Сигнал безопасности должен начинать решение, а не заканчивать размышление. Запоздалая реакция продлевает проблему, поспешная может нарушить сам сервис. Реагирование должно соответствовать доказательствам и важности услуги.
Статья предлагает модель реагирования Sara Shield. Активность любого автоматического действия надо подтверждать в спецификации конкретного развёртывания.
Разделяйте наблюдение и трактовку
Допустим, участились неудачные входы. Записанное событие — прямое наблюдение. Ошибка пользователя, неверная настройка или враждебная активность — уже анализ. Возможный вывод нельзя подменять доказанным фактом.
Предлагаем связывать предупреждение с периодом, сервисом и проверяемыми доказательствами. Тогда ответственный может вернуться к выводу, а не полагаться только на название сигнала.
Ответу нужны конкретные полномочия
В одной ситуации достаточно уведомления, в другой нужно временно ограничить доступ. Выбор следует утверждённой политике среды. Разрешение смотреть отчёт не обязательно разрешает менять настройки.
NIST определяет минимальные привилегии как ограничение полномочий необходимым для задачи. В предлагаемом применении Shield каждому ответу дают подходящие инструменты и разрешения, а не право на любые изменения. 1
Результат ответа тоже проверяют
После временной меры снижения последствий надо проверить уменьшение угрозы, исправность основного сервиса и срок пересмотра ограничения. Иначе ответ превращается в забытую настройку.
Изменение настроек не должно стирать нужные расследованию доказательства. План реагирования указывает, какие сведения сохраняются с ограниченным доступом и кто их проверяет.
Для Sara Shield управляемый ответ — ясная связь события, решения, действия и результата. Скорость важна, но без соразмерности и проверяемости её недостаточно для защиты.
