Từ log tới một cảnh báo dùng được

A09 đổi tên từ Security Logging and Monitoring Failures thành Security Logging and Alerting* Failures, và một chữ đó là toàn bộ nội dung bài này. Có log không có nghĩa là phát hiện được.* Rất nhiều tổ chức có đủ log để điều tra một sự cố sau khi biết nó xảy ra, và không có gì để biết nó đang xảy ra.

Ba mức, và hầu hết tổ chức dừng ở mức một:

Khoảng cách giữa mức 2 và mức 3 là khoảng cách quyết định trong một sự cố thật, vì mức 2 đòi một con người nghĩ ra câu hỏi đúng — và lúc 3 giờ sáng chủ nhật thì không có ai nghĩ.

Và đây là phần quan trọng nhất: một cảnh báo bị tắt là một cảnh báo không tồn tại.

Đây không phải một lời khuyên mềm mà là một quy luật vận hành. Một cảnh báo có 90% dương tính giả sẽ được người on-call bỏ qua sau tuần thứ hai, rồi được mute ở tuần thứ tư, và cái mute đó không bao giờ được gỡ. Nên tỉ lệ dương tính giả là một tiêu chí thiết kế của cảnh báo, quan trọng ngang độ phủ.

Bốn cảnh báo có tỉ lệ dương tính giả thấp và giá trị phát hiện cao — đây là bốn cái đáng làm trước:

Chú ý cảnh báo thứ ba: so một tài khoản với chính nó, không so với trung bình toàn hệ thống. Một người dùng doanh nghiệp export 50.000 dòng mỗi ngày là bình thường với họ; cùng con số đó với một tài khoản cá nhân là bất thường. Ngưỡng tuyệt đối tạo ra dương tính giả ở đầu trên và bỏ sót ở đầu dưới.