Creare runbook per gli eventi comuni

Un runbook è una guida passo passo che il team segue durante un tipo specifico di incidente. Sotto pressione, le persone dimenticano i passaggi e saltano i controlli. Un buon runbook elimina le incertezze.

Trasforma le conoscenze degli esperti in una procedura ripetibile che chiunque sia di turno può eseguire, rendendo le risposte coerenti, rapide e verificabili tramite audit.

I termini si sovrappongono, ma una distinzione utile è la seguente:

• Un playbook è la strategia di alto livello: il flusso decisionale e le persone coinvolte per una determinata categoria di incidenti.
• Un runbook è la sequenza dettagliata, spesso tecnica, delle azioni necessarie per attuarla.

I playbook stabiliscono cosa fare; i runbook spiegano esattamente come farlo.

Un runbook ben fatto include un trigger chiaro, i prerequisiti, passaggi ordinati, risultati attesi e indicazioni per il rollback.

Indica le azioni AWS esatte da eseguire — quale chiamata API effettuare, quale schermata della console usare, quale ruolo assumere — e come riconoscere il successo a ogni passaggio. Quando i minuti sono fondamentali, l'ambiguità è il nemico.

Create un runbook per ogni scenario comune invece di un unico documento enorme:

• Chiave di accesso esposta in un repository pubblico.
• Istanza EC2 compromessa.
• Bucket S3 esposto pubblicamente.
• Chiamate API insolite provenienti da una nuova regione.

I runbook mirati sono più rapidi da seguire rispetto a un documento generico e smisurato.

Un runbook per una chiave divulgata potrebbe essere strutturato così: confermare il finding di GuardDuty, identificare il proprietario della chiave, disabilitare la chiave, esaminare CloudTrail per le azioni eseguite con essa, ruotare i segreti interessati e informare gli stakeholder.

Ogni passaggio fa riferimento allo strumento preciso e include una verifica prima di procedere.

I runbook iniziano come documenti che le persone seguono. Man mano che maturano, automatizzate i passaggi sicuri e ripetibili con i documenti di automazione di AWS Systems Manager o con le funzioni Lambda.

Si tratta di uno spettro: lasciate alle persone le decisioni che richiedono valutazione, consentendo alle macchine di gestire i passaggi meccanici in modo affidabile e identico ogni volta.

I runbook di automazione di AWS Systems Manager (SSM) sono documenti gestiti che eseguono azioni sulle vostre risorse. AWS ne fornisce decine già pronti e potete crearne di personalizzati.

Possono arrestare istanze, modificare configurazioni o concatenare passaggi con approvazioni, trasformando una procedura scritta in un'automazione eseguibile e sottoposta ad audit.

Un runbook obsoleto è pericoloso: indirizza gli addetti alla risposta verso l'eliminazione di una risorsa che non esiste più o verso l'assunzione di un ruolo che è stato rinominato.

Conservate i runbook nel controllo versione, esaminateli dopo ogni incidente e modifica all'architettura e convalidateli durante i Game Day, così gli errori emergono durante la pratica e non nel corso di un evento reale.

Un runbook è inutile se l'addetto alla risposta non può eseguirne i passaggi. Definite in anticipo i ruoli IAM e le autorizzazioni richieste da ogni runbook.

Utilizzate un ruolo break-glass dedicato con accesso elevato, normalmente inutilizzato, ampiamente registrato nei log e soggetto ad avvisi. In questo modo il passaggio "assumere il ruolo IR" funziona davvero nel momento in cui serve.

Le azioni tecniche sono solo metà del lavoro. I runbook devono indicare chi informare, come e quando: l'incident commander, l'ufficio legale, la dirigenza ed eventualmente i clienti.

Inserite il piano di comunicazione nel runbook, così le notifiche non vengono dimenticate nel pieno del contenimento. Aggiornamenti chiari e tempestivi creano fiducia e riducono il panico.

Concludete ogni runbook con passaggi espliciti di verifica e un'approvazione finale. Dopo il contenimento, confermate che la minaccia sia davvero scomparsa, che la risorsa si trovi in uno stato noto e integro e che l'incidente possa essere chiuso.

Un'approvazione finale documentata impedisce di considerare completo un intervento lasciato a metà, mentre le note di verifica confluiscono direttamente nella revisione post-incidente.

I runbook trasformano le conoscenze degli esperti sulla risposta agli incidenti in passaggi ordinati e ripetibili che chiunque sia di turno può seguire. Create un runbook per ogni evento comune, includendo trigger, azioni, verifiche e comunicazioni, e indicate gli strumenti e i ruoli AWS esatti. Pre-create l'accesso IAM richiesto da ogni runbook, trasformate i passaggi meccanici in SSM Automation o Lambda e mantenete tutto sotto controllo versione e sottoposto a esercitazioni, così nulla diventa obsoleto.