Hvordan en netoperatør holder op med at behandle sikkerhedsadvarsler som løse PDF'er

Leverandørbulletiner, nationale CERT-advarsler og interne hændelsesrapporter ankommer fra et dusin retninger, i et dusin formater. Hver af dem er klar nok, læst for sig selv. Det, der ikke er klart uden manuelt arbejde, er hvilke af operatørens egne aktiver der bliver berørt: hvilken transformerstation, hvilket kontrolsystem, hvilken leverandørkontrakt.

Analytikere krydstjekker manuelt: læser advarslen, tjekker aktivregistret, tjekker, om et lignende problem er opstået før. Gjort for hver eneste bulletin, på tværs af hver aktivklasse, skalerer dette ikke til den mængde, der ankommer i løbet af en given uge. Triage bliver et skøn over, hvilke advarsler der ser alvorlige nok ud til at forfølge. Det er et gæt under tidspres, med et tyndt spor af, hvorfor nogle blev prioriteret, og andre ikke.

KnowledgeHub indlæser advarsler, bulletiner, aktivregistret og tidligere hændelsesrapporter, efterhånden som de ankommer, med lineage bevaret på dokumentniveau. En versioneret ontologi modellerer relationerne mellem aktiver, leverandører, kendte sårbarheder og tidligere hændelser.

Når en ny advarsel kommer ind, får agenter en afgrænset opgave: matche den mod aktivregistret og hændelseshistorikken og fremdrage, hvilke systemer der plausibelt er eksponeret, med den understøttende dokumentation vedhæftet. Agenten beslutter ikke reaktionen. En analytiker bekræfter eksponeringen, eller afviser den, før noget logges som en handling.