Membangun Runbook untuk Peristiwa Umum

Panduan operasional adalah panduan langkah demi langkah yang diikuti tim Anda saat menghadapi jenis insiden tertentu. Dalam kondisi tertekan, orang dapat melupakan langkah dan melewatkan pemeriksaan. Panduan operasional yang baik menghilangkan kebutuhan untuk menebak.

Panduan ini mengubah pengetahuan ahli menjadi prosedur yang dapat diulang dan dijalankan oleh siapa pun yang sedang bertugas, sehingga respons menjadi konsisten, cepat, dan dapat diaudit.

Istilah-istilah ini memiliki makna yang tumpang tindih, tetapi pembedaan berikut berguna:

• Panduan strategi adalah strategi tingkat tinggi—alur pengambilan keputusan dan pihak yang terlibat untuk suatu kelas insiden.
• Panduan operasional adalah rangkaian tindakan terperinci, yang sering kali bersifat teknis, untuk melaksanakan strategi tersebut.

Panduan strategi menentukan apa yang harus dilakukan; panduan operasional menjelaskan dengan tepat cara melakukannya.

Panduan operasional yang baik mencakup pemicu yang jelas, prasyarat, langkah-langkah berurutan, hasil yang diharapkan, dan panduan pengembalian perubahan.

Panduan ini menyebutkan tindakan AWS secara tepat—panggilan API yang digunakan, layar konsol yang dibuka, serta peran yang digunakan—dan menjelaskan seperti apa keberhasilan pada setiap langkah. Ketidakjelasan adalah musuh ketika setiap menit sangat berarti.

Buat satu panduan operasional untuk setiap skenario umum, bukan satu dokumen raksasa:

• Kunci akses terekspos di repositori publik.
• Instans EC2 disusupi.
• Bucket S3 terekspos secara publik.
• Panggilan API yang tidak biasa dari wilayah baru.

Panduan operasional yang terarah lebih cepat diikuti daripada dokumen serba mencakup yang terlalu panjang.

Panduan operasional untuk kunci yang bocor dapat berbunyi: konfirmasi temuan GuardDuty, identifikasi pemilik kunci, nonaktifkan kunci, tinjau CloudTrail untuk mengetahui tindakan yang dilakukan dengan kunci tersebut, rotasi setiap rahasia yang terdampak, lalu beri tahu pemangku kepentingan.

Setiap langkah merujuk pada alat yang tepat dan menyertakan pemeriksaan verifikasi sebelum beralih ke langkah berikutnya.

Panduan operasional dimulai sebagai dokumen yang diikuti manusia. Seiring kematangannya, otomatisasikan langkah-langkah yang aman dan dapat diulang dengan dokumen Automation AWS Systems Manager atau fungsi Lambda.

Ini merupakan sebuah spektrum: biarkan manusia menangani keputusan yang memerlukan penilaian, sementara mesin menjalankan langkah-langkah mekanis dengan andal dan sama setiap kali.

Panduan operasional Automation AWS Systems Manager adalah dokumen terkelola yang menjalankan tindakan di berbagai sumber daya Anda. AWS menyediakan puluhan dokumen siap pakai, dan Anda dapat membuat dokumen khusus.

Dokumen tersebut dapat menghentikan instans, mengubah konfigurasi, atau merangkai langkah dengan persetujuan—mengubah prosedur tertulis menjadi otomatisasi yang dapat dijalankan dan diaudit.

Panduan operasional yang sudah usang berbahaya: panduan tersebut dapat mengarahkan penanggap untuk menghapus sumber daya yang sudah tidak ada atau menggunakan peran yang namanya telah diubah.

Simpan panduan operasional dalam pengendalian versi, tinjau setelah setiap insiden dan perubahan arsitektur, lalu validasikan selama hari simulasi agar kesalahan muncul saat latihan, bukan ketika peristiwa nyata terjadi.

Panduan operasional tidak berguna jika penanggap tidak dapat menjalankan langkah-langkahnya. Tentukan terlebih dahulu peran IAM dan izin yang diperlukan oleh setiap panduan operasional.

Gunakan peran khusus break-glass dengan akses tinggi yang biasanya tidak digunakan, pencatatannya sangat menyeluruh, dan memiliki peringatan saat digunakan. Dengan begitu, langkah "gunakan peran IR" benar-benar berfungsi saat dibutuhkan.

Tindakan teknis hanyalah separuh dari tugas. Panduan operasional harus mencakup siapa yang perlu diberi tahu, bagaimana caranya, dan kapan—komandan insiden, bagian hukum, pimpinan, dan mungkin pelanggan.

Masukkan rencana komunikasi ke dalam panduan operasional agar pemberitahuan tidak terlupakan saat pembendungan berlangsung dalam tekanan. Pembaruan yang jelas dan tepat waktu membangun kepercayaan serta mengurangi kepanikan.

Akhiri setiap panduan operasional dengan langkah verifikasi yang jelas dan persetujuan akhir. Setelah pembendungan, pastikan ancaman benar-benar telah hilang, sumber daya berada dalam kondisi yang diketahui baik, dan insiden dapat ditutup.

Persetujuan akhir yang terdokumentasi mencegah respons yang belum selesai dianggap tuntas, dan catatan verifikasi dapat langsung digunakan dalam tinjauan pascainsiden.

Pilih karakterisasi yang paling tepat.

Panduan operasional mengubah pengetahuan ahli tentang respons menjadi langkah-langkah berurutan yang dapat diulang dan dapat diikuti oleh siapa pun yang sedang bertugas. Buat satu untuk setiap peristiwa umum, sertakan pemicu, tindakan, verifikasi, dan komunikasi, serta rujuk alat dan peran AWS secara tepat. Siapkan akses IAM yang diperlukan setiap panduan operasional, kembangkan langkah mekanis menjadi SSM Automation atau Lambda, dan simpan semuanya dalam pengendalian versi serta lakukan latihan agar tidak pernah menjadi usang.