Creación de runbooks para eventos comunes

Un runbook es una guía paso a paso que su equipo sigue durante un tipo específico de incidente. Bajo presión, las personas olvidan pasos y omiten comprobaciones. Un buen runbook elimina las decisiones improvisadas.

Convierte el conocimiento experto en un procedimiento repetible que cualquier persona de guardia puede ejecutar, lo que hace que las respuestas sean coherentes, rápidas y auditables.

Los términos se solapan, pero una distinción útil es la siguiente:

• Un playbook es la estrategia de alto nivel: el flujo de decisiones y las personas implicadas en una clase de incidentes.
• Un runbook es la secuencia detallada, a menudo técnica, de acciones necesarias para llevarla a cabo.

Los playbooks deciden qué hacer; los runbooks indican exactamente cómo hacerlo.

Un runbook sólido incluye un activador claro, requisitos previos, pasos ordenados, resultados esperados e indicaciones para revertir los cambios.

Especifica las acciones exactas de AWS que se deben realizar: qué llamada a la API hacer, qué pantalla de la consola abrir y qué rol asumir; también indica cómo debe ser el resultado correcto de cada paso. La ambigüedad es el enemigo cuando cada minuto cuenta.

Elabore un runbook para cada escenario habitual en lugar de un único documento gigantesco:

• Clave de acceso expuesta en un repositorio público.
• Instancia de EC2 comprometida.
• Bucket de S3 expuesto públicamente.
• Llamadas a la API inusuales desde una región nueva.

Los runbooks específicos son más rápidos de seguir que un documento general interminable.

Un runbook para una clave filtrada podría indicar: confirmar el hallazgo de GuardDuty, identificar al propietario de la clave, deshabilitarla, revisar CloudTrail para comprobar las acciones realizadas con ella, rotar los secretos afectados y notificar a las partes interesadas.

Cada paso hace referencia a la herramienta precisa e incluye una comprobación de verificación antes de continuar.

Los runbooks comienzan como documentos que siguen las personas. A medida que maduran, automatice los pasos seguros y repetibles con documentos de Automation de AWS Systems Manager o funciones de Lambda.

Se trata de un espectro: mantenga bajo control humano las decisiones que requieren criterio y deje que las máquinas ejecuten los pasos mecánicos de forma fiable e idéntica cada vez.

Los runbooks de Automation de AWS Systems Manager (SSM) son documentos administrados que realizan acciones en sus recursos. AWS proporciona decenas de ellos ya preparados, y usted puede crear documentos personalizados.

Pueden detener instancias, cambiar configuraciones o encadenar pasos con aprobaciones, convirtiendo un procedimiento escrito en una automatización ejecutable y auditable.

Un runbook desactualizado es peligroso: puede enviar a los encargados de responder a eliminar un recurso que ya no existe o a asumir un rol cuyo nombre ha cambiado.

Guarde los runbooks en un sistema de control de versiones, revíselos después de cada incidente y cambio de arquitectura, y valídelos durante los Game Days para que los errores salgan a la luz durante la práctica y no en un evento real.

Un runbook no sirve de nada si la persona que responde no puede ejecutar sus pasos. Defina previamente los roles y permisos de IAM que requiere cada runbook.

Utilice un rol dedicado de break-glass con acceso elevado que normalmente no se use, cuyo uso se registre exhaustivamente y genere alertas. Así, el paso «asumir el rol de IR» funcionará realmente en el momento en que se necesite.

Las acciones técnicas solo representan la mitad del trabajo. Los runbooks deben indicar a quién notificar, cómo hacerlo y cuándo: al responsable del incidente, al departamento jurídico, a la dirección y, posiblemente, a los clientes.

Integre el plan de comunicación en el runbook para que las notificaciones no se olviden durante la contención. Las actualizaciones claras y oportunas generan confianza y reducen el pánico.

Termine cada runbook con pasos explícitos de verificación y una aprobación final. Después de la contención, confirme que la amenaza ha desaparecido realmente, que el recurso se encuentra en un estado conocido y correcto y que el incidente puede cerrarse.

Una aprobación final documentada evita que se dé por concluida una respuesta a medias, y las notas de verificación pasan directamente a la revisión posterior al incidente.

Elija la mejor caracterización.

Los runbooks convierten el conocimiento experto sobre respuesta en pasos repetibles y ordenados que cualquier persona de guardia puede seguir. Cree uno para cada evento habitual, incluya el activador, las acciones, la verificación y la comunicación, y haga referencia a las herramientas y los roles exactos de AWS. Cree previamente el acceso de IAM que necesita cada runbook, convierta los pasos mecánicos maduros en SSM Automation o Lambda, y mantenga todo bajo control de versiones y ensayado para que nunca quede obsoleto.