Respuesta activa y sus riesgos

Una respuesta activa tiene dos partes en la configuración del servidor. Primero se define el comando: el script que se ejecutará y si admite un tiempo de espera. Después se define cuándo se dispara: con qué regla, nivel o grupo de reglas, en qué equipos —el que generó la alerta, el servidor o todos— y, si el comando lo admite, cuántos segundos dura.

Hay respuestas con estado, que se revierten solas al terminar el tiempo (un bloqueo temporal de una dirección), y sin estado, que se hacen una vez y no se deshacen. Lo que ocurre queda escrito en el registro de respuestas activas de cada agente: la acción de poner y, más tarde, la de quitar.

Abre ar_config y ar_log.

La configuración dice qué comando se ejecuta cuando salta la regla. Los comandos de fábrica cubren, según el sistema operativo, bloqueos de red y el borrado de archivos, entre otras acciones. Cada uno tiene un alcance distinto, y por eso conviene leer el nombre antes de opinar sobre si la respuesta es proporcionada.

Un bloqueo automático actúa sobre lo que la alerta dice, sin saber a quién pertenece. Si la dirección de origen es la de salida de toda la oficina, el bloqueo no frena a un atacante: deja sin acceso a la oficina. La alerta de nivel alto fue verdadera —hubo muchos intentos fallidos—, pero la respuesta fue desproporcionada.

Cruza las direcciones del registro de bloqueos con inventario_ips, que dice de quién es cada una y si se puede bloquear.

El caso de la oficina bloqueada tiene arreglo, y no es apagar la respuesta activa para siempre ni subir el tiempo del bloqueo. Se arregla en tres frentes: una lista de direcciones que nunca se bloquean —las propias, las de proveedores y las de monitoreo—, un alcance acotado a los equipos y las reglas donde el bloqueo es seguro, y un tiempo corto con revisión. Lo que sí se hace siempre es dejar el rastro: quién la configuró, con qué regla y desde cuándo.