Une alerte de sécurité doit ouvrir une décision, pas mettre fin à la réflexion. Réagir trop tard peut prolonger un problème ; se précipiter peut perturber le service lui-même. La réponse doit correspondre aux preuves et à l’importance du service.
Cet article présente notre modèle proposé de réponse pour Sara Shield. L’activation d’une action automatique doit être confirmée dans les spécifications du déploiement concerné.
Séparez observation et interprétation
Supposons que les tentatives de connexion échouées augmentent. Cet événement enregistré constitue l’observation directe. Déterminer s’il provient d’une erreur utilisateur, d’une mauvaise configuration ou d’une activité hostile relève de l’analyse. Un rapport ne doit pas remplacer un fait prouvé par une conclusion possible.
Nous proposons d’associer à chaque alerte une période, un service concerné et des preuves réexaminables. La personne responsable peut ainsi revenir sur la conclusion au lieu de se fier uniquement à l’étiquette de l’alerte.
Une réponse exige une autorisation précise
Dans une situation, une notification peut suffire ; dans une autre, une limitation temporaire d’accès peut être nécessaire. Le choix doit suivre la politique approuvée de l’environnement. Le droit de consulter un rapport n’autorise pas nécessairement à modifier les paramètres.
Le NIST définit le moindre privilège comme la limitation des autorisations aux besoins d’une tâche. Dans notre application proposée à Shield, chaque réponse dispose d’un outil et d’une permission adaptés, plutôt que d’un pouvoir général de tout modifier. 1
Le résultat de la réponse doit lui aussi être vérifié
Après une action temporaire pour réduire les effets d’un incident, vérifiez si le signal de menace a diminué, si le service principal reste sain et si la restriction temporaire sera réexaminée. Sinon, une réponse peut devenir un réglage oublié.
Modifier les paramètres ne doit pas effacer les preuves nécessaires à l’enquête. Le plan de réponse doit préciser quelles informations sont conservées sous accès restreint et qui les examine.
Pour Sara Shield, une réponse maîtrisée signifie un lien clair entre événement, décision, action et résultat. La rapidité compte, mais sans proportionnalité ni possibilité de réexamen, elle ne suffit pas pour défendre.
