การสร้างคู่มือปฏิบัติสำหรับเหตุการณ์ทั่วไป

คู่มือปฏิบัติงานคือคำแนะนำทีละขั้นตอนที่ทีมใช้ระหว่างเหตุการณ์ประเภทใดประเภทหนึ่งโดยเฉพาะ เมื่ออยู่ภายใต้ความกดดัน ผู้คนอาจลืมขั้นตอนและข้ามการตรวจสอบ คู่มือปฏิบัติงานที่ดีช่วยขจัดการคาดเดา

คู่มือนี้เปลี่ยนความรู้ของผู้เชี่ยวชาญให้เป็นกระบวนการที่ทำซ้ำได้ ซึ่งผู้ปฏิบัติหน้าที่คนใดก็สามารถดำเนินการได้ ทำให้การตอบสนองมีความสม่ำเสมอ รวดเร็ว และตรวจสอบย้อนหลังได้

คำสองคำนี้มีความหมายทับซ้อนกัน แต่สามารถแยกความแตกต่างที่มีประโยชน์ได้ดังนี้:

• คู่มือรับมือเหตุการณ์คือกลยุทธ์ระดับสูง — ลำดับการตัดสินใจและผู้ที่เกี่ยวข้องสำหรับเหตุการณ์ประเภทหนึ่ง
• คู่มือปฏิบัติงานคือลำดับการดำเนินการโดยละเอียด ซึ่งมักเป็นด้านเทคนิค เพื่อทำตามกลยุทธ์นั้น

คู่มือรับมือเหตุการณ์กำหนดว่าต้องทำอะไร ส่วนคู่มือปฏิบัติงานระบุอย่างชัดเจนว่าต้องทำอย่างไร

คู่มือปฏิบัติงานที่ดีควรมีทริกเกอร์ที่ชัดเจน ข้อกำหนดเบื้องต้น ขั้นตอนตามลำดับ ผลลัพธ์ที่คาดหวัง และคำแนะนำสำหรับการย้อนกลับ

คู่มือต้องระบุการดำเนินการของ AWS ที่ต้องทำอย่างชัดเจน — ต้องเรียก API ใด เปิดหน้าจอใดในคอนโซล และใช้บทบาทใด — รวมถึงระบุว่าความสำเร็จในแต่ละขั้นตอนเป็นอย่างไร เมื่อทุกนาทีมีความสำคัญ ความกำกวมคือศัตรู

สร้างคู่มือปฏิบัติงานสำหรับแต่ละสถานการณ์ที่พบบ่อย แทนที่จะสร้างเอกสารขนาดใหญ่เพียงฉบับเดียว:

• คีย์เข้าถึงถูกเปิดเผยในคลังสาธารณะ
• อินสแตนซ์ EC2 ถูกบุกรุก
• บักเก็ต S3 ถูกเปิดเผยต่อสาธารณะ
• มีการเรียก API ที่ผิดปกติจากรีเจียนใหม่

คู่มือที่มุ่งเป้าเฉพาะสถานการณ์จะทำตามได้เร็วกว่าคู่มือรวมทุกกรณีที่ยืดยาว

คู่มือปฏิบัติงานเมื่อคีย์รั่วไหลอาจระบุว่า: ยืนยันการค้นพบของ GuardDuty ระบุเจ้าของคีย์ ปิดใช้งานคีย์ ตรวจสอบ CloudTrail เพื่อดูการดำเนินการที่ใช้คีย์นั้น เปลี่ยนข้อมูลลับที่ได้รับผลกระทบ และแจ้งผู้มีส่วนได้ส่วนเสีย

แต่ละขั้นตอนจะอ้างอิงเครื่องมือที่เจาะจงและมีการตรวจสอบยืนยันก่อนดำเนินการต่อ

คู่มือปฏิบัติงานเริ่มต้นจากเอกสารที่มนุษย์ใช้ทำตาม เมื่อพัฒนาจนพร้อมแล้ว ให้ทำขั้นตอนที่ปลอดภัยและทำซ้ำได้โดยอัตโนมัติด้วยเอกสาร Automation ของ AWS Systems Manager หรือฟังก์ชัน Lambda

แนวทางนี้มีหลายระดับ: ให้มนุษย์ตัดสินใจในประเด็นที่ต้องใช้วิจารณญาณ ขณะที่ให้เครื่องจักรจัดการขั้นตอนเชิงกลไกได้อย่างน่าเชื่อถือและเหมือนเดิมทุกครั้ง

คู่มือปฏิบัติงาน Automation ของ AWS Systems Manager คือเอกสารที่จัดการไว้และใช้ดำเนินการกับทรัพยากรต่าง ๆ ของคุณ AWS มีเอกสารที่สร้างไว้ล่วงหน้าหลายสิบรายการ และคุณสามารถเขียนเอกสารแบบกำหนดเองได้

เอกสารเหล่านี้สามารถหยุดอินสแตนซ์ เปลี่ยนการกำหนดค่า หรือเชื่อมขั้นตอนต่าง ๆ เข้าด้วยกันพร้อมการอนุมัติ ทำให้กระบวนการที่เขียนไว้กลายเป็นระบบอัตโนมัติที่ทำงานได้จริงและตรวจสอบย้อนหลังได้

คู่มือปฏิบัติงานที่ล้าสมัยเป็นอันตราย เพราะอาจส่งผู้ตอบสนองไปลบทรัพยากรที่ไม่มีอยู่แล้ว หรือใช้บทบาทที่ถูกเปลี่ยนชื่อไปแล้ว

จัดเก็บคู่มือไว้ในการควบคุมเวอร์ชัน ทบทวนหลังเกิดเหตุการณ์และการเปลี่ยนแปลงสถาปัตยกรรมทุกครั้ง และตรวจสอบระหว่างวันจำลองเหตุการณ์ เพื่อให้พบข้อผิดพลาดจากการฝึกปฏิบัติ ไม่ใช่ระหว่างเหตุการณ์จริง

คู่มือปฏิบัติงานไม่มีประโยชน์หากผู้ตอบสนองไม่สามารถดำเนินการตามขั้นตอนได้ กำหนดบทบาท IAM และสิทธิ์ที่คู่มือแต่ละฉบับต้องใช้ไว้ล่วงหน้า

ใช้บทบาทฉุกเฉินเฉพาะที่มีสิทธิ์สูง ซึ่งโดยปกติจะไม่ใช้งาน มีการบันทึกอย่างละเอียด และมีการแจ้งเตือนเมื่อถูกใช้ วิธีนี้ทำให้ขั้นตอน "ใช้บทบาท IR" ทำงานได้จริงทันทีที่จำเป็น

การดำเนินการด้านเทคนิคเป็นเพียงครึ่งหนึ่งของงาน คู่มือปฏิบัติงานควรระบุว่าใครต้องได้รับแจ้ง แจ้งอย่างไร และแจ้งเมื่อใด เช่น ผู้บัญชาการเหตุการณ์ ฝ่ายกฎหมาย ผู้บริหาร และอาจรวมถึงลูกค้า

ผนวกแผนการสื่อสารไว้ในคู่มือ เพื่อไม่ให้ลืมแจ้งเตือนท่ามกลางความเร่งด่วนของการควบคุมการแพร่กระจาย การอัปเดตที่ชัดเจนและทันท่วงทีช่วยสร้างความไว้วางใจและลดความตื่นตระหนก

จบคู่มือปฏิบัติงานแต่ละฉบับด้วยขั้นตอน การตรวจสอบยืนยันที่ชัดเจนและการรับรอง หลังควบคุมการแพร่กระจายแล้ว ให้ยืนยันว่าภัยคุกคามหายไปจริง ทรัพยากรอยู่ในสถานะที่ทราบว่าปลอดภัย และสามารถปิดเหตุการณ์ได้

การรับรองที่บันทึกไว้ช่วยป้องกันไม่ให้การตอบสนองที่ทำค้างไว้ถูกเข้าใจว่าเสร็จสมบูรณ์ และบันทึกการตรวจสอบยืนยันจะถูกนำไปใช้โดยตรงในการทบทวนหลังเหตุการณ์

เลือกคำอธิบายที่เหมาะสมที่สุด

คู่มือปฏิบัติงานเปลี่ยนความรู้ด้านการตอบสนองของผู้เชี่ยวชาญให้เป็น ขั้นตอนที่ทำซ้ำได้และเรียงตามลำดับ ซึ่งผู้ปฏิบัติหน้าที่คนใดก็ทำตามได้ สร้างคู่มือสำหรับเหตุการณ์ที่พบบ่อยแต่ละประเภท โดยระบุทริกเกอร์ การดำเนินการ การตรวจสอบยืนยัน และการสื่อสาร พร้อมอ้างอิงเครื่องมือและบทบาทของ AWS ที่ชัดเจน กำหนดสิทธิ์ IAM ที่คู่มือแต่ละฉบับต้องใช้ไว้ล่วงหน้า เปลี่ยนขั้นตอนเชิงกลไกให้เป็น SSM Automation หรือ Lambda และจัดการทุกอย่างด้วยการควบคุมเวอร์ชันและการฝึกซ้อม เพื่อไม่ให้คู่มือล้าสมัย