セキュリティアラートは判断の始まりであり、思考の終わりではありません。遅い対応は問題を長引かせ、拙速な対応はサービス自体を損ないます。証拠とサービスの重要度に合う設計が必要です。
この記事はSara Shieldの提案する対応パターンです。自動操作の有効化は、個々の配備仕様で確認しなければなりません。
観察と解釈を分ける
ログイン失敗の増加を想定します。記録された事象は直接の観察で、利用者の誤り、設定不備、敵対的活動のどれかという判断は分析です。可能性を確定事実に置き換えてはいけません。
各アラートに期間、関係するサービス、確認可能な証拠を付けることを勧めます。担当者がラベルだけに頼らず、結論を再検討できます。
対応には個別の許可が必要
通知で足りる場合もあれば、一時的なアクセス制限が必要な場合もあります。環境で承認された方針に従う必要があり、報告を見る権限が設定変更を許すとは限りません。
NISTは最小権限を、作業に必要な範囲へ権限を制限することと定義します。Shieldへの提案では、任意の変更を許すのではなく、各対応に必要な道具と権限を与えます。 1
対応の結果も確かめる
一時的な緩和措置の後は、脅威の兆候が減ったか、主要サービスは正常か、制限をいつ見直すかを確認します。そうしなければ、対応が忘れられた設定になりかねません。
設定変更によって調査に必要な証拠を消してはいけません。どの情報を制限付きで保持し、誰が確認するかを対応計画に定めます。
Sara Shieldの管理された対応とは、事象、判断、操作、結果の関係が明確なことです。速度は重要ですが、釣り合いと検証可能性を欠く速さだけでは防御として不十分です。
