Runbooks für häufige Ereignisse erstellen

Ein Runbook ist eine Schritt-für-Schritt-Anleitung, die Ihr Team bei einer bestimmten Art von Incident befolgt. Unter Stress vergessen Menschen Schritte und überspringen Prüfungen. Ein gutes Runbook beseitigt Unsicherheit.

Es macht aus Expertenwissen einen wiederholbaren Ablauf, den jede diensthabende Person ausführen kann, und sorgt dadurch für konsistente, schnelle und auditierbare Reaktionen.

Die Begriffe überschneiden sich, aber folgende Unterscheidung ist hilfreich:

• Ein Playbook beschreibt die Strategie auf hoher Ebene – den Entscheidungsablauf und die beteiligten Personen für eine Kategorie von Incidents.
• Ein Runbook beschreibt die detaillierte, oft technische Abfolge der auszuführenden Aktionen.

Playbooks legen fest, was zu tun ist; Runbooks erklären genau, wie es zu tun ist.

Ein gutes Runbook enthält einen klaren Auslöser, Voraussetzungen, geordnete Schritte, erwartete Ergebnisse und Anweisungen für ein Rollback.

Es nennt die konkreten AWS-Aktionen – welchen API-Aufruf und welche Konsole Sie verwenden und welche Rolle Sie übernehmen müssen – sowie das erwartete Erfolgskriterium für jeden Schritt. Unklarheit ist der Feind, wenn jede Minute zählt.

Erstellen Sie für jedes häufige Szenario ein eigenes Runbook statt eines einzigen riesigen Dokuments:

• Offengelegter Access Key in einem öffentlichen Repository.
• Kompromittierte EC2-Instanz.
• Öffentlich zugänglicher S3-Bucket.
• Ungewöhnliche API-Aufrufe aus einer neuen Region.

Gezielte Runbooks lassen sich schneller befolgen als ein ausuferndes Dokument für alle Fälle.

Ein Runbook für einen offengelegten Schlüssel könnte folgendermaßen aussehen: Überprüfen Sie den GuardDuty-Fund, ermitteln Sie den Besitzer des Schlüssels, deaktivieren Sie den Schlüssel, prüfen Sie CloudTrail auf damit ausgeführte Aktionen, tauschen Sie alle betroffenen Secrets aus und informieren Sie die Stakeholder.

Jeder Schritt verweist auf das genaue Tool und enthält eine Überprüfung, bevor Sie mit dem nächsten Schritt fortfahren.

Runbooks beginnen als Dokumente, die Menschen befolgen. Mit zunehmender Reife automatisieren Sie sichere, wiederholbare Schritte mithilfe von AWS Systems Manager-Automation-Dokumenten oder Lambda-Funktionen.

Dies ist ein Spektrum: Lassen Sie Ermessensentscheidungen beim Menschen, während Maschinen die mechanischen Schritte zuverlässig und jedes Mal identisch ausführen.

AWS Systems Manager-(SSM-)Automation-Runbooks sind verwaltete Dokumente, die Aktionen für Ihre Ressourcen ausführen. AWS stellt Dutzende vorgefertigte Dokumente bereit, und Sie können eigene Dokumente erstellen.

Sie können Instanzen stoppen, Konfigurationen ändern oder Schritte mit Genehmigungen verketten – und so aus einer schriftlichen Vorgehensweise eine ausführbare, auditierte Automatisierung machen.

Ein veraltetes Runbook ist gefährlich: Es weist Einsatzkräfte an, eine Ressource zu löschen, die nicht mehr existiert, oder eine Rolle zu übernehmen, die umbenannt wurde.

Speichern Sie Runbooks in der Versionsverwaltung, überprüfen Sie sie nach jedem Incident und jeder Änderung an der Architektur und validieren Sie sie während Game Days, damit Fehler in der Praxis und nicht erst bei einem echten Ereignis sichtbar werden.

Ein Runbook ist nutzlos, wenn die Einsatzkraft seine Schritte nicht ausführen kann. Definieren Sie im Voraus die IAM-Rollen und Berechtigungen, die jedes Runbook benötigt.

Verwenden Sie eine dedizierte Break-Glass-Rolle mit erweiterten Berechtigungen, die normalerweise nicht verwendet, umfassend protokolliert und überwacht wird. So funktioniert der Schritt „IR-Rolle übernehmen“ genau dann, wenn er benötigt wird.

Technische Maßnahmen sind nur die halbe Aufgabe. Runbooks sollten festlegen, wen Sie wie und wann informieren – den Incident Commander, die Rechtsabteilung, die Führungsebene und möglicherweise Kunden.

Verankern Sie den Kommunikationsplan im Runbook, damit Benachrichtigungen während der Eindämmung nicht vergessen werden. Klare, zeitnahe Updates schaffen Vertrauen und reduzieren Panik.

Beenden Sie jedes Runbook mit ausdrücklichen Überprüfungsschritten und einer Freigabe. Bestätigen Sie nach der Eindämmung, dass die Bedrohung tatsächlich beseitigt ist, sich die Ressource in einem bekannten guten Zustand befindet und der Incident geschlossen werden kann.

Eine dokumentierte Freigabe verhindert, dass eine halbfertige Reaktion als abgeschlossen gilt. Außerdem fließen die Überprüfungsnotizen direkt in die Nachbereitung des Incidents ein.

Wählen Sie die treffendste Beschreibung.

Runbooks machen aus dem Wissen von Experten zur Reaktion auf Incidents wiederholbare, geordnete Schritte, die jede diensthabende Person befolgen kann. Erstellen Sie für jedes häufige Ereignis ein eigenes Runbook, das Auslöser, Aktionen, Überprüfung und Kommunikation umfasst, und verweisen Sie auf die konkreten AWS-Tools und -Rollen. Richten Sie den erforderlichen IAM-Zugriff im Voraus ein, entwickeln Sie mechanische Schritte zu SSM Automation oder Lambda weiter und halten Sie alles versionskontrolliert und geübt, damit nichts veraltet.