یک هشدار امنیتی باید آغاز یک تصمیم باشد، نه پایان فکرکردن. واکنش بسیار دیر ممکن است مسئله را ادامه دهد؛ واکنش شتاب‌زده نیز ممکن است خودِ خدمت را مختل کند. طراحی پاسخ، به همین دلیل باید متناسب با شواهد و اهمیت سرویس باشد.
این مقاله الگوی پیشنهادی ما برای پاسخ در سارا شیلد است. فعال‌بودن هر اقدام خودکار باید در مشخصات همان استقرار تأیید شود.
مشاهده را از تفسیر جدا کنیم
فرض کنید تعداد تلاش‌های ناموفق ورود افزایش یافته است. مشاهده مستقیم، همین رویداد ثبت‌شده است. اینکه علت آن خطای یک کاربر، تنظیم نادرست برنامه یا تلاش خصمانه باشد، مرحله تحلیل است. گزارش نباید نتیجه احتمالی را جای واقعیت اثبات‌شده بنشاند.
پیشنهاد ما این است که هر هشدار، دامنه زمانی، سرویس مرتبط و شواهد قابل‌بررسی داشته باشد. این روش به مسئول رسیدگی امکان می‌دهد نتیجه را بازبینی کند و فقط به یک برچسب هشدار متکی نماند.
واکنش باید اختیار مشخص داشته باشد
ممکن است برای یک وضعیت، اطلاع‌رسانی کافی باشد و برای وضعیتی دیگر، محدودکردن موقت یک دسترسی ضرورت پیدا کند. این انتخاب باید از سیاست مصوب همان محیط پیروی کند. دسترسی لازم برای مشاهده گزارش، لزوماً شامل اجازه تغییر تنظیمات نیست.
اصل حداقل دسترسی در تعریف NIST، محدودکردن اختیار به نیاز انجام وظیفه است. ۱ کاربرد پیشنهادی آن در شیلد این است که هر واکنش، ابزار و مجوز متناسب خود را داشته باشد؛ نه یک اختیار عمومی برای هر تغییری.
نتیجه واکنش نیز باید بررسی شود
فرض کنید یک اقدام موقت برای کاهش اثر رخداد انجام شده است. هنوز باید پرسید: نشانه تهدید کاهش یافت؟ خدمت اصلی سالم مانده است؟ محدودیت موقت چه زمانی بازبینی می‌شود؟ بدون این پرسش‌ها، واکنش ممکن است به تنظیمی فراموش‌شده تبدیل شود.
همچنین تغییر تنظیمات نباید به معنی پاک‌کردن شواهد لازم برای بررسی باشد. در برنامه رسیدگی باید مشخص شود چه اطلاعاتی با دسترسی محدود نگهداری می‌شود و چه کسی مسئول بازبینی است.
برای سارا شیلد، پاسخ کنترل‌شده یعنی ارتباط روشن میان رویداد، تصمیم، اقدام و نتیجه. سرعت مهم است، اما سرعت بدون تناسب و قابلیت بررسی، معیار کافی برای دفاع نیست.
