Sikkerhedssager og playbooks (SOAR)

Security Events gør det, som dine detektionsregler, din trusselsintelligens og dine forbundne sikkerhedsprodukter finder, til sager: én sag for hver ting, der er værd at undersøge, med alle detektioner om den samme bruger, vært eller adresse samlet i den. Analytikere behandler sagerne i en kø, og playbooks reagerer på dem, af sig selv eller med et klik.

Sådan virker det#

Åbn Produkter → Security Events → Sikkerhedssager → Åbne sager for køen. Tildelt mig, Ikke tildelt, Lukkede sager og Alle sager er sider for sig ved siden af, og hver viser de sager, navnet siger.

Før du begynder#

Sager og playbooks følger de tre Security-roller. Project Owner og Project Admin kan alt.

Hver af disse rettigheder kan også tildeles for sig, fra at oprette en sag til at godkende en playbooks trin; se Tilladelsesreference.

Hvor sager kommer fra#

Alle kilder er slået til som standard. En forbindelse åbner sager for Høj og højere, medmindre du vælger et andet niveau; advarslerne under det importeres stadig som begivenheder.

Sådan grupperes detektioner#

En detektion handler om en entitet: den værdi, dens regel grupperer efter, f.eks. IP-adressen i en brute force-regel, eller den indikator, et match fra trusselsintelligens nævner. En detektion uden en entitet står alene.

• Når en åben sag allerede handler om den entitet, føjes detektionen til den. Sagens entiteter og ATT&CK-mapping vokser, og dens prioritet hæves til detektionens, men sænkes aldrig.
• Når ingen åben sag gør det, åbnes en ny sag, opkaldt efter detektionen, med detektionens prioritet.
• En detektion, der udløses igen, tæller op på sin række i stedet for at tilføje en ny.

En sags prioritet kommer fra detektionens alvorlighed:

Behandl en sag#

En sag bevæger sig gennem fire statusser. Den kan springe en over, f.eks. en false positive, der lukkes direkte fra Ny, og den kan genåbnes.

Sagens side har alt, hvad du skal bruge for at behandle den:

• Øverst: Assign to Me, Run Playbook, Erklær hændelse og Close Case, statustrinnene og prioriteten under menuen ved siden af dem.
• Status200 AI: hvad Status200 AI fik ud af sagen, den prioritet og playbook, den foreslår, og beviserne bag. Se Status200 AI i sikkerhed.
• Detections: det, der blev udløst og åbnede sagen eller blev føjet til den, hvor ofte, og den seneste matchende begivenhed.
• Entiteter: de brugere, værter og adresser, sagen handler om, med deres aktivitet på tværs af alle dine sikkerhedsbegivenheder de seneste 7 dage. Hver af dem åbnes i Korrelér.
• MITRE ATT&CK: de taktikker og teknikker, som sagens detektioner knyttes til, hver med et link til sin side på attack.mitre.org.
• Playbook-kørsler: hvad hver playbook gjorde på sagen, trin for trin, og de trin, der venter på godkendelse.
• Noter og Tidslinje: hvad teamet skrev, og alt, hvad der skete, med hvem der gjorde det.

For at behandle flere sager på én gang vælger du dem i køen og bruger Assign to Me, Change Status eller Change Priority.

Luk en sag#

Close Case beder om en konklusion og en valgfri afsluttende note:

Konklusionerne tælles på oversigten. En regel, hvis sager bliver ved med at blive lukket som False Positive, er en regel, der bør finjusteres.

En sag, der er åbnet fra Google SecOps-advarsler, lukker dem også i Google SecOps med afgørelsen og afslutningsnoten, når dens forbindelse har Luk advarsler, når deres sag lukkes slået til: se Google SecOps.

Erklær en hændelse#

Erklær hændelse åbner en Status200-hændelse for sagen med den alvorlighed, du vælger, og forbinder de to begge veje: hændelsens beskrivelse nævner sagen, og sagens hoved linker til hændelsen. Vagtordningen, statussider og postmortem tager over derfra. Det kræver en rolle, der både kan behandle sager og oprette hændelser.

Notifikationer#

Status200 giver folk besked om tre ting på en sag. Ingen behøver at sætte noget op: et projekt, der kun har klikket på Slå anbefalet til, får besked om sine sager med prioritet High og Kritisk via e-mail og push.

• Kun personer, der kan se sagen, får besked om den: Project Owners, Project Admins og rollerne Security Admin, Security Member og Security Viewer. En rolle, der er begrænset til bestemte etiketter, får kun besked om sagerne med de etiketter.
• Ingen får besked om det, de selv gjorde: den, der åbner en sag manuelt, tildeler den eller starter en kørsel, får ingen notifikation om det.
• Hver person hører om en sag én gang. En sag, der åbnes på Medium og senere stiger til Kritisk, når ved stigningen frem til dem, der har valgt High eller Kritisk, og ikke igen til dem, der har valgt Medium, for de hørte om den, da den blev åbnet.
• Testangrebet fra Send et testangreb åbner en sag, der ikke giver nogen besked.
• En sag med Kritisk og et trin, der venter på godkendelse, sendes med det samme og holdes aldrig tilbage i en e-mailoversigt.
• Sagens Tidslinje viser, hvem der fik besked, og hvornår.

Vælg, hvad du får besked om#

Hver person vælger selv under Brugerindstillinger → Notifikationsindstillinger → Sikkerhed: kanalerne for hver notifikation (e-mail, sms, opkald, push, Telegram, Slack, Microsoft Teams eller webhook) og, under Ny sikkerhedssag, den prioritet, der giver dem besked:

Der sendes ingen WhatsApp-beskeder for sikkerhedssager. En push-notifikation åbner Status200-appen, og dens link åbner sagen i browseren.

Slå op i Slack- og Microsoft Teams-kanaler#

For at slå op i en kanal tilføjer du en regel under Produkter → Security Events → Arbejdsområde → Slack (eller Microsoft Teams). Er ingen af dem forbundet, er sektionens eneste punkt Forbind Slack eller Teams. En regel angiver de kanaler, den slår op i (og i Microsoft Teams chattene), og, hvis du vil, de sager, den gælder for:

De tre notifikationer slås hver op i kanalerne for hver regel, sagen matcher i det øjeblik. En regel, hvor Prioritet for sikkerhedssag indeholder en af Kritisk og High, slår sager med High og Kritisk op, når de åbnes, og en sag med Medium, når den stiger til High. En sikkerhedssag får aldrig sin egen kanal.

Playbooks#

En playbook er en liste over trin, der kører på en sag. Opret en under Produkter → Security Events → Playbooks, ud fra en skabelon eller fra bunden, og tilføj dens trin på dens side.

Hvornår en playbook kører#

Enhver aktiveret playbook kan også køres manuelt med Run Playbook på en sag. En playbook, der kører af sig selv, kan afgrænses:

• For Cases At Least: kun sager med denne prioritet eller højere.
• Only For Detections From: kun når detektionen bag sagen kom fra denne kilde.
• Only For These Detection Rules: kun når den kom fra en af disse regler.

En deaktiveret playbook kører hverken af sig selv eller manuelt.

Trin#

En playbook har højst 25 trin. De kører i rækkefølge, hvert trin, når det foregående er færdigt. Hvert trin kan også:

• Needs Approval: stoppe kørslen før trinnet, indtil nogen godkender det på sagen. De fire trin, der lukker nogen ude, stopper altid kørslen, medmindre en Security Admin slår det fra.
• Only If Threat Intel Matched: springe trinnet over, medmindre et tidligere trin Check entities against threat intel i kørslen fandt en kendt indikator.
• Carry On If It Fails: køre det næste trin, selv om dette mislykkes. Er den slået fra, stopper et mislykket trin kørslen.

Inddæmning#

Contain-trinnene handler gennem en forbindelse for sikkerhedsbegivenheder til produktet, og den skal have mere end læseadgang:

Et Contain-trin handler kun på de brugere eller værter, sagen handler om, aldrig på alle dem, den nævner:

• Den værdi, en af sagens detektioner er grupperet efter, f.eks. den konto, en regel for umulige rejser grupperer efter, eller den vært, en advarsel fra et forbundet produkt nævner.
• En bruger eller vært i sagen, som din trusselsintelligens kender som en indikator.

En sag, der er grupperet efter en adresse, f.eks. et brute force-angreb mod din VPN, handler om ingen af delene: dens Contain-trin springes over, og den forsøgte konto og den ramte gateway lades i fred. Et trin handler på højst 10 brugere eller værter. Det finder hver af dem i produktet ud fra navnet og skriver på kørslen, hvad det gjorde med hver enkelt: udført, allerede udført, ikke fundet, afvist eller beskyttet.

Beskyttede entiteter#

Protected Entities, under Playbooks i menuen, viser de brugere og værter, som ingen playbook inddæmmer, f.eks. nødadgangskonti, domænecontrollere og VPN-gateways. En værdi matcher uden forskel på store og små bogstaver, og * står for en vilkårlig række tegn: svc-* beskytter alle tjenestekonti. Et trin melder en beskyttet bruger eller vært som beskyttet og lader den være i fred. Security Admins vedligeholder listen.

Godkendelse#

De fire trin, der lukker nogen ude, venter på godkendelse. Kun en Security Admin kan slå Needs Approval fra for et af dem, og Status200 registrerer, hvem der gjorde det. Godkendelsen viser under Act On de brugere eller værter, trinnet ville handle på, alle markeret: fjern markeringen ved dem, det skal lade være i fred. Beskyttede brugere og værter tilbydes ikke. Den, der startede en kørsel, kan ikke godkende dens trin: det gør en anden, men vedkommende kan stadig afvise det.

Fortryd#

Fortryd-trinnene handler på de brugere eller værter, sagen handler om, ligesom de trin, de fortryder. Når kørslen er stoppet, har en inddæmmet bruger eller vært også sin egen knap på sit trin: Unsuspend, Lift Containment eller Frigiv. En afsluttet Okta-session kan ikke fortrydes. Alt, hvad der fortrydes, gemmes på sagens tidslinje og i projektets auditlog.

Beskeder#

En note, en e-mail, et Slack-opslag og et Teams-opslag kan bruge sagens værdier:

En e-mail eller et opslag uden egen besked sender en opsummering af sagen.

Kørsler og godkendelser#

Hver kørsel vises på sin sag og under Produkter → Security Events → Playbooks → Playbook-kørsler, trin for trin:

Et trin, der venter på godkendelse, viser Approve og Reject på kørslen med en valgfri kommentar. En godkendelse fører kørslen videre fra det trin; en afvisning afslutter den. Beslutningen, hvem der traf den, og deres kommentar gemmes på trinnet, på sagens tidslinje og i projektets auditlog. Venter på godkendelse, under Playbooks i menuen, viser de kørsler, der venter på en beslutning, og tæller dem; Playbook-kørsler viser hver kørsel.

En kørsel, der holder op med at høre fra sin worker, f.eks. efter en genstart, bliver samlet op igen: en kørsel i kø sættes i kø igen efter 2 minutter, og en kørsel, der ikke har meldt noget i 30 minutter, markeres som mislykket.

Oversigten#

Produkter → Security Events → Oversigt er der, hvor produktet åbner:

• De åbne sager, der er tildelt dig, de åbne sager, som ingen har taget, og de playbook-trin, der venter på godkendelse; hvert tal åbner siden, der viser dem.
• Gennemsnitlig tid til kvittering, Gennemsnitlig tid til inddæmning og Gennemsnitlig tid til lukning over de sager, der er åbnet inden for de seneste 30 dage: fra en sag åbnes, til nogen tager den (tildeler en person eller flytter den ud af Ny), til Contained og til Lukket. En sag, der stadig venter, tælles ikke med i et gennemsnit.
• De sager, der er åbnet hver dag i 30 dage, efter prioritet, og de detektioner, der er rejst hver dag i 14 dage, efter kilde.
• De åbne sager efter prioritet og efter status, konklusionerne fra de seneste 30 dage, ATT&CK-taktikkerne bag sagerne, de detektioner, der blev udløst oftest, og de entiteter, som flest fund nævner.

Over dem viser et bånd, hvordan sikkerhed er sat op: dens kilder, detektioner, sager og playbooks, hver med sine tal. Et projekt, der endnu ikke har sat det op, ser Slå anbefalet til og Send et testangreb der; se Kom godt i gang med sikkerhed. Når intet kræver nogen, siger siden Alt er roligt, og diagrammerne vises, så snart der er noget at vise.

Find trusler#

• Entiteter rangerer de brugere, værter, adresser og hashes, som dine fund nævner oftest, over det seneste døgn, den seneste uge eller måned, og slår enhver værdi op på tværs af 30 dages begivenheder.
• Rule Library har færdige detektionsregler til trusler mod identitet, endpoints, cloud, netværk, web og Kubernetes. Hver er en Sigma-regel, skrevet til de felter, som alle forbundne kilder normaliseres til. Tilføj regel opretter den som din egen detektionsregel, slået til, og den åbner sager i stedet for advarsler; du ændrer den under Detection Rules som enhver anden. Reglerne markeret Anbefalet finder trusler i data, Status200 allerede har, og én knap tilføjer dem, du ikke har endnu.
• ATT&CK Coverage tegner MITRE ATT&CK-matricen, fremhæver de teknikker, dine aktiverede regler dækker, og sætter en ramme om dem, en regel fra biblioteket ville dække.

Automatisér#

• Arbejdsgange: en sag eller en note kan starte et workflow, når den oprettes, opdateres eller slettes. Et trin Run a workflow starter et workflow, hvis trigger er en webhook.
• API: sager, noter, detektioner, playbooks, kørsler og beskyttede entiteter har det samme REST API som resten af Status200, under /security-case, /security-case-note, /security-detection, /security-playbook, /security-playbook-run og /security-protected-entity. Se API-reference.
• AI-agenter: MCP-serveren har værktøjer til sager, noter, detektioner og playbooks. Se MCP-server.

Fejlfinding#

Næste trin#