داده‌های جدید نشان می‌دهد که تقریباً یک‌سوم از تحلیل‌های انجام شده در مراکز خدمات امنیت مدیریت شده (MSSP)، مربوط به ایمیل‌ها است. این حجم بالای ترافیک باعث می‌شود بخش بزرگی از زمان تحلیلگران سطح یک (Tier 1) صرف بررسی حملات فیشینگ (Phishing) شود. چالش اصلی در این مرحله، صرفاً شناسایی موارد مشکوک نیست، بلکه تصمیم‌گیری سریع در مورد اینکه آیا یک مورد بی‌ضرر است، مخرب است یا باید به سطح دوم (Tier 2) ارجاع داده شود.
نقاط اتلاف وقت در فرآیند تریژ (Triage) فیشینگ
بیشترین تأخیرها پیش از رسیدن به یک تصمیم قطعی رخ می‌دهند. بررسی یک مورد فیشینگ که در ابتدا ساده به نظر می‌رسد، اغلب به مراحل پیچیده‌ای تبدیل می‌شود که باعث افزایش زمان پاسخگویی (MTTR) و فشار کاری بر تیم SOC می‌گردد.
راهکارهای تسریع در تحلیل و کاهش ارجاعات
یک گردش کار (Workflow) بهینه می‌تواند زمان بررسی‌های Tier 1 را تا ۲۰٪ کاهش داده و ارجاعات به Tier 2 را تا ۳۰٪ کمتر کند. برای دستیابی به این هدف، تحلیلگران به موارد زیر نیاز دارند:
- تحلیل تعاملی (Interactive Analysis): تحلیلگران باید بتوانند رفتار بدافزار پس از باز شدن ایمیل را مشاهده کنند. زنجیره حمله ممکن است شامل اجرای اسکریپت از طریق پیوست، تغییر مسیر (Redirect) از طریق چندین دامنه، یا استفاده از QR Code برای سرقت اعتبارنامه‌ها باشد. مشاهده زنده فرآیندها، اتصالات شبکه و فایل‌های ایجاد شده (Dropped Files) به تحلیلگر کمک می‌کند تا سریع‌تر از «شک» به «اثبات» برسد.
- ترکیب اتوماسیون و مداخله انسانی: برخی صفحات فیشینگ تنها پس از حل CAPTCHA یا کلیک روی دکمه‌های خاص، مرحله بعدی را نمایش می‌دهند. استفاده از Sandboxهای تعاملی به تحلیلگران اجازه می‌دهد بدون شروع مجدد بررسی، با صفحات تعامل داشته باشند و لایه‌های پنهان حمله را شناسایی کنند.
- بهره‌گیری از Threat Intelligence: با توجه به اینکه حملات فیشینگ در صنایع مختلف (مالی، بهداشت، تولید) متفاوت است، تحلیلگران نیاز دارند بدانند آیا این فعالیت با الگوهای مشاهده شده در صنعت مشتری مطابقت دارد یا خیر. دسترسی به داده‌های تهدید به‌روز کمک می‌کند تا یک URL مشکوک در قالب یک کمپین گسترده‌تر شناسایی شود.
- یکپارچه‌سازی IOCها: ارسال نشانگرهای آلودگی (IOCs) تأیید شده به سیستم‌های SIEM و EDR باعث می‌شود زیرساخت‌های مخرب شناخته شده سریع‌تر شناسایی شده و اولویت‌بندی هشدارها دقیق‌تر صورت گیرد.
بهبود انتقال داده بین سطوح تحلیل
برای جلوگیری از تکرار مراحل بررسی در سطح دوم، گزارش‌های ارسالی از Tier 1 باید شامل یافته‌های کلیدی، رفتار مشاهده شده و توصیه‌های لازم باشد. استفاده از خلاصه‌های تولید شده توسط AI می‌تواند به تحلیلگران ارشد کمک کند تا بدون نیاز به بازسازی زنجیره حمله، مستقیماً روی بخش‌های پیچیده تمرکز کنند.
