O conceito de "fadiga de alerta" descreve um fenômeno onde pessoas — especialmente em ambientes de trabalho agitados — tornam-se dessensibilizadas aos alertas de segurança. Devido a isso, é quase certo que um alerta crítico eventualmente será ignorado, colocando o negócio em risco.
Humanos intuitivamente filtram o "ruído". Estamos sintonizados para notar o incomum. Quando alertas ou alarmes são constantes, torna-se difícil para nós sentir que algum deles será particularmente importante. É quando alertas críticos serão perdidos.
Embora não exclusivo para cibersegurança, a fadiga de alerta tornou-se uma grande preocupação neste campo nos últimos anos.
Pesquisa da Forrester publicada em 2020 encontrou que equipes de segurança recebiam em média 11.000 alertas de segurança diariamente, um volume que não estavam equipados para lidar. Por essa razão, 28% dos alertas nunca são abordados.
Uma pesquisa da IDC de 2021 chegou a uma conclusão semelhante, descobrindo que analistas ignoraram de 23% a 30% dos alertas de segurança. Organizações de médio porte com 1.500 a 5.000 funcionários se saíram pior do que as menores ou maiores.
Outro estudo de março de 2023 encomendado pela IBM pesquisou equipes de centros de operações de segurança (SOC) para investigar o que tem os atrasado. As respostas revelaram que, em um dia de trabalho típico, membros da equipe do SOC só revisam 49% dos alertas que deveriam.
Esses dados também estão relacionados às principais reclamações de profissionais de cibersegurança sobre satisfação no trabalho. De acordo com o Estudo da Força de Trabalho em Cibersegurança ISC2 de 2023, 31% dos profissionais sentem que têm muitas tarefas, 30% dizem que estão sobrecarregados, e 25% acham que suas equipes têm recursos inadequados para proteger a organização.
Quando analistas estão correndo para passar por uma lista interminável de alertas ou eventos, é mais fácil cometer erros ou ignorar completamente algo importante.
A natureza e o volume de alertas de cibersegurança podem variar significativamente, sendo uma das razões pela qual a fadiga de alerta se tornou um problema no setor.
Atividades que podem gerar alertas de segurança incluem:
Curiosamente, cada classe de alertas pode ser produzida por diferentes soluções de segurança ou ativos, mas certas tecnologias abrangem vários ativos. Por exemplo, alertas de atividade de rede são frequentemente gerados por firewalls ou sistemas de prevenção de intrusão, enquanto o software de Prevenção de Perda de Dados (DLP) pode estar presente em várias camadas (ponto final, rede ou nuvem).
À medida que as empresas implementam mais soluções para buscar melhor visibilidade em sua infraestrutura de TI, as equipes de segurança tornam-se cada vez mais sobrecarregadas pelo número de alertas que todas geram, e cabe a elas correlacionar diferentes alertas e suas fontes para um entendimento coeso do que está acontecendo.
Soluções de gestão de informações e eventos de segurança (SIEM) podem reunir todos esses alertas em um único lugar. Ajuda a organizar e consolidar todos os alertas, mas não necessariamente resolve o problema. Integrar cada alerta único no SIEM sem considerar sua gravidade ou qualidade só dará mais visibilidade e piorará o problema.
Se todos os alertas fossem sérios e valiosos, ignorar 30% deles certamente causaria danos imediatos. A maioria dos negócios não é vítima de criminosos ou intrusos todos os dias – mesmo que centenas de alertas fossem ignorados.
Embora seja bom que a maioria dos negócios consiga proteger suas operações principais todos os dias, o fato de tantos alertas poderem ser ignorados indica que há muito ruído nessas advertências. Se uma organização eventualmente se envolver em um incidente de cibersegurança, provavelmente será porque apenas alguns eventos críticos foram perdidos.
Quando os sistemas de segurança repetidamente alertam sobre eventos que não representam nenhum risco concreto, logo fica claro que prestar atenção neles é perda de tempo. Em alguns lugares, isso pode ser observado com alarmes de carro – eles são acionados por engano tão frequentemente que as pessoas raramente lembram que eles estão lá para prevenir roubo.
Alertas contribuirão para a fadiga quando contiverem:
Quando membros de uma equipe de segurança começam a sofrer de fadiga de alerta, as consequências são sentidas primeiro pela equipe em si.
A fadiga de alerta pode afetar o moral da equipe, levando a alta rotatividade ou problemas com a síndrome de burnout. Se o negócio responder contratando mais profissionais, a alta carga de trabalho em alertas desnecessários, apesar de ineficaz, pode ser muito custosa. Não há garantia de que isso resolverá completamente o problema, pois os analistas ainda exigirão muito tempo para processar cada alerta de baixa qualidade.
Os profissionais podem usar sua engenhosidade para adaptar e filtrar o ruído até certo ponto. Quando isso não é possível, eles simplesmente podem não ter nenhuma visibilidade sobre as ameaças mais prementes às quais o negócio está exposto.
Eventualmente, a equipe provavelmente perderá um incidente evitável ou falhará em interromper rapidamente um ataque em andamento.
Portanto, a fadiga de alerta mina o trabalho da equipe de segurança. Isso pode levar a uma violação de cibersegurança ou atrasar a detecção e resposta a um incidente, aumentando seus custos de recuperação.
Violações de cibersegurança expõem a empresa a danos à reputação, custos legais e perda de receita devido a interrupções (como aquelas causadas por ransomware) ou vendas perdidas.
Alguns ciberataques causam danos financeiros diretos, afetando pagamentos, serviços ou produtos.
Toda plataforma de segurança gerará alertas de algum tipo. No entanto, é necessário cuidado para evitar investir em soluções que podem causar fadiga de alerta ou piorar a situação de uma equipe que já está lidando com esse problema.
Para garantir que os alertas sejam acionáveis e relevantes, as ferramentas devem ser capazes de fazer o seguinte:
Axur constrói suas soluções para serem inteligentes e resolver problemas sem criar ruído para as equipes de segurança. Nossa Plataforma de Cibersegurança Externa gerencia 86% de seus eventos de detecção sem intervenção manual. Enquanto isso, a interface DeepChat para nosso Monitoramento da Deep & Dark Web usa IA Generativa para produzir um resumo conciso de ameaças potenciais, reduzindo a necessidade de revisar manualmente cada detecção.
Polaris, nossa plataforma de inteligência de ameaças de próxima geração, foi construída para permitir que equipes de todos os tamanhos aproveitem a inteligência de ameaças e a Inteligência Artificial na maioria das tarefas. Foi construída do zero para produzir insights acionáveis e resumos de ameaças personalizados. Claro, também pode reconhecer eventos críticos e priorizá-los de acordo.
Com insights poderosos à disposição, os analistas podem tomar decisões baseadas em dados e ajustar outros sensores e ferramentas com as informações mais recentes sobre cada ameaça relevante para o negócio. Isso leva a melhores fluxos de trabalho e a uma fila menor, mas mais precisa, de alertas que requerem atenção humana.