Güvenlik uyarısı düşünmenin sonu değil kararın başlangıcı olmalıdır. Geç kalmak sorunu uzatabilir, acele etmek hizmeti bozabilir. Yanıt kanıta ve hizmetin önemine uygun tasarlanmalıdır.
Bu yazı önerdiğimiz Sara Shield yanıt modelidir. Her otomatik eylemin etkinliği ilgili dağıtımın özelliklerinde doğrulanmalıdır.
Gözlem ile yorumu ayırın
Başarısız girişler artarsa doğrudan gözlem bu kayıttır. Nedenin kullanıcı hatası, yanlış ayar veya saldırı olması analizdir. Olası sonuç kanıtlanmış gerçeğin yerine konmamalıdır.
Her uyarıya zaman aralığı, ilgili hizmet ve incelenebilir kanıt eklemeyi öneriyoruz. Böylece sorumlu yalnızca etikete güvenmeyip sonucu gözden geçirebilir.
Yanıt belirli yetki gerektirir
Bir durumda bildirim yeterliyken diğerinde geçici erişim sınırı gerekebilir. Seçim onaylı çevre politikasına uymalıdır. Rapor görüntüleme izni ayar değiştirme izni değildir.
NIST'in en az ayrıcalık ilkesi yetkiyi görevin ihtiyacıyla sınırlar. Shield'da her yanıta uygun araç ve izin vermeyi, sınırsız değişiklik yetkisi vermemeyi öneriyoruz. 1
Yanıtın sonucu da kontrol edilmelidir
Geçici müdahaleden sonra tehdit işaretinin azalıp azalmadığını, ana hizmetin sağlığını ve kısıtın ne zaman inceleneceğini sorun. Aksi halde yanıt unutulan ayara dönüşebilir.
Ayar değiştirmek inceleme kanıtını silmemelidir. Müdahale planı hangi bilginin sınırlı erişimle saklandığını ve kimin inceleyeceğini belirlemelidir.
Sara Shield'da kontrollü yanıt olay, karar, eylem ve sonuç arasında açık bağdır. Hız önemlidir ama orantı ve incelenebilirlik olmadan yeterli savunma ölçütü değildir.
