Criando Runbooks para Eventos Comuns

Um manual operacional é um guia passo a passo que sua equipe segue durante um tipo específico de incidente. Sob estresse, as pessoas esquecem etapas e pulam verificações. Um bom manual operacional elimina as suposições.

Ele transforma o conhecimento especializado em um procedimento repetível que qualquer pessoa de plantão pode executar, tornando as respostas consistentes, rápidas e auditáveis.

Os termos se sobrepõem, mas uma distinção útil é:

• Um manual estratégico é a estratégia de alto nível — o fluxo de decisões e as pessoas envolvidas em uma classe de incidentes.
• Um manual operacional é a sequência detalhada, geralmente técnica, de ações para executá-la.

Os manuais estratégicos definem o que fazer; os manuais operacionais dizem exatamente como fazer.

Um manual operacional sólido inclui um gatilho claro, pré-requisitos, etapas ordenadas, resultados esperados e orientações para reversão.

Ele especifica as ações exatas da AWS — qual chamada de API fazer, qual tela do console acessar e qual função assumir — e o que significa ter sucesso em cada etapa. A ambiguidade é inimiga quando cada minuto importa.

Crie um manual operacional para cada cenário comum, em vez de um único documento gigantesco:

• Chave de acesso exposta em um repositório público.
• Instância do EC2 comprometida.
• Bucket do S3 exposto publicamente.
• Chamadas de API incomuns originadas de uma nova região.

Manuais operacionais específicos são mais rápidos de seguir do que um manual abrangente e extenso.

Um manual operacional para uma chave vazada poderia dizer: confirme a descoberta do GuardDuty, identifique o proprietário da chave, desative-a, revise o CloudTrail em busca das ações realizadas com ela, alterne todos os segredos afetados e notifique as partes interessadas.

Cada etapa faz referência à ferramenta exata e inclui uma verificação antes de prosseguir.

Os manuais operacionais começam como documentos que as pessoas seguem. À medida que amadurecem, automatize as etapas seguras e repetíveis com documentos de automação do AWS Systems Manager ou funções do Lambda.

Isso é um espectro: mantenha as decisões que exigem julgamento sob responsabilidade humana, enquanto permite que as máquinas executem as etapas mecânicas de forma confiável e idêntica todas as vezes.

Os manuais operacionais de automação do AWS Systems Manager (SSM) são documentos gerenciados que executam ações nos seus recursos. A AWS fornece dezenas de documentos prontos, e você pode criar documentos personalizados.

Eles podem interromper instâncias, alterar configurações ou encadear etapas com aprovações, transformando um procedimento escrito em uma automação executável e auditada.

Um manual operacional desatualizado é perigoso: ele orienta os responsáveis a excluir um recurso que já não existe ou assumir uma função que foi renomeada.

Armazene os manuais operacionais em um sistema de controle de versões, revise-os após cada incidente e alteração de arquitetura e valide-os durante os exercícios simulados, para que os erros apareçam na prática, não durante um evento real.

Um manual operacional é inútil se o responsável não puder executar suas etapas. Defina antecipadamente as funções do IAM e as permissões exigidas por cada manual.

Use uma função dedicada de emergência, com acesso elevado, normalmente sem uso, com amplo registro das atividades e alertas configurados. Assim, a etapa “assuma a função de IR” realmente funcionará no momento em que for necessária.

As ações técnicas são apenas metade do trabalho. Os manuais operacionais devem incluir quem notificar, como e quando — o responsável pelo incidente, o departamento jurídico, a liderança e, possivelmente, os clientes.

Incorpore o plano de comunicação ao manual operacional para que as notificações não sejam esquecidas durante a pressão da contenção. Atualizações claras e oportunas criam confiança e reduzem o pânico.

Finalize cada manual operacional com etapas explícitas de verificação e uma aprovação formal. Após a contenção, confirme que a ameaça realmente desapareceu, que o recurso está em um estado conhecido e íntegro e que o incidente pode ser encerrado.

Uma aprovação formal documentada evita que uma resposta inacabada seja considerada concluída, e as anotações da verificação alimentam diretamente a revisão pós-incidente.

Escolha a melhor caracterização.

Os manuais operacionais transformam o conhecimento especializado sobre resposta em etapas repetíveis e ordenadas que qualquer pessoa de plantão pode seguir. Crie um para cada evento comum, inclua gatilho, ações, verificação e comunicação, e faça referência às ferramentas e funções exatas da AWS. Crie antecipadamente o acesso do IAM necessário para cada manual, transforme as etapas mecânicas em SSM Automation ou Lambda à medida que amadurecerem e mantenha tudo sob controle de versões e ensaiado para que nunca fique desatualizado.