Yaygın Olaylar için Çalışma Kılavuzları Oluşturma

Çalışma kılavuzu, ekibinizin belirli bir olay türü sırasında izlediği adım adım rehberdir. İnsanlar stres altında adımları unutabilir ve kontrolleri atlayabilir. İyi bir çalışma kılavuzu tahmine dayalı hareket etmeyi ortadan kaldırır.

Uzman bilgisini, nöbetçi ekipteki herkesin uygulayabileceği tekrarlanabilir bir işleme dönüştürür; böylece müdahaleler tutarlı, hızlı ve denetlenebilir olur.

Bu terimler birbirinin yerine kullanılabilir; ancak yararlı bir ayrım şöyledir:

• Eylem kılavuzu, üst düzey stratejidir — karar akışını ve bir olay sınıfına kimlerin dâhil olduğunu açıklar.
• Çalışma kılavuzu, bunu uygulamak için gereken ayrıntılı ve çoğu zaman teknik eylem dizisidir.

Eylem kılavuzları ne yapılacağına, çalışma kılavuzları ise tam olarak nasıl yapılacağına karar verir.

Sağlam bir çalışma kılavuzunda açık bir tetikleyici, ön koşullar, sıralı adımlar, beklenen sonuçlar ve geri alma yönergeleri bulunur.

Hangi API çağrısının yapılacağı, hangi konsol ekranının kullanılacağı ve hangi rolün üstlenileceği gibi gerçekleştirilecek kesin AWS eylemlerini belirtir; ayrıca her adımda başarının nasıl görüneceğini açıklar. Dakikaların önemli olduğu anlarda belirsizlik en büyük düşmandır.

Tek bir dev belge hazırlamak yerine her yaygın senaryo için bir çalışma kılavuzu oluşturun:

• Herkese açık bir depoda açığa çıkan erişim anahtarı.
• Güvenliği ihlal edilmiş EC2 bulut sunucusu.
• Herkese açık hâle gelmiş S3 paketi.
• Yeni bir bölgeden gelen olağandışı API çağrıları.

Hedefe yönelik çalışma kılavuzlarını izlemek, her şeyi kapsama iddiasındaki dağınık bir kılavuzu izlemekten daha hızlıdır.

Sızdırılmış anahtar çalışma kılavuzu şöyle olabilir: GuardDuty bulgusunu doğrulayın, anahtarın sahibini belirleyin, anahtarı devre dışı bırakın, anahtarla gerçekleştirilen eylemler için CloudTrail'ı inceleyin, etkilenen gizli bilgileri yenileyin ve paydaşları bilgilendirin.

Her adım, kullanılacak kesin araca başvurur ve sonraki adıma geçmeden önce bir doğrulama kontrolü içerir.

Çalışma kılavuzları, insanların izlediği belgeler olarak başlar. Olgunlaştıkça güvenli ve tekrarlanabilir adımları AWS Systems Manager Otomasyon belgeleri veya Lambda işlevleriyle otomatikleştirin.

Bu bir yelpazedir: karar gerektiren noktaları insanlara bırakırken mekanik adımların her seferinde güvenilir ve aynı şekilde gerçekleştirilmesini makinelere bırakın.

AWS Systems Manager (SSM) Otomasyon çalışma kılavuzları, kaynaklarınız genelinde eylemler gerçekleştiren yönetilen belgelerdir. AWS, önceden hazırlanmış düzinelerce belge sunar; ayrıca özel belgeler de yazabilirsiniz.

Bulut sunucularını durdurabilir, yapılandırmaları değiştirebilir veya onaylarla adımları birbirine bağlayabilirler. Böylece yazılı bir işleme, yürütülebilir ve denetlenmiş bir otomasyon niteliği kazandırırlar.

Güncel olmayan bir çalışma kılavuzu tehlikelidir: müdahale ekiplerini artık var olmayan bir kaynağı silmeye veya adı değiştirilmiş bir rolü üstlenmeye yönlendirebilir.

Çalışma kılavuzlarını sürüm denetiminde saklayın, her olaydan ve mimari değişikliğinden sonra inceleyin ve hataların gerçek bir olay sırasında değil, uygulama sırasında ortaya çıkması için olay tatbikatlarında doğrulayın.

Müdahale ekibi adımlarını gerçekleştiremiyorsa çalışma kılavuzu işe yaramaz. Her çalışma kılavuzunun gerektirdiği IAM rollerini ve izinleri önceden tanımlayın.

Yükseltilmiş erişime sahip, normalde kullanılmayan, yoğun biçimde günlüklenen ve kullanıldığında uyarı üreten özel bir acil erişim rolü kullanın. Böylece "IR rolünü üstlenin" adımı gerektiği anda gerçekten çalışır.

Teknik eylemler işin yalnızca yarısıdır. Çalışma kılavuzları kimin, nasıl ve ne zaman bilgilendirileceğini içermelidir — olay yöneticisi, hukuk ekibi, yöneticiler ve muhtemelen müşteriler.

Sınırlama sırasında bildirimlerin unutulmaması için iletişim planını çalışma kılavuzuna yerleştirin. Açık ve zamanında yapılan güncellemeler güven oluşturur ve paniği azaltır.

Her çalışma kılavuzunu açık doğrulama adımları ve bir onayla bitirin. Sınırlamadan sonra tehdidin gerçekten ortadan kalktığını, kaynağın bilinen iyi durumunda olduğunu ve olayın kapatılabileceğini doğrulayın.

Belgelenmiş bir onay, yarım kalmış bir müdahalenin tamamlanmış sanılmasını önler; doğrulama notları da doğrudan olay sonrası incelemeye aktarılır.

En uygun nitelendirmeyi seçin.

Çalışma kılavuzları, uzmanların müdahale bilgisini nöbetçi ekipteki herkesin izleyebileceği tekrarlanabilir ve sıralı adımlara dönüştürür. Her yaygın olay için bir kılavuz oluşturun; tetikleyiciyi, eylemleri, doğrulamayı ve iletişimi ekleyin; kesin AWS araçlarına ve rollerine başvurun. Her kılavuzun ihtiyaç duyduğu IAM erişimini önceden oluşturun, mekanik adımları SSM Automation veya Lambda ile olgunlaştırın ve her şeyi sürüm denetiminde tutup prova edin ki kılavuzlar hiçbir zaman güncelliğini yitirmesin.