Detección
La alerta es el componente principal de la fase de detección. Genera una notificación para iniciar el proceso de respuesta ante incidentes en función de la actividad de las cuentas de AWS que le interese.
La precisión de las alertas es un desafío; no siempre es posible determinar con total certeza si se ha producido un incidente, si está en curso o si ocurrirá en el futuro. Estas son algunas razones:
-
Los mecanismos de detección se basan en la desviación de la línea base, los patrones conocidos y la notificación de entidades internas o externas.
-
Debido a la naturaleza impredecible de la tecnología y las personas, que son los medios y los actores de los incidentes de seguridad, respectivamente, las líneas de base cambian con el tiempo. Los patrones maliciosos surgen a través de tácticas, técnicas y procedimientos (TTP) de los actores de amenazas novedosos o modificados.
-
Los cambios en las personas, la tecnología y los procesos no se incorporan inmediatamente al proceso de respuesta ante incidentes. Algunos se descubren durante el progreso de una investigación.
