Detecção
Um alerta corresponde ao componente principal da fase de detecção. Ele gera uma notificação para iniciar o processo de resposta a incidente com base nas atividades de ameaças na conta da AWS em questão.
A precisão dos alertas é um desafio. Não é sempre que é possível determinar com total certeza se um incidente ocorreu, está em andamento ou se ocorrerá no futuro. A seguir, apresentamos alguns motivos:
-
Os mecanismos de detecção são baseados na variação em relação à linha de base, em padrões conhecidos e em notificações provenientes de entidades internas ou externas.
-
Em virtude da natureza imprevisível da tecnologia e das pessoas, que são respectivamente os meios e os agentes dos incidentes de segurança, as linhas de base se alteram com o tempo. Os padrões anômalos surgem por meio de táticas, técnicas e procedimentos (TTPs) novos ou modificados de agentes de ameaças.
-
As alterações relacionadas a pessoas, tecnologia e processos não são incorporadas imediatamente ao processo de resposta a incidentes. Algumas dessas alterações, inclusive, são descobertas durante o andamento de uma investigação.
