Evaluación del módulo

Para detectar el comportamiento sospechoso del usuario y generar alertas.

Para comprender qué datos intervienen, cómo se usó y qué riesgo presenta.

Para reemplazar los registros de auditoría y proporcionar un registro completo de las acciones del usuario.

Dado que las alertas y los registros no son confiables en entornos modernos.

Dado que las alertas a menudo muestran actividad sin confirmar si hay datos confidenciales implicados.

Dado que las investigaciones siempre deben comenzar con datos en lugar de con actividad.

Sistemas de alertas que muestran actividades inusuales o de riesgo.

Flujos de trabajo de respuesta a incidentes para la contención y corrección.

Registros de auditoría que proporcionan registros de actividad del usuario y del sistema.

Las investigaciones reactivas se centran en la actividad conocida, mientras que las investigaciones proactivas evalúan el riesgo potencial antes de que se produzca un incidente.

Las investigaciones reactivas se automatizan, mientras que las investigaciones proactivas requieren revisión manual.

Las investigaciones proactivas solo se usan después de confirmar un incidente de seguridad.

Cuando las alertas confirman la actividad, pero no proporcionan suficiente información para evaluar la confidencialidad o exposición de los datos.

Cuando se requiere una respuesta rápida y el riesgo ya está claro.

Cuando cada alerta necesita ser investigada por completo para evitar pasar por alto riesgos.