Playbooki i system zgłoszeń

Playbook lub runbook to udokumentowana, szczegółowa procedura postępowania z określonym typem alertu lub incydentu. Playbooki sprawiają, że reagowanie jest spójne, szybkie i możliwe do przeaudytowania.

Bez playbooków dwóch analityków mogłoby obsłużyć ten sam alert phishingowy na zupełnie różne sposoby. Dzięki nim jakość reakcji nie zależy od tego, kto pełni dyżur.

Dobry playbook ma przewidywalną strukturę, dzięki której analitycy mogą postępować zgodnie z nim pod presją:

• Wyzwalacz — jaki alert lub warunek uruchamia ten playbook
• Zakres — czego playbook dotyczy, a czego nie obejmuje
• Kroki — uporządkowane działania analityczne i reagowania
• Punkty decyzyjne — logika rozgałęzień dla różnych ustaleń
• Kryteria eskalacji — kiedy przekazać sprawę dalej
• Warunki zamknięcia — kiedy sprawę można uznać za zakończoną

Rozważmy zgłoszoną wiadomość phishingową. Typowy playbook przedstawia jasne kroki:

Rzeczywiste incydenty nie przebiegają liniowo. Playbooki zawierają punkty decyzyjne, które prowadzą do różnych ścieżek zależnie od ustaleń.

Na przykład w playbooku phishingowym:

• Czy ktoś kliknął łącze? Jeśli nie, należy ograniczyć skutki i zamknąć sprawę. Jeśli tak, należy przejść do obsługi przejęcia danych uwierzytelniających.
• Czy wprowadzono dane uwierzytelniające? Jeśli tak, należy wymusić reset hasła i sprawdzić, czy wystąpiły podejrzane logowania.

Rozgałęzienia pozwalają zachować proporcjonalność reakcji: niewielki nakład pracy w przypadku nieszkodliwych zgłoszeń i pełna reakcja w przypadku rzeczywistego przejęcia.

System obsługi zgłoszeń (zarządzanie sprawami) jest systemem ewidencji wszystkich alertów i incydentów. Każda sprawa ma formę zgłoszenia, które śledzi cały przebieg dochodzenia.

Do popularnych platform należą menedżer spraw SOAR, ServiceNow, Jira oraz dedykowane narzędzia IR. W zgłoszeniu przechowywane są dowody, oś czasu i decyzje, dzięki czemu nic nie zależy od pamięci ani wiadomości na czacie.

Przydatne zgłoszenie zawiera wszystko, co jest potrzebne do zrozumienia sprawy i przeprowadzenia jej audytu:

• Tytuł — zwięzły i precyzyjny
• Ważność i status
• Dotknięte zasoby i użytkownicy
• Oś czasu czynności dochodzeniowych wraz ze znacznikami czasu
• Dowody i IOC
• Sposób zakończenia i podjęte działania

Proszę napisać zgłoszenie tak, jakby podczas audytu za rok miał je czytać ktoś, kto go nie zna — bo tak może się stać.

Jednolite pola statusu i ważności ułatwiają zarządzanie kolejkami i sprawiają, że metryki są miarodajne.

Gdy incydent może prowadzić do działań prawnych lub zaangażowania działu HR, sposób obchodzenia się z dowodami ma znaczenie. Łańcuch dowodowy dokumentuje, kto zebrał każdy element dowodowy, kiedy to zrobił i jak ten element był przechowywany.

Zgłoszenia wspierają ten proces, rejestrując:

• Dokładny czas i źródło każdego artefaktu
• Analityka, który go zebrał
• Hasze potwierdzające, że dowody nie zostały zmienione

Niedbałe obchodzenie się z dowodami może sprawić, że ustalenia będą niedopuszczalne jako dowody lub łatwe do podważenia.

Zgłoszenia egzekwują umowy o gwarantowanym poziomie usług (SLA), które określają, jak szybko należy potwierdzić i rozwiązać alerty w zależności od ich ważności.

Przykładowe cele SLA:

• SEV1: potwierdzenie w ciągu 15 minut
• SEV2: potwierdzenie w ciągu 1 godziny
• SEV3: reakcja w ciągu 4 godzin

Znaczniki czasu w zgłoszeniach zasilają metryki pokazujące, czy SOC realizuje te zobowiązania.

Playbooki tracą aktualność, jeśli nie są utrzymywane. Narzędzia się zmieniają, napastnicy ewoluują, a poszczególne kroki stają się nieaktualne. Należy traktować playbooki jako żywe dokumenty.

Należy je aktualizować, gdy:

• Dodano nowe narzędzie lub źródło danych
• Przegląd po incydencie ujawnił lukę
• Pojawiła się nowa technika ataku
• Analityk zauważył krok, który jest niejasny lub błędny

Należy objąć playbooki kontrolą wersji i przeglądać je zgodnie z harmonogramem.

Wiele kroków w playbookach ma mechaniczny charakter i idealnie nadaje się do automatyzacji SOAR. Automatyzacja pozwala analitykom skupić się na zadaniach wymagających oceny.

Kroki często poddawane automatyzacji:

• Pobieranie oryginalnej wiadomości e-mail i wyodrębnianie IOC
• Wykonywanie zapytań dotyczących reputacji
• Usuwanie złośliwych wiadomości ze wszystkich skrzynek odbiorczych
• Aktualizowanie zgłoszenia o ustalenia

Analityk nadal podejmuje kluczowe decyzje; automatyzacja jedynie szybciej i konsekwentnie wykonuje rutynowe czynności.

Proszę sprawdzić swoją wiedzę o playbookach i systemach obsługi zgłoszeń.

W tej lekcji poznano sposób, w jaki playbooki i system obsługi zgłoszeń porządkują pracę SOC:

• Playbooki zapewniają spójne, powtarzalne kroki wraz z punktami decyzyjnymi i kryteriami eskalacji
• System obsługi zgłoszeń jest systemem ewidencji każdej sprawy
• Dobre zgłoszenia zawierają oś czasu, dowody, IOC, sposób zakończenia sprawy i wspierają zachowanie łańcucha dowodowego
• SLA określają docelowe czasy reakcji śledzone za pomocą znaczników czasu w zgłoszeniach
• Playbooki należy aktualizować, a ich mechaniczne kroki automatyzować za pomocą SOAR

Następnie zmierzymy skuteczność działania SOC za pomocą MTTD i MTTR.