为常见事件构建运行手册

操作手册是团队在处理特定类型事件时遵循的分步指南。在压力之下，人们容易忘记步骤并跳过检查。一份优秀的操作手册可以消除猜测。

它将专家知识转化为可重复执行的流程，使任何值班人员都能执行，从而让响应保持一致、快速且可审计。

这两个术语有所重叠，但可以进行如下区分：

• 应急手册是高层策略——包括决策流程，以及处理某一类事件时需要哪些人员参与。
• 操作手册是执行该策略的详细、通常偏技术性的操作顺序。

应急手册决定做什么；操作手册准确说明如何去做。

一份完善的操作手册应包含清晰的触发条件、前置条件、有序步骤、预期结果以及回滚指南。

其中应明确要执行的 AWS 操作——调用哪个 API、打开哪个控制台页面、承担哪个角色——以及每一步成功时应呈现的状态。当分秒必争时，含糊不清是最大的敌人。

请针对每种常见场景分别建立操作手册，而不是编写一份庞大的文档：

• 公共代码仓库中暴露了访问密钥。
• EC2 实例遭到入侵。
• S3 存储桶被公开暴露。
• 来自新区域的 API 调用异常。

有针对性的操作手册比涵盖所有情况的冗长文档更易于快速遵循。

泄露密钥的操作手册可能这样写：确认 GuardDuty 发现结果，确定密钥所有者，禁用密钥，检查 CloudTrail 中使用该密钥执行的操作，轮换所有受影响的机密信息，并通知利益相关者。

每个步骤都应引用准确的工具，并在进入下一步前包含验证检查。

操作手册最初是由人遵循的文档。随着流程成熟，请使用AWS 系统管理自动化文档或 Lambda 函数，将安全且可重复的步骤自动化。

这是一个连续谱：将需要判断的决策留给人类，同时让机器可靠且一致地处理机械性步骤。

AWS 系统管理自动化操作手册是由系统管理的文档，可在您的资源中执行操作。AWS 提供了数十份预构建的文档，您也可以编写自定义文档。

它们可以停止实例、修改配置，或在审批后串联执行多个步骤——将书面流程转化为可执行且可审计的自动化流程。

过时的操作手册很危险：它可能指示响应人员删除已经不存在的资源，或承担已经更名的角色。

请将操作手册存储在版本控制系统中，在每次事件和架构变更后进行审查，并在演练日验证它们，以便让错误在实践中暴露，而不是在真实事件期间才出现。

如果响应人员无法执行其中的步骤，操作手册就毫无用处。请预先定义每份操作手册所需的 IAM 角色和权限。

使用专用的紧急访问角色，该角色拥有提升后的访问权限，通常不被使用，但会进行详细记录并触发警报。这样一来，需要时，“承担 IR 角色”这一步就能立即生效。

技术操作只完成了一半的工作。操作手册应包含需要通知的对象、通知方式和通知时间——事件指挥官、法务、管理层，以及可能受到影响的客户。

请将沟通计划写入操作手册，避免在遏制事件的紧张过程中忘记通知。清晰、及时的更新可以建立信任并减少恐慌。

请以明确的验证步骤和签字确认结束每份操作手册。遏制完成后，确认威胁确实已经消失、资源处于已知的良好状态，并且事件可以关闭。

有记录的签字确认可以防止未完成的响应被误认为已经结束，而验证记录也会直接用于事后复盘。

请选择最恰当的描述。

操作手册将专家的响应知识转化为可重复、有序的步骤，任何值班人员都可以遵循。请针对每种常见事件分别建立操作手册，包含触发条件、操作、验证和沟通内容，并引用准确的 AWS 工具和角色。预先创建每份操作手册所需的 IAM 访问权限，将机械性步骤逐步升级为SSM 自动化或 Lambda，并通过版本控制和演练保持所有内容最新。