Automatyczna reakcja może skrócić czas ograniczania incydentu, ale źle dobrany warunek potrafi zablokować legalny ruch albo przerwać ważną usługę. Wazuh Active Response warto wdrażać etapami, z kontrolą zakresu i możliwością wycofania działania.
Czym jest Active Response?
Moduł uruchamia skrypt reakcji na monitorowanym endpoincie po wystąpieniu określonego wyzwalacza. Może nim być identyfikator reguły, poziom alertu albo grupa reguł. Wazuh zawiera gotowe skrypty, m.in. do blokowania złośliwego dostępu sieciowego, a także pozwala tworzyć własne reakcje.
Reakcja stateless czy stateful?
- Stateless wykonuje jednorazową akcję bez automatycznego cofnięcia.
- Stateful może po określonym czasie odwrócić wykonane działanie, np. zdjąć czasową blokadę.
W środowiskach produkcyjnych reakcja czasowa jest często bezpieczniejszym punktem startowym, ponieważ ogranicza skutki fałszywego alarmu.
Bezpieczny model wdrożenia
- Najpierw detekcja. Przez kilka dni obserwuj regułę bez automatycznej reakcji i oceń fałszywe alarmy.
- Ogranicz zakres. Zacznij od grupy testowych agentów albo mniej krytycznych systemów.
- Zdefiniuj wykluczenia. Dodaj adresy administracyjne, serwery zarządzające i inne elementy, których blokada byłaby niebezpieczna.
- Wybierz odwracalną akcję. Tam, gdzie to możliwe, użyj krótkiego czasu blokady i kontrolowanego mechanizmu cofnięcia.
- Loguj każdą reakcję. Zespół powinien wiedzieć, co uruchomiono, na którym hoście, z jakiego alertu i z jakim wynikiem.
- Przetestuj awarię. Sprawdź zachowanie przy braku łączności, błędzie skryptu i ponownym uruchomieniu agenta.
Gdzie Active Response ma sens?
Dobrym kandydatem jest powtarzalne zdarzenie o dobrze rozpoznanym wzorcu, np. czasowe blokowanie źródła ataku brute force. Im większy wpływ akcji na system, tym wyższy powinien być próg pewności i poziom kontroli człowieka.
Źródło: oficjalna dokumentacja Wazuh — Active Response (sprawdzono 12.08.2026).