Привет, Хабр!
Меня зовут Мария Летта, я ведущий дизайнер интерфейсов в компании «Гарда».
23:14. Ночная смена в SOC — центре мониторинга, где аналитики круглосуточно разбирают сигналы о возможных атаках. Аналитик смотрит в экран шестой час. За смену пришло больше 400 алертов, первые полсотни оказались ложными. Он это понял быстро, а система — нет: система продолжает присылать предупреждения с той же частотой и с той же пометкой «высокая важность». К 340 алерту рука тянется к кнопке «Закрыть» раньше, чем глаза дочитывают текст. На 388 аналитик пропускает реальную атаку. Разбор инцидента займет неделю, а то и больше. Вывод будет стандартный: человеческий фактор. Аналитик не среагировал, значит, нужно усилить контроль, дописать регламенты, провести обучение. Никто не посмотрит на экран, перед которым аналитик просидел шесть часов.
Это собирательная сцена, но ничего необычного в ней нет. Я часто провожу исследования, говорила с десятками аналитиков SOC, и, как правило, все они повторяют одни и те же две мысли:
