Un avviso di sicurezza dovrebbe avviare una decisione, non porre fine al ragionamento. Rispondere troppo tardi può prolungare un problema; affrettarsi può interrompere il servizio stesso. La risposta deve essere progettata in base alle prove e all’importanza del servizio.
Questo articolo presenta il nostro modello proposto di risposta per Sara Shield. L’attivazione di qualsiasi azione automatica deve essere confermata nelle specifiche della singola installazione.
Separare osservazione e interpretazione
Supponiamo che aumentino i tentativi di accesso falliti. L’evento registrato è l’osservazione diretta. Stabilire se dipenda da un errore dell’utente, da una configurazione errata o da un’attività ostile è analisi. I rapporti non devono sostituire un fatto dimostrato con una possibile conclusione.
Proponiamo di associare a ogni avviso un intervallo temporale, il servizio interessato e prove riesaminabili. La persona responsabile può così rivedere la conclusione, anziché affidarsi soltanto all’etichetta dell’avviso.
Una risposta richiede un’autorizzazione specifica
In una situazione può bastare una notifica, mentre in un’altra può essere necessario limitare temporaneamente l’accesso. La scelta deve seguire la politica approvata dell’ambiente. Il permesso di consultare un rapporto non autorizza necessariamente a modificare le impostazioni.
Il NIST definisce il minimo privilegio come la limitazione dell’autorità a ciò che serve al compito. La nostra applicazione proposta in Shield assegna a ogni risposta uno strumento e un permesso adeguati, invece di un’autorità generale per qualsiasi modifica. 1
Va verificato anche il risultato della risposta
Dopo un’azione temporanea per ridurre gli effetti di un incidente, occorre chiedere se il segnale di minaccia sia diminuito, se il servizio principale resti integro e se la restrizione temporanea verrà riesaminata. Altrimenti una risposta può diventare un’impostazione dimenticata.
Modificare le impostazioni non deve cancellare prove necessarie all’indagine. Il piano di risposta dovrebbe specificare quali informazioni conservare con accesso limitato e chi le esamina.
Per Sara Shield, una risposta controllata significa un collegamento chiaro tra evento, decisione, azione e risultato. La velocità conta, ma senza proporzionalità e possibilità di revisione non basta per difendere.
