يجب أن يبدأ التنبيه الأمني قرارا، لا أن ينهي التفكير. التأخر قد يطيل المشكلة والتسرع قد يعطل الخدمة نفسها. لذا تناسب الاستجابة الأدلة وأهمية الخدمة.
يقدم هذا المقال نمطنا المقترح لاستجابة سارا شيلد. يجب تأكيد تفعيل أي إجراء آلي في مواصفات النشر المعني.
افصل الملاحظة عن التفسير
افترض ارتفاع محاولات الدخول الفاشلة. الحدث المسجل هو الملاحظة المباشرة، أما كونه خطأ مستخدم أو سوء إعداد أو نشاطا عدائيا فهو تحليل. لا يحل احتمال محل حقيقة مثبتة.
نقترح أن يتضمن كل تنبيه نطاقا زمنيا وخدمة مرتبطة وأدلة قابلة للمراجعة. يتيح ذلك للمسؤول مراجعة الاستنتاج بدلا من الاعتماد على عنوان التنبيه وحده.
الاستجابة تحتاج إلى صلاحية محددة
قد يكفي الإبلاغ في حالة، ويلزم تقييد وصول مؤقت في أخرى. يتبع الاختيار سياسة البيئة المعتمدة. صلاحية قراءة تقرير لا تعني بالضرورة صلاحية تعديل الإعدادات.
يعرف NIST أقل امتياز بحصر الصلاحية في حاجة المهمة. نقترح تطبيقه في شيلد بإعطاء كل استجابة أداتها وإذنها المناسبين، لا صلاحية عامة لأي تعديل. ١
يجب فحص نتيجة الاستجابة أيضا
بعد إجراء مؤقت لتقليل أثر حادث، نسأل: هل انخفضت إشارة التهديد؟ هل بقيت الخدمة الأساسية سليمة؟ ومتى يراجع القيد المؤقت؟ دون ذلك قد تصبح الاستجابة إعدادا منسيا.
لا ينبغي أن يمحو تعديل الإعدادات أدلة التحقيق. تحدد خطة المعالجة ما يحتفظ به من معلومات بصلاحية محدودة ومن يتولى المراجعة.
تعني الاستجابة المنضبطة لسارا شيلد علاقة واضحة بين الحدث والقرار والإجراء والنتيجة. السرعة مهمة، لكنها دون تناسب وإمكان مراجعة لا تكفي للدفاع.
