Una alerta de seguridad debe iniciar una decisión, no dar por terminado el razonamiento. Responder demasiado tarde puede prolongar el problema; precipitarse puede interrumpir el propio servicio. El diseño de la respuesta debe ajustarse a las pruebas y a la importancia del servicio.
Este artículo presenta nuestro patrón propuesto de respuesta para Sara Shield. La activación de cualquier acción automática debe confirmarse en las especificaciones del despliegue concreto.
Separe la observación de la interpretación
Supongamos que aumentan los intentos fallidos de inicio de sesión. Ese evento registrado es la observación directa. Determinar si procede de un error del usuario, una mala configuración o una actividad hostil es análisis. Los informes no deben sustituir un hecho demostrado por una conclusión posible.
Proponemos asociar a cada alerta un intervalo de tiempo, el servicio relacionado y pruebas revisables. Esto permite que la persona responsable vuelva a examinar la conclusión sin depender únicamente de la etiqueta de la alerta.
Una respuesta necesita autorización específica
En una situación puede bastar con avisar; en otra puede ser necesario limitar temporalmente el acceso. La elección debe seguir la política aprobada del entorno. El permiso para consultar un informe no autoriza necesariamente a cambiar la configuración.
El NIST define el mínimo privilegio como limitar la autoridad a lo que necesita una tarea. Nuestra aplicación propuesta en Shield asigna a cada respuesta una herramienta y un permiso adecuados, en lugar de una autorización general para realizar cualquier cambio. 1
También debe comprobarse el resultado de la respuesta
Después de una acción temporal para reducir los efectos de un incidente, hay que comprobar si bajó la señal de amenaza, si el servicio principal sigue funcionando y si se revisará la restricción temporal. De lo contrario, una respuesta puede convertirse en un ajuste olvidado.
Cambiar la configuración no debe borrar pruebas necesarias para investigar. El plan de respuesta debe especificar qué información se conserva con acceso restringido y quién la revisa.
Para Sara Shield, responder con control significa mantener una relación clara entre evento, decisión, acción y resultado. La rapidez importa, pero sin proporcionalidad y posibilidad de revisión no basta para defender.
