Automatyczna reakcja może skrócić czas ograniczania incydentu, ale źle dobrany warunek potrafi zablokować legalny ruch albo przerwać ważną usługę. Wazuh Active Response warto wdrażać etapami, z kontrolą zakresu i możliwością wycofania działania.
Czym jest Active Response?
Moduł uruchamia skrypt reakcji na monitorowanym endpoincie po wystąpieniu określonego wyzwalacza. Może nim być identyfikator reguły, poziom alertu albo grupa reguł. Wazuh zawiera gotowe skrypty, m.in. do blokowania złośliwego dostępu sieciowego, a także pozwala tworzyć własne reakcje.
Reakcja stateless czy stateful?
- Stateless wykonuje jednorazową akcję bez automatycznego cofnięcia.
- Stateful może po określonym czasie odwrócić wykonane działanie, np. zdjąć czasową blokadę.
W środowiskach produkcyjnych reakcja czasowa jest często bezpieczniejszym punktem startowym, ponieważ ogranicza skutki fałszywego alarmu.
Bezpieczny model wdrożenia
- Najpierw detekcja. Przez kilka dni obserwuj regułę bez automatycznej reakcji i oceń fałszywe alarmy.
- Ogranicz zakres. Zacznij od grupy testowych agentów albo mniej krytycznych systemów.
- Zdefiniuj wykluczenia. Dodaj adresy administracyjne, serwery zarządzające i inne elementy, których blokada byłaby niebezpieczna.
- Wybierz odwracalną akcję. Tam, gdzie to możliwe, użyj krótkiego czasu blokady i kontrolowanego mechanizmu cofnięcia.
- Loguj każdą reakcję. Zespół powinien wiedzieć, co uruchomiono, na którym hoście, z jakiego alertu i z jakim wynikiem.
- Przetestuj awarię. Sprawdź zachowanie przy braku łączności, błędzie skryptu i ponownym uruchomieniu agenta.
Gdzie Active Response ma sens?
Dobrym kandydatem jest powtarzalne zdarzenie o dobrze rozpoznanym wzorcu, np. czasowe blokowanie źródła ataku brute force. Im większy wpływ akcji na system, tym wyższy powinien być próg pewności i poziom kontroli człowieka.
Źródło: oficjalna dokumentacja Wazuh — Active Response (sprawdzono 12.08.2026).
Scenariusz odbioru: czy reakcja daje się cofnąć?
Propozycja testu laboratoryjnego, do wykonania na odizolowanym hoście. Nie jest to potwierdzenie testów konkretnej wersji.
- Wybierz jedną regułę, testowego agenta i uzgodniony adres testowy; zapewnij niezależny dostęp administracyjny.
- Potwierdź alert bez automatycznej reakcji, aby znać jego warunek i dane wejściowe.
- Po włączeniu wybranej reakcji sprawdź miejsce wykonania, jej log oraz faktyczny skutek na hoście.
- Dla reakcji odwracalnej sprawdź cofnięcie po czasie i ręczny plan odzyskania dostępu.
- Powtórz test dla zdarzenia, które nie powinno uruchamiać reakcji. Jeśli skutek wykracza poza zakres, wstrzymaj wdrożenie.
W protokole zapisz wersje, regułę, skrypt, zakres, czas, wynik cofnięcia i osobę zatwierdzającą. Automatyzacja powinna wejść na produkcję dopiero po ocenie wyników.