Insufficient Monitoring
La surveillance insuffisante est l'absence de détection et d'alerte en temps réel des événements et anomalies de sécurité, laissant les attaques passer inaperçues longtemps.
Objectif
Comprendre les exigences de surveillance de sécurité et leurs défenses ; le cœur des opérations de sécurité et du détecter-répondre.
Mécanisme
Les défauts incluent l'absence de SIEM, de détection d'anomalies, de seuils d'alerte, de détection d'intrusion. Défenses : centralisation des journaux par SIEM, analyse comportementale UEBA, IDS/IPS, runbooks d'alerte, objectifs MTTR.
Cas d’usage
- Déploiement SIEM
- Détection de menaces
- Opérations de sécurité