Ein Sicherheitsalarm sollte eine Entscheidung anstoßen, nicht das Nachdenken beenden. Eine verspätete Reaktion kann ein Problem verlängern; überstürztes Handeln kann den Dienst selbst stören. Die Reaktionsgestaltung muss zu den Belegen und zur Bedeutung des Dienstes passen.
Dieser Artikel stellt unser vorgeschlagenes Reaktionsmuster für Sara Shield vor. Ob eine automatische Aktion aktiv ist, muss in den Spezifikationen der jeweiligen Bereitstellung bestätigt werden.
Beobachtung von Interpretation trennen
Angenommen, fehlgeschlagene Anmeldeversuche nehmen zu. Dieses erfasste Ereignis ist die direkte Beobachtung. Ob es durch einen Nutzerfehler, eine Fehlkonfiguration oder feindliche Aktivität entsteht, ist eine Analysefrage. Berichte dürfen eine mögliche Schlussfolgerung nicht an die Stelle einer bewiesenen Tatsache setzen.
Wir empfehlen, jedem Alarm einen Zeitraum, einen zugehörigen Dienst und überprüfbare Belege zuzuordnen. So kann die verantwortliche Person die Schlussfolgerung erneut prüfen, statt sich allein auf die Alarmbezeichnung zu verlassen.
Eine Reaktion braucht konkrete Befugnisse
In einer Situation kann eine Benachrichtigung genügen, in einer anderen eine vorübergehende Zugangsbeschränkung nötig sein. Die Wahl muss der genehmigten Richtlinie der Umgebung folgen. Die Erlaubnis, einen Bericht zu sehen, erlaubt nicht zwangsläufig eine Änderung der Einstellungen.
NIST definiert das Prinzip der geringsten Rechte als Begrenzung von Befugnissen auf die Anforderungen einer Aufgabe. Unsere vorgeschlagene Anwendung in Shield ordnet jeder Reaktion ein geeignetes Werkzeug und eine passende Berechtigung zu, statt pauschal jede Änderung zu erlauben. 1
Auch das Ergebnis der Reaktion muss geprüft werden
Nach einer vorübergehenden Maßnahme zur Begrenzung der Folgen eines Vorfalls sollte geprüft werden, ob das Bedrohungssignal zurückging, der Kerndienst gesund bleibt und die Einschränkung später überprüft wird. Andernfalls kann die Reaktion zu einer vergessenen Einstellung werden.
Änderungen an Einstellungen dürfen für die Untersuchung nötige Belege nicht löschen. Der Reaktionsplan sollte festlegen, welche Informationen unter eingeschränktem Zugriff aufbewahrt werden und wer sie prüft.
Kontrollierte Reaktion bedeutet für Sara Shield eine klare Verbindung zwischen Ereignis, Entscheidung, Aktion und Ergebnis. Geschwindigkeit ist wichtig, reicht ohne Verhältnismäßigkeit und Überprüfbarkeit für die Abwehr aber nicht aus.
