Menselijke goedkeuring voor security-agenten
Een dreiging indammen vraagt een besluit. Niet alleen een alarm.
De dienstdoende analist keurt de maatregel op de telefoon goed. Het besluit kan bij het incidentdossier worden gevoegd.
Hoe krijgt een SOC-AI-agent toestemming voor een indammingsmaatregel?
Pushary vraagt de analist op de telefoon om toestemming. Zet één aanroep vóór hostisolatie, accountuitschakeling of een blokkade. De analist keurt goed of wijst af op het vergrendelscherm. De agent wacht op dat antwoord in plaats van alleen een zekerheidsscore te volgen. Zonder tijdig antwoord gebeurt de maatregel niet. Elk besluit wordt voor het incidentdossier opgeslagen.
Waar toestemming nodig is
Deze acties horen niet vanzelf te starten
- isolateHost(hostId)
- Een machine van het netwerk halen kan de indringer stoppen, maar ook de legitieme gebruiker. Bij de verkeerde host veroorzaakt het een nieuw incident.
- disableAccount(userId)
- Het verkeerde account uitschakelen onderbreekt direct iemands werk en levert extra supportvragen op.
- blockIndicator(type, value)
- Een gedeeld IP-adres of domein blokkeren kan diensten raken die niets met de melding te maken hebben.
- revokeSessions(userId)
- Alle sessies intrekken kan terecht zijn bij gestolen inloggegevens, maar niet bij een foutmelding. De analist moet dat onderscheid maken.
De code
Eén aanroep in je bestaande stap
Beveilig de actie, niet de hele agent. Veilige taken blijven doorgaan zonder iemand iets te vragen.
pip install pusharyimport os
from pushary import PusharyServer
px = PusharyServer(api_key=os.environ["PUSHARY_API_KEY"])
def contain(alert, action):
# Enrichment and evidence collection never wait for anyone.
context = enrich(alert)
if action.reversible and context.confidence > 0.95:
return apply(action)
decision = px.decisions.ask(
external_id=alert.duty_analyst_id,
type="confirm",
question=(
f"{action.summary} on {action.target}? "
f"Confidence {context.confidence:.0%}. Impact: {action.user_impact}."
),
)
if not decision["approved"]:
return annotate(alert, "containment not authorized")
return apply(action)Wie beslist
Beslissen zonder achter een bureau te zitten
De dienstdoende analist beslist, buiten kantooruren soms als enige. Een chatverzoek werkt overdag, maar om drie uur ’s nachts leest mogelijk niemand mee. Pushary bereikt de telefoon van de persoon die je rooster via een gebruikers-ID aanwijst.
Geeft wachten op een mens de aanvaller niet meer tijd?
Soms wel. Beslis daarom per maatregel. Context verzamelen, bewijs veiligstellen en duidelijk omkeerbare stappen kunnen direct lopen en achteraf worden beoordeeld. Vraag toestemming voor acties waarvan een fout zelf grote schade veroorzaakt: een productiehost isoleren, een belangrijk account uitschakelen of een gedeelde dienst blokkeren. Een zekerheidsscore kan dan het uitvalrisico alleen verplaatsen. Een mobiele vraag is bedoeld om de juiste persoon snel te bereiken, maar garandeert geen antwoordtijd. Verloopt de termijn, dan wordt de afgeschermde maatregel niet uitgevoerd en blijft de verlopen aanvraag zichtbaar in de geschiedenis.
Lees meer: NIST SP 800-61 over de afhandeling van computerbeveiligingsincidenten.
Bouw het in je product in. Je gebruikers hebben geen Pushary-account nodig en betalen ons niets.
Veelgestelde vragen
Antwoorden op je vragen
Kunnen betrouwbare detecties automatisch lopen en andere goedkeuring vragen?
Vervangt dit ons alarmeringssysteem?
Wat bevat het incidentdossier achteraf?
Wat als de analist de vraag mist?
Menselijke goedkeuring voor andere producten
Laat een mens beslissen waar dat nodig is.
Koppel elke gebruiker één keer. Stel je vraag met één aanroep en voer de actie alleen uit na een ja. Elk antwoord wordt opgeslagen.
Start free