trabalharam dentro do SOC em Las Vegas: