Плейбуки

Стройте реагирование как граф шагов, смотрите, что он сделает, до запуска, и знайте для каждого шага, действует ли он по-настоящему, нужен ли коннектор или он только записывает, что сделал бы.

Плейбук — набор шагов, соединённых в граф на холсте. Шаги могут ветвиться, поэтому один алерт может запустить несколько действий параллельно. Плейбук работает на алерте — когда вы его запускаете или сам, когда новый алерт подходит под его триггер.

Триггеры

Плейбук с автоматическим запуском стартует на каждом новом алерте, подходящем под триггер:

Важность — одна или несколько из critical, high, medium, low, info;
Теги — хотя бы один из перечисленных тегов.

Если заданы оба, должны совпасть оба — то же правило, что и у движка обнаружения. Пустой список условием не считается.

Что на самом деле делает каждый шаг

То, как выполняется шаг, зависит от его действия и от того, что подключено в вашем развёртывании:

Как выполняется	Что значит	Действия
Локально	Платформа делает это сама	Обновить алерт, обогатить индикатор, добавить адрес в список блокировки, отозвать сессию платформы, сменить учётные данные учётной записи платформы
Через коннектор	Отправляется через коннектор — только если он настроен	Slack, email (SMTP), PagerDuty, Jira; блокировка домена (Pi-hole)
Через агента	Отправляется агенту Windows, если для хоста зарегистрирован живой агент; иначе записывается как пробный запуск	Изолировать хост, завершить процесс, поместить файл в карантин, собрать криминалистику
Не реализовано	Только записывается; ничего не меняется	Проверка резервных копий, снимок ВМ, откат, восстановление из резервной копии

В редакторе нереализованный шаг помечается как таковой, шаг, который всегда ждёт одобрения, подписан Подтверждение: всегда, а шаг через агента — Агент: 2-й админ. Редактор не даёт сохранить шаг, который не может выполниться.

Одобрение

Шаг с отметкой требует одобрения останавливает запуск и встаёт в очередь. Одобрение выполняет шаг и продолжает запуск с этого места — по графу в том виде, в каком он был при старте.

Шаг ждёт в разделе Ожидают одобрения на верхней панели. Одобряет или отклоняет его там не тот, кто запустил сценарий, а другой человек — ANALYST или выше. Запустивший видит, почему не может одобрить шаг, и может отозвать запрос. Отклонённый шаг не выполняется, шаги после него тоже, а запуск завершается как отклонённый. У запуска, который платформа начала сама, когда алерт совпал с триггером сценария, нет запустившего, поэтому его шаги может одобрить любой ANALYST.

Некоторые шаги ждут одобрения, даже если автор их не отметил: блокировка адреса или домена, отзыв сессии и смена учётных данных.

Шаги через агента здесь не ждут; они ждут в собственной очереди агента, где их должен одобрить другой ADMIN, не тот, кто запросил, — до того как агент их вообще увидит. См. Изоляция и завершение процессов.

Проверка до запуска

Пробный запуск проходит по графу на реальном алерте и показывает для каждого шага, что произойдёт и почему, — выполнится, встанет в очередь на одобрение, пробный запуск, пропуск, не реализовано или не будет достигнут, — со значениями, подставленными из алерта. Он ничего не выполняет, ничего не записывает и ни к кому не обращается.

История и версии

Каждый запуск хранится с результатом каждого шага, автором и временем.
Каждое сохранение — версия. Прежние версии можно открыть и восстановить.
Шаблоны дают отправную точку; использование шаблона создаёт вашу собственную копию.