Oyun Kitabı Tasarımı

Bir çalışma kitabı, SOAR platformunun tetiklendiğinde yürüttüğü, sıralı ve dallanan adımlardan oluşan kodlanmış bir yanıt iş akışıdır. Daha önce bir vikide bulunan işletim kılavuzunun çalıştırılabilir hâlidir.

Bir işletim kılavuzu IP itibarını sorgula derken, bir çalışma kitabı itibar uygulama programlama arayüzünü gerçekten çağırır, sonucu ayrıştırır ve puana göre dallanır. Çalışma kitaplarını iyi tasarlamak, SOC'deki otomasyon mühendisliğinin temel becerisidir.

Bir çalışma kitabını hiçbir zaman soyut biçimde tasarlamayın. Analistlerin the uyarıyı bugün gerçekte nasıl ele aldığını; attıkları adımları, verdikleri kararları ve kontrol ettikleri verileri tek tek belgeleyerek başlayın.

Her adımı üç kategoriden biriyle eşleştirin:

• Belirlenebilir eylem — aynı girdi her zaman aynı çıktıyı verir (otomatikleştirmek güvenlidir).
• Zenginleştirme — yan etki oluşturmadan veri toplar (otomatikleştirmek güvenlidir).
• Muhakeme — bağlam veya hesap verebilirlik gerektirir (insan denetimli bırakılmalıdır).

Her çalışma kitabının kesin bir tetikleyicisi olmalıdır. Çok geniş olursa gürültüde çalışır; çok dar olursa gerçek vakaları kaçırır.

Tetikleyiciler genellikle bir SIEM korelasyon kuralına, bir EDR algılama kategorisine veya bir e-posta ağ geçidi kararına bağlanır. Giriş koşulunu açıkça tanımlayın.

Bir çalışma kitabı, tetikleyici olaydan çıkarılan göstergeler olan artefaktlar üzerinde çalışır; bunlara IP'ler, dosya karmaları, kullanıcı hesapları, URL'ler ve ana bilgisayar adları dahildir.

İyi tasarım, bunları erken aşamada tutarlı bir bağlam nesnesinde normalleştirir; böylece olay hangi araç tarafından üretilmiş olursa olsun, sonraki her adım aynı alan adlarına başvurur.

• Artefaktları the en üstte bir kez çıkarın.
• Türleri doğrulayın (bu gerçekten geçerli bir IPv4 mü?).
• Paylaşılan bağlamı the tüm akış boyunca taşıyın.

Gerçek iş akışları dallanır. Zenginleştirmeden sonra, kanıta dayalı bir yol seçersiniz. Dalları açık ve kapsamlı tutun; böylece hiçbir olay işlenmeden kalmaz.

Yıkıcı, geri döndürülemez veya etki alanı geniş herhangi bir eylemden önce bir insan onay kapısı ekleyin. Çalışma kitabı the kanıtları bir araya getirir, bunları sunar ve bir karar gelene kadar durur.

Kapıyı, zaman aşımında güvenli bir varsayılan uygulanacak şekilde tasarlayın. Sınırlama işlemi için yanıtsız kalınan zaman aşımı, sessizce devam etmek veya the vakayı sessizce düşürmek yerine nöbetçi bir mühendise yükseltme yapılmasını sağlayabilir.

• Hesapları devre dışı bırakma: kapı ekleyin.
• Büyük alt ağları engelleme: kapı ekleyin.
• Bir göstergeyi zenginleştirme: kapı gerekmez.

Entegrasyonlar başarısız olabilir. API'ler hız sınırına takılır, zaman aşımına uğrar ve biçimi bozuk veriler döndürür. Her çağrının başarılı olduğunu varsayan bir müdahale akışı, olayları yarım işlenmiş halde bırakır.

Şunları ekleyin:

• Giderek artan beklemeyle yeniden deneme — geçici hatalar için (HTTP 429, 503).
• Güvenli varsayılanlar — zenginleştirme başarısız olursa varsayılan davranış, olayı otomatik olarak kapatmak değil bir insana iletmek olmalıdır.
• İşlenemeyen olayların yönetimi — işlenemeyen olayları bir analistin inceleyeceği kuyruğa yönlendirin.

Yinelenen uyarılar veya yeniden denemeler nedeniyle aynı olay için bir müdahale akışı iki kez çalışabilir. Eylemler idempotent olmalıdır: iki kez çalıştırılmaları ek bir zarara yol açmamalıdır.

Zaten yalıtılmış bir konağı yeniden yalıtmak hata vermek yerine hiçbir işlem yapmamalıdır. Bir kayıt açarken önce aynı tekilleştirme anahtarına sahip mevcut bir kayıt olup olmadığı kontrol edilmelidir.

Her olay türü için tek bir dev müdahale akışı oluşturmaktan kaçının. Yeniden kullanabileceğiniz alt müdahale akışlarına ayırın: bir zenginleştirme alt akışı, bir sınırlama alt akışı ve bir bildirim alt akışı.

Bu yaklaşım iyi yazılım tasarımını yansıtır. Kimlik avı, kaba kuvvet ve komuta-kontrol müdahale akışlarından çağrılan, yeniden kullanılabilir bir IP zenginleştirme bloğu, tehdit istihbaratı API'si değiştiğinde düzeltme yapılacak tek bir yer anlamına gelir.

Yeni müdahale akışlarını önce deneme çalıştırması / benzetim modunda çalıştırın: zenginleştirme ve günlük kaydını yürütün, ancak yıkıcı eylemleri taklitlerle değiştirin. Müdahale akışının önerdiği eylemi, analistlerin geçmiş vakalarda gerçekleştireceği eylemle karşılaştırın.

Karar mantığının geçmiş gerçek olaylarda doğru olduğu kanıtlandıktan sonra canlı eylemleri etkinleştirin; o zaman bile her eylem için bir onay kapısıyla başlayın.

Müdahale akışları koddur ve aynı disiplini hak eder. Her değişikliğin incelenmesi, izlenebilmesi ve geri alınabilmesi için onları sürüm denetimi altında tutun.

• Bir değişiklik günlüğü, bu müdahale akışı geçen ay neden farklı davrandı? sorusunu yanıtlar.
• Akran incelemesi, tehlikeli mantığın üretim ortamına ulaşmadan yakalanmasını sağlar.
• Öngörülen tetikleyiciyi, kararları ve sorumlu kişiyi belgelemek, ekip değiştikçe müdahale akışının bakımını kolaylaştırır.

Kimsenin anlamadığı, belgelenmemiş bir müdahale akışı yanlış çalıştığı anda sorumluluğa dönüşür.

Müdahale akışı tasarım ilkelerini bir arıza senaryosuna uygulayın.

Müdahale akışı tasarımının temel unsurları:

• Müdahale akışı, dallanabilen ve çalıştırılabilir bir yanıt iş akışıdır; gerçek elle yürütülen sürece göre tasarlayın.
• Adımları belirlenebilir eylem, zenginleştirme veya değerlendirme olarak sınıflandırın; değerlendirmeyi insan onayıyla sınırlandırın.
• Kesin tetikleyiciler tanımlayın, göstergeleri ortak bir bağlama dönüştürün ve dalları eksiksiz olacak şekilde oluşturun.
• Hataları yeniden denemeler ve güvenli varsayılanlarla yönetin; başarısız zenginleştirmeyi otomatik kapatma yerine üst seviyeye iletin.
• Eylemleri idempotent hâle getirin, müdahale akışlarını yeniden kullanılabilir alt akışlarla modüler tutun ve canlıya almadan önce geçmiş olaylara karşı deneme çalıştırması yaparak sınayın.