Um alerta deve iniciar uma decisão, não encerrar o raciocínio. Demorar pode prolongar o problema, mas reagir precipitadamente pode interromper o serviço. A resposta deve corresponder às evidências e à importância do serviço.
Este é o padrão de resposta que propomos para o Sara Shield. A ativação de cada ação automática deve ser confirmada na implantação específica.
Separe observação e interpretação
Um aumento de logins malsucedidos é a observação registrada. Se vem de erro de usuário, configuração ou hostilidade é análise. Uma possibilidade não deve substituir um fato comprovado.
Cada alerta deve trazer período, serviço e evidências revisáveis. Isso permite reavaliar a conclusão em vez de confiar apenas em um rótulo.
A resposta precisa de autoridade específica
Notificar pode bastar em uma situação; restringir acesso temporariamente pode ser necessário em outra. A escolha segue a política aprovada. Ler relatórios não implica permissão para alterar configurações.
O menor privilégio, segundo o NIST, limita a autoridade à tarefa. Propomos dar a cada resposta ferramenta e permissão adequadas, não poder geral para qualquer mudança. 1
O resultado da resposta também deve ser verificado
Após uma ação temporária, pergunte se o sinal caiu, se o serviço principal permanece saudável e quando a restrição será revisada. Sem isso, a resposta pode virar uma configuração esquecida.
Alterar configurações não deve apagar evidências. O plano deve indicar quais informações ficam sob acesso restrito e quem as revisa.
No Sara Shield, resposta controlada é a relação clara entre evento, decisão, ação e resultado. Velocidade importa, mas não basta sem proporcionalidade e revisão.
